Názory k článku
Patnáct let stará chyba v jádře umožňovala lokální eskalaci práv
-
Samozřejmě to může být tak, že o chybě NSA a jiné agentury vědí delší dobu, a může to být i tak, že chybu zveřejní ve chvíli, kdy zjistí, že "protistrana" už o ní taky ví. Pro agentury má taková chyba význam jen ve chvíli, dokud mohou být přesvědčeny, že jim poskytuje výhodu.
Na druhou stranu, nemáme žádný důvod si myslet, že to tak bylo, stejně jako nemáme důvod předpokládat, že to tak nebylo. Ta informace nemá žádný vliv na to, že je chybu potřeba opravit a při tom se snažit o to, aby se technické detaily nedostaly předčasně do rukou široké veřejnosti.
Celkově je vlastnost open source, že kdokoliv, kdo má peníze, může chyby hledat, zjistit, a nechat si je pro sebe, ke svému užitku. Není tam bariéra ve formě omezení přístupu ke zdrojákům a dokumentaci. Když chybu objeví někdo zodpovědný, stejně ji nemůže přímo zveřejnit, protože si uvědomuje, že by se to dostalo do rukou nepravým lidem. To popírá proklamace o tom, že otevřenost vede k bezpečnosti.
-
Existují, ale daleko víc se pracuje na tom, aby zdrojáky dostali do ruky jen prověření. Taky je daleko smysluplnější, když má NSA svoje backdoory pod kontrolou, než přemýšlet, jakou chybu dostane do ruky málo vypočitatelné Rusko, nebo úplně nevypočitatelná KLDR.
Stejně vždy skončíte v úvahách na bodě, že někomu musíte důvěřovat. Firmě, jednotlivému programátorovi, vlasti, cizí zemi, ... A tomu, že rozumíte jejich pohnutkám, za jakých okolností se jim vyplatí zneužít svoje možnosti. Např. víte, že Microsoftu se nevyplatí prolomit soukromí, či šifrování kvůli vlastnímu prospěchu, nebo kvůli špatně podanému daňovému přiznání uživatele. Ale taky víte, že např. Rusku se vyplatí udělat cokoliv, co rozdmýchá nejistotu, přiživovat dezinformace.
U osobních počítačů a zařízení jde jen o málo, maximálně to vyvolá trochu zmatku a nepohodlí. Ale jsou místa, kde jedna chyba může napáchat gigantické škody. Tam se pak určitě vyplatí řešit nejen samotnou skutečnost existence chyb, ale i to, kdo se o nich může jak rychle dozvědět.
-
Filip JirsákStříbrný podporovatelCelkově je vlastnost open source, že kdokoliv, kdo má peníze, může chyby hledat, zjistit, a nechat si je pro sebe, ke svému užitku.
Oprava: Je to obecná vlastnost veškerého softwaru (a nejen jeho).Není tam bariéra ve formě omezení přístupu ke zdrojákům a dokumentaci.
Což je ovšem z hlediska hledání bezpečnostních chyb nepodstatná bariéra.Když chybu objeví někdo zodpovědný, stejně ji nemůže přímo zveřejnit, protože si uvědomuje, že by se to dostalo do rukou nepravým lidem. To popírá proklamace o tom, že otevřenost vede k bezpečnosti.
Ono vůbec nejde o to, že by někdo tu chybu přímo zveřejnil (k čemu by to bylo)? Rozdíl je v tom, že když už někdo ví, že je v programu chyba, když má k dispozici zdrojáky, může rovno najít problematické místo a navrhnout opravu. Za správcem daného softwaru pak přijde už s tím, že umí přesně popsat, jak chyba vzniká a má navrženou opravu. Když přijde za správcem uzavřeného softwaru, že „tahle část softwaru se někdy chová divně“, bude se s ním nejprve dohadovat, zda vůbec k té chybě dochází a zda je to chyba. Pokud nebude mít dost trpělivosti, tak to vzdá. A i když to nevzdá, stejně bude prakticky odkázán na opravu od toho správce uzavřeného softwaru. Dnes se málokdy dělá, že by záplatu na uzavřený software zveřejnil někdo jiný, protože tam je právě nedostupnost zdrojáků velkou bariérou. -
Oprava: Je to obecná vlastnost veškerého softwaru (a nejen jeho).
Což je ovšem z hlediska hledání bezpečnostních chyb nepodstatná bariéra.
Když se na to díváte dlouhodobě, tak máte pravdu. Ke každé chybě se nakonec dostanou všichni. Jenže není pravda, že můžete čas zanedbávat jako nepodstatnou veličinu. Když je bezpečnostní průser, tak každá hodina náskoku na opravu se počítá.
Ono vůbec nejde o to, že by někdo tu chybu přímo zveřejnil (k čemu by to bylo)?
Protože pak už myšlenku otevřenosti ohýbáte, objektivně uznáváte, že otevřenost není vždy imperativem.
-
Filip JirsákStříbrný podporovatel
Když se na to díváte dlouhodobě, tak máte pravdu. Ke každé chybě se nakonec dostanou všichni. Jenže není pravda, že můžete čas zanedbávat jako nepodstatnou veličinu. Když je bezpečnostní průser, tak každá hodina náskoku na opravu se počítá.
Já čas jako nepodstatnou veličinu nezanedbávám, právě naopak. Čas je právě to, co díky zdrojovým kódům získáte – můžete chybu dokázat a opravit hned, nemusíte čekat, až o tom někoho přesvědčíte a až vydá opravu.Protože pak už myšlenku otevřenosti ohýbáte, objektivně uznáváte, že otevřenost není vždy imperativem.
Řeč byla ovšem o otevřenosti zdrojového kódu. „Otevřenost“, kdy zveřejním popis chyby aniž bych o ní dal předem vědět správci daného projektu, je nesmysl, se kterým jste teď přišel vy, jinak nikdo takovou otevřenost nezastává. -
Chyba byla nahodne detekovana nastrojem KASAN jiz v roce 2020:
https://syzkaller.appspot.com/bug?id=a53b68e5178eec469534aca80fca1735fb3d8071
-
Zkousel to nekdo z vas? Podle teto stranky https://security-tracker.debian.org/tracker/CVE-2021-22555 ma byt kernel 4.19.171-2 vulnerable ovsem ja stale dostavam:
./exploit
[+] Linux Privilege Escalation by theflow@ - 2021
[+] STAGE 0: Initialization
[*] Setting up namespace sandbox...
[-] unshare(CLONE_NEWUSER): Operation not permittedZkousim to na debianu 10.2 (i386), uname -a:
Linux debian 4.19.0-14-686-pae #1 SMP Debian 4.19.171-2 (2021-01-30) i686 GNU/Linux -
https://superuser.com/questions/1094597/enable-user-namespaces-in-debian-kernel
20. 7. 2021, 00:10 editováno autorem komentáře
