'Zelf compileren Linux-kernel maakt kwetsbaar'

Dat hoort ie daar dus niet te hebben...

chroot is wat anders dan slechts een andere gebruikersaccount. chroot verandert namelijk de root van het filesystem voor een proces en al zijn kinderen. Als je dus een dir als /var/www de nieuwe root voor apache maakt kan die nooit /usr/src/linux benaderen.

Nee kerel. Ik geef alleen aan dat naar mijn mening apache/www-data nooit onder /usr/src hoort te kunnen komen. En al helemaal niet door een lek php-script.

Daarnaast gebruiken we hier wel iets meer dan alleen een chroot om de boel te beveiligen. En zelfs zonder dat soort beveiligingen heeft deze bug geen invloed hier, om het simpele feit dat het uitpakken van de kernelsources als root op zijn minst nogal dom is.....

Laten we even ophouden met het argument "snelheidswinst". Gentoo biedt flexibiliteit. emerge is ook makkelijk in gebruik. Dat Gentoo alleen maar "cutting-edge" is, is onzin. Als je wilt, kun je systeem net zo stabiel maken als je zelf wilt. Gewoon C(XX)FLAGS en ACCEPT_KEYWORDS aanpassen. Gentoo wordt ook wel een metadistributie genoemd. Ik vind Gentoo zelf erg fijn in gebruik. Dat het je de mogelijkheid biedt om het nieuwste van het nieuwste te hebben, daar ga ik niet voor.

Waar hebben we dit promo praatje aan te danken

Als je 't hebt over de beheerders: die kunnen altijd inderdaad altijd de boel (ongewild) vernaggelen.
Echter, de overgrote meerderheid is geen beheerder maar een simpele user. Als je dan uitgaat van compromisloze goede code, en je geeft de user gewoon niet teveel rechten, dan heb je 't security probleem van "computergebruiker" toch opgelost.

ONDANKS dat, dat het percentage 'beheerders' op Linux distro's VEEL groter is dan bij Windows, is Linux toch VEEL secureder. Dat zou toch wel te denken moeten geven bij die gasten die altijd roepen dat Linux veiliger is alleen omdat 't minder gebruikt wordt (dat is dan ook enorme grote kolder als je 't mij vraagt).

Zo, en wie zei er dat linux veiliger was dan Windows?

Windows is nu al een gatenkaas, als je het zelf vanaf source zou kunnen compileren zal het niet veel beter worden.
Voordeel voor microsoft: De hooibaal van windows sourcecode is niet openbaar. Maar met 100% zekerheid een hooibaal.

Ik zou dat o.a. zo kunnen zeggen hoor... Wat je binnenhaalt is de kernelsource, die niet world-writable is op de server waar je hem vanaf downloadt, maar dat kennelijk standaard (deels) wordt op de computer waar je deze uitpakt. Alleen mensen met daadwerkelijk toegang tot het systeem (username + password + geldige rechten om een shell te starten of buiten een standaard ftp-chroot-jail te komen) zouden eventueel de source aan kunnen passen, mits ze toegang hebben tot /usr/src/linux, wat standaard niet het geval is.
De reden dat het MS niet gebeurt is dat de source niet toegankelijk is en niemand het kan downloaden om op zijn eigen pc te compileren, als dat wel zou kunnen is dat net zo kwetsbaar als de kernel in deze staat. Malware inbakken in de kernel kan met windows net zo goed als met linux en welk ander OS dan ook, zolang je de sourcecode maar hebt. Je geeft zelf opdracht tot compileren en je geeft zelf aan dat er vanaf het resultaat opgestart moet worden, malware is in deze net zozeer programmacode als de rest van de kernel en zonder virusscanner lastig te ontdekken.

De kans echter dat dit een groot probleem is is nogal klein, een kernel download je, configureer je (meestal aan de hand van de vorige configuratie + de nieuwe features, hoeft niet langer dan 5 minuten te duren), compile je (15 minuten gemiddeld) en daarna zet je de gecompileerde kernel op je bootpartitie. Normaliter is het niet nodig die kernel opnieuw te compileren, waardoor de tijd dat de kernel echt kwetsbaar is zo ongeveer 20 minuten bedraagt, 20 minuten waarin een user toegang moet hebben, ingelogd moet zijn en moet weten dat er een kernel gecompileerd (gaat) worden. De kans daarop is vrij klein, tenzij je een kwaadwillende toegang geeft tot je systeem en vertelt dat je op een bepaald moment een nieuwe kernel gaat compileren.

Het zou trouwens ook de taak moeten zijn van de beheerder om op dit soort dingen te letten bij het beheren van een multi-user-systeem (het enige soort systeem dat hiervoor eigenlijk kwetsbaar is). Er zijn ook genoeg distributies die standaardchecks uitvoeren 's nachts, bijvoorbeeld op world-writable bestanden. Het zal dan snel duidelijk zijn dat er iets mis is en daar kan rekening mee gehouden worden de volgende kernel upgrade. Wat natuurlijk nog beter en veiliger is, is als de beheerder de kernel compileert op zijn eigen desktopmachine waar niemand toegang tot heeft, en daarna de binaries naar zijn server te sturen. Op die manier staat er geen source die aan te passen is op de server, en is er geen probleem.