Разработчик ядра Linux предложил переписать его с нуля на другом языке
Код ядра Linux недостаточно хорош с точки зрения безопасности, а работающих над исправлениями разработчиков недостаточно, чтобы это исправить, заявил сотрудник Google Security Team, разработчик ядра Linux Киc Кук, 4 августа сообщает портал The Register.
Кук отметил, что всего каждую неделю в ядро вносится около 100 исправлений, однако этого недостаточно. Тестирование с помощью инструмента фаззинга Syzkaller показало, что ядро содержит около 1000 потенциальных проблем безопасности, из которых в год исправляется только 400.
Не хватает людей, которые работали бы над этим. По оценке разработчика, дополнительно требуется еще около 100 человек.
Одной из мер, которая могла бы существенно повлиять на безопасность ядра Linux, по его мнению, мог бы быть уход от потенциально небезопасного языка C. «С Linux, написанным на C, у него по-прежнему будет длинный хвост связанных с этим проблем», — заявил Кук. Он предложил переписать операционную систему «на безопасных для памяти языках, таких как Rust».
Кроме того, используемая для оценки опасности уязвимостей база данных Mitre CVE (Common Vulnerabilities and Exposures), недостаточно подходит для этой цели, так как не все найденные уязвимости в нее попадают и не всегда они попадают в нее своевременно, заявил программист.
По его словам, выходом из этой ситуации могли бы быть постоянные обновления пользовательских систем до самой свежей версии ядра, однако далеко не всем организациям, использующим Linux, такой подход понравится, так как несет потенциальные риски того, что после обновления их программное обеспечение перестанет нормально работать.
Другим улучшением, согласно предложению Кука, мог бы стать переход к более современному инструментарию разработки, отслеживания и исправления ошибок. В частности, он предлагает отказаться от организации рабочего процесса посредством электронной почты и внедрить автоматизированное тестирование.
При этом Кук предложил компаниям перевести часть своих разработчиков на работу над ядром Linux. «Это единственное решение, которое позволило бы обеспечить баланс безопасности при разумных долгосрочных затратах», — сказал он.
Издание отмечает, что бесплатную операционную систему Linux используют такие гиганты, как например Google и Amazon, которые отчитываются о десятках и сотнях миллиардов долларов прибыли в квартал и которые спокойно могли бы нанять сотню специалистов для работы над безопасностью ядра Linux.
