Un montón de cosas buenas le sucedió al kernel de Linux el año pasado gracias a un grupo de personas. Por otra parte, es interesante ver que la mayoría de las características han sido escritas por investigadores de seguridad y no "los principales desarrolladores del kernel" (con excepción de Ingo Molnar, quien demostró mucha buena voluntad siempre).
Esta puede ser la explicación de por qué cada parche aplicado fue el fruto de interminables discusiones (podemos aplaudir su paciencia)...
Esta es sólo ahora que se empieza a entender lo mucho que Brad Spengler tenía razón cuando declaró la guerra contra el LSM. ¿Deben los mantenedores de la "Seguridad" del subsistema dejar su torre de marfil y empezar a entender la vida real de un syadmin? El tipo de persona que no tiene tiempo para actualizar todos los servidores a la última versión git, ni para escribir SELinux que, por cierto, sería inútil una vez que se descubre una vulnerabilidad del kernel.
De todos modos, esto es sólo la opinión de un hombre involucrado en el circo de la seguridad...
Sin embargo, todavía podemos ser felices de ver que esos cambios finalmente se unen. Y con un poco de suerte, podemos esperar que algún día, mmap_min_addr no haga bypass para... Y que las características proactivas necesiten que los investigadores combinen múltiples vulnerabilidades para explotar una falla.
No digo que no habrá más errores, Dios nos libre, pero espero que el coste de explotación sea tan elevado que sólo una pequeña fracción del atacante tenga la capacidad de hacerlo.
En este punto, los investigadores de seguridad tienen que sumergirse en "errores de lógica", como las vulnerabilidades de Taviso LD_PRELOAD/LD_AUDIT que estaban pasando por alto la mayor parte de las protecciones para hacerlo más seguro disponibles.
No hay comentarios:
Publicar un comentario