Open Source im professionellen Einsatz

Kernel-Security: Linus disst Grsecurity

28.06.2017

Mit seinem üblichen diplomatischen Feingefühl machte Linus Torvalds auf der Kernel-Mailingliste deutlich, was er von Grsecurity hält: eher wenig.

530

Das Geschäftsmodell von Grsecurity (Greater Security) besteht darin, ihren Kunden einen Kernel mit zusätzlichen Sicherheitsfeatures anzubieten. Ursprünglich stellte die Firma die Patches auch der Öffentlichkeit zur Verfügung, seit April 2017 tut sie dies nicht mehr. Bereits seit August 2015 bot die Firma ihre Stable Patches nur noch zahlenden Kunden an. Ob das mit der GPL vereinbar ist, ist umstritten.

"Ihre Patches sind reiner Müll" antwortete Linus auf einen Vorschlag, sich im Zuge der Stack-Clash-Sicherheitslücke doch mal die Patches von Grsecurity anzusehen. "Diese Sache ist ein Witz und sie sind Clowns", schrieb der Kernelvater weiter. Er habe aufgehört, sie freundlich zu behandeln, nachdem sie geäußert hatten, dass sie ausgenutzt würden. Sie würden sich nicht darum scheren, so Torvalds weiter, Dinge kaputt zu machen, um es dann auf die "Extra-Security" zu schieben.

Torvalds betrachtet Security Bugs wie gewöhnliche Fehler im Code und weigert sich seit Jahren, ihnen einen besonderen Stellenwert einzuräumen. Daher akzeptiert er auch Security-Patches nur in kleinen überschaubaren Code-Einheiten.

I personally consider security bugs to be just 'normal bugs.' I don't cover them up, but I also don't have any reason what-so-ever to think it's a good idea to track them and announce them as something special.

Mit seiner non-chalanten Art in Security-Dingen treibt er Experten wie Brad Spengler von Grsecurity regelmäßig zur Weißglut. Spenglers Antwort auf Torvalds Ausfall ließ dementsprechend nicht lange auf sich warten. Er warf Linus vor, schon seit 16 Jahren die Security zu vernachlässigen und nannte diverse Beispiele dafür. Das von Torvalds akzeptierte und im November 2015 von Google initiierte Kernel Self Protection Project (KSPP) würde den Grsecurity-Code einfach (schlecht) kopieren. Spengler wandte sich später mit der rhetorischen Frage an Linus, was denn an seinem Fix für den Heap Stack Gap Issue vor sieben Jahren Mist gewesen sei, den Linus nicht repariert habe.

Torvalds Antwort kam postwendend. Er sähe es lieber, wenn Spengler akzeptable Patches schicken würde, was er bislang nie getan habe. Vielmehr hätten andere Entwickler die Grsecurity-Patches aufgeräumt und diese in einen akzeptablen Zustand gebracht. Er habe nicht diesen einzelnen Fix gemeint, sondern generell die Patches von Grsecurity, schrieb Linus zurück.

Spengler zerlege den Code nicht in für Upstream konsumierbare Teile. Wenn dann jemand anders diesen Job übernehme, beschwere er sich, dass man seine Arbeit ausnutze und versuche, den Code zu privatisieren. Es sei weniger Arbeit für Entwickler, die Dinge neu zu implementieren als auf das Patch-Durcheinander anzuschauen. Spengler solle doch mal versuchen, seine Arbeit in Upstream-Projekte zu integrieren, individuelle Patches senden mit Commit-Logs.

Das würde er, wenn man ihn dafür bezahle, gab Spengler zurück. Er zitierte dann einen Bericht der Core Infrastructure Initiative (CII) von 2016, der feststellte, dass es nicht genügend fähige Entwickler für die Security-Arbeit am Kernel gebe, die ohne Bezahlung an solchen Problemen arbeiten möchten. Er verstehe gar nicht, machte sich Spengler lustig, warum den Kernel-Security-Experten Beschimpfungen als Lohn nicht ausreichen. Er wünsche Linus und allen die "dumm genug seien" für ihn und seine Multi-Milliarden-Dollar-Sponsoren zu arbeiten, viel Glück.

Ähnliche Artikel

comments powered by Disqus

Stellenmarkt

Artikelserien und interessante Workshops aus dem Magazin können Sie hier als Bundle erwerben.