Die Ankündigung eines Kernel-Self-Protecting-Projekts und Medienberichte über Linus Torvalds vermeintliche Abneigung gegen Security-Themen haben eine Debatte zum Thema Kernel-Sicherheit entfacht. Nun meldet sich auch Linux-Entwickler Matthew Garrett zu Wort.

Google-Entwickler und Linux-Hacker Kees Cook hat beim Start des Kernel Self Protection Project auf einen Artikel in der Washington Post verwiesen, der die angeblich laxe Haltung von Linux-Erfinder und -Hüter Linus Torvalds gegenüber Sicherheitsfragen anprangert. In Repliken darauf hat sich unter anderen Rob Graham gemeldet, der auf Twitter schreibt, dass es Hackern noch nie gelungen wäre, Schwächen im Linux-Kernel auszunutzen.

Matthew Garrett hat sich vor kurzem aus Protest wegen des rüden Umganstons auf der Kernel-Mailingliste aus der Kernel-Community verabschiedet. Er blogt nun zum Thema Security, dass Graham falsch liege und das Thema Sicherheit zu lax behandelt werde. Er nennt Android-Geräte und den öfter darauf befindlichen fehlerhaften Kernel als Beispiel für Sicherheitsprobleme. Das italienische Hacking-Team habe davon schon profitiert und das eigentlich zum Schutz bei Android zum Zuge kommende Selinux einfach deaktiviert.

Matthew Garrett räumt in seinem Blogpost ein, dass der Userspace das größte Gefahrenpotenzial aufweist, dennoch sei der derzeit praktizierte Ansatz der Kernel-Sicherung falsch, der nach dem Motto verfährt, “Wir schließen Sicherheitslücken wenn wir sie finden”. Die Methode “Fix security bugs as we find them” versage aus zwei Gründen. Erstens entstehe eine zeitliche Lücke zwischen dem Schließen der und dem Ausrollen der neuen Version, zweitens seien es nicht immer die Guten, die eine Lücke zuerst entdecken. Bräuchte es keine umfangreichen Tests, bevor ein Software-Update veröffentlicht wird, und gäbe es nur Gutmenschen, die nach Sicherheitslücken Ausschau halten, könnte der bislang angewandte Ansatz funktionieren, in der bestehenden Welt funktioniere er nicht, lautet Garretts Fazit. Er empfiehlt zur Lösung des Problems, dass sich verantwortungsbewusste Entwickler dem Projekt von Kees Cook anschließen.