Ein Slashdot-Leser ist auf eine Studie gestoßen, die 26 Jahre nach dem Streit zwischen Linus Torvalds und Andrew S. Tanenbaum eine Lanze für Microkernel bricht. Geschickterweise tut sie dies anhand kritischer Linux-Sicherheitslücken.

Der Streit zwischen Andrew S. Tanenbaum, dem Erfinder von Minix und Linus Torvalds ist legendär genug, um einen eigenen Wikipedia-Beitrag zu haben. Der noch junge Linux-Erfinder Torvalds stritt sich damals mit dem Universitätsdozenten Tanenbaum über die Vorzüge und Nachteile monolithischer Kernel. Tanenbaum hatte Torvalds Interesse erregt, nachdem er im Usenet einen Post mit dem Titel “LINUX is obsolote” verfasst hatte und im Streit mit Torvalds argumentierte, dass Linux ein “gigantischer Schritt zurück in die 70er Jahre sei”. Für Tanenbaum stand damals fest, dass Microkernel die Zukunft gehören und die x86-Architektur vom Aussterben bedroht sei.

In dieser Hinsicht behielt Tanenbaum Unrecht, erfreuen sich monolithische Kernel doch nach wie vor großer Beliebtheit. Aber inzwischen kristallisieren sich vor allem im Sicherheitsbereich auch die Nachteile der monolithischen Kernel heraus. Diese liegen unter anderem in einer größeren Angriffsfläche und designbedingten Sicherheitslücken, behaupten jedenfalls die Verfasser einer neuen Studie [PDF].

Diese wurde unter anderem im Rahmen des neunten Asia-Pacific Workshops über Systeme in Südkorea vorgestellt (APSys 2018). Sie soll die häufig aufgestellte Annahme untermauern, nach der die Sicherheit eines Systems wachse, wenn die Trusted Computing Base (TCB) möglichst klein ausfalle (was für den Einsatz von Microkernel spräche).

Microkernel sicherer

Die Macher der Studie, Simon Biggs, Damon Lee und Gernoit Heiser, wollten diese Annahme wissenschaftlich belegen. Dazu haben sie anhand zahlreicher kritischer Sicherheitslücken im Linux-Kernel untersucht, ob ein Microkernel-basiertes Design diese hätte verhindern können. Sie kommen zu dem Schluss, dass so ein Design die Lücken in der überwiegenden Mehrheit der Fälle (96 Prozent) zumindest soweit abgeschwächt hätte, sodass sie nicht mehr kritisch gewesen wären. 40 Prozent der Lücken wären mit einem verifizierten Microkernel wie Sel4 komplett verschwunden, 29 Prozent mit einem nicht-verifizierten.

Als Fazit kommt die Studie zu dem nachvollziehbaren Schluss, dass ein monolithisches Design aus der Security-Perspektive problematisch sei. Ein Umbau des Linux-Kernel ist zwar auch nach der Studie nicht zu befürchten, einige Unternehmen bewerten die Microkernel-Vorteile aber inzwischen offenbar anders: Beispielsweise setzt Googles neues Betriebssystem Fuchsia mit dem Zircon-Kernel auf Microkernel. Dabei hilft, dass sich auch die Microkernel weiterentwickeln und inzwischen einige auch quelloffene Vertreter auf dem Markt gibt.