Gentoo Foundation
Een groep Gentoo-ontwikkelaars met sociale media organiseerde vandaag een AMA-sessie op Reddit en ze schrokken er niet voor terug om moeilijke vragen te beantwoorden. Veel hiervan waren gerelateerd aan beveiligingskwesties, en men vond dat Gentoo Linux al de reputatie heeft voorop te lopen als het gaat om beveiligingsupdates.
De distributie heeft een wekelijks doorlopend releaseschema dat ervoor zorgt dat een overweldigende meerderheid van de gebruikers te allen tijde up-to-date pakketten gebruikt. Een probleem dat naar voren kwam, was wat er zou kunnen gebeuren als de broncode van een populair pakket een soort trojan bevat. Oude Linux-gebruikers herinneren zich misschien dat de broncode van de UnrealIRCd-server op een gegeven moment een achterdeur bevatte, hoewel de ontwikkelaars het probleem corrigeerden zodra ze het ontdekten.
Aangezien Gentoo de broncode lokaal compileert volgens de voorkeuren van de gebruiker, zou het normaal gesproken niet in gevaar komen als gevolg van een gekraakt binair bestand. Er kan echter een probleem zijn als bronpakketten op de een of andere manier zijn gecompromitteerd.
Volgens de beveiligingsexperts van Gentoo zijn er maar een paar mogelijke manieren waarop dit kan gebeuren. Als de upstream-opslagplaats voor een stukje broncode een trojan bevat, dan zou het moeilijk zijn om stroomafwaarts te vangen. Dit soort Linux-beveiligingsprobleem zou veel distributies beïnvloeden en niet alleen Gentoo.
Als een tar-bestand ergens verderop in de rij zou worden verwisseld, zou het niet uitmaken of de upstream-bron schoon was. Echter, het gebruik van OpenPGP om de uitgave te ondertekenen voordat deze wordt toegevoegd aan de ebuild repository op Gentoo samen met het inspecteren van checksums helpt om ervoor te zorgen dat dit in de meeste situaties geen probleem zou moeten zijn.
De opmerkingen van de AMA hielpen ook om enkele andere methoden te verduidelijken die worden gebruikt om dit soort dingen te voorkomen. Wanneer pushes of commits worden toegevoegd aan een repository, worden ze ondertekend door de ontwikkelaars. Door een master rsync staging-gebied te implementeren om commits te verdikken en ze vervolgens toe te voegen aan een MetaManifest dat ook is ondertekend, is sleutelrotatie vrij eenvoudig geworden voor de ontwikkelaars.
Een hernieuwde nadruk op Linux-beveiligingskwesties is aanwezig in bijna alle grote distributies, maar het blijkt zeker uit deze commentaren dat Gentoo een extra stap heeft gedaan om de veiligheid van hun implementatie te verzekeren.
Tags Linux-beveiliging
