Google akan membayar pengembang kernel untuk fokus pada keamanan

Google akan membayar pengembang kernel untuk fokus pada keamanan melalui inisiatif bersama dengan Linux Foundation.

Linux lebih aman daripada kebanyakan sistem operasi, tetapi itu tidak berarti Anda dapat menerima begitu saja keamanan.

Hasilnya, Google dan Linux Foundation mendanai dua pengembang kernel Linux utama untuk fokus pada keamanan. Ya, Google akan membayar pengembang kernel untuk fokus pada keamanan

Google akan membayar pengembang kernel untuk fokus pada keamanan

Google akan membayar pengembang kernel untuk fokus pada keamanan

Hampir seminggu berlalu tanpa masalah keamanan Windows utama lainnya muncul, sementara masalah keamanan Linux, ketika diperiksa dengan cermat, biasanya berubah menjadi kesalahan yang dibuat oleh administrasi sistem yang tidak kompeten.

Tapi Linux tidak bisa berpuas diri. Ada masalah keamanan Linux nyata yang perlu ditangani.

Di situlah Google dan Linux Foundation menemukan rencana baru untuk berlangganan dua pengelola penuh waktu untuk pengembangan keamanan kernel Linux, Gustavo Silva dan Nathan Chancellor.

Fokus eksklusif Silva dan Kanselir akan menjaga dan meningkatkan keamanan kernel dan inisiatif terkait untuk memastikan keamanan Linux. Pasti ada pekerjaan yang harus diselesaikan.

Seperti yang ditemukan oleh Open Source Security Foundation (OpenSSF) dan Laboratory for Innovation Science di Harvard (LISH) dalam penelitian mereka tentang kontributor open source, keamanan sering diabaikan dalam pengembangan perangkat lunak open source.

True Linux memiliki lebih dari 20.000 karyawan dan, pada Agustus 2020, jutaan orang berkomitmen, tetapi keamanan bukanlah salah satu masalah utamanya.

Sayangnya, semuanya dimulai dari atas. Linus Torvalds, pencipta Linux, tidak terlalu menyukai orang-orang yang membuat peningkatan keamanan di Linux lebih bermasalah dari yang diperlukan.

Pada tahun 2017, dengan gayanya yang tak ternilai harganya, dia menyebut beberapa developer keamanan sebagai “idiot sialan”. Tapi Torvalds, meski sering berwarna-warni, juga memandu programer keamanan.

Dari sudut pandang Torvalds:

“Masalah keamanan hanyalah bug. … Satu-satunya proses yang saya minati adalah proses _development_, di mana kami menemukan bug dan memperbaikinya. ”

Atau, seperti yang dikatakan Torvalds di tahun 2008:

“Bagi saya, keamanan itu penting. Tapi itu tidak kalah penting dari segalanya * lebih * bahwa itu juga penting! ”

Torvalds bukan satu-satunya yang melihatnya seperti itu. Jason A. Donenfeld, pencipta Linux Virtual Private Network (VPN) Wireguard (VPN), mengatakan dalam Milis Kernel Linux (LKML) bahwa “beberapa orang keamanan mencemooh obsesi keamanan orang lain dengan ‘bug keamanan'”.

Dia menambahkan:

“Industri keamanan sebagian besar terobsesi dengan menemukan (dan menjual / menggunakan / mengoreksi / melaporkan / menampilkan / menyimpan / mendeteksi / mencuri) berbagai bug ‘berbahaya / berguna’ ini. Dan obsesi itu terus terisi karena bug terus terjadi – yang merupakan sifat alami dari pengembangan perangkat lunak – dan oleh karena itu, hasrat untuk ‘bug keamanan’ ini terus berlanjut. ”

Meskipun Torvalds dan Donenfeld menyadari pentingnya melindungi Linux, banyak pengembang mendengar penghinaan mereka terhadap peneliti keamanan, meskipun mereka tidak menyadari bahwa mereka berdua menganggap memperbaiki bug keamanan nyata sebagai pekerjaan yang diperlukan.

Hasil? Rata-rata, programmer open source hanya menggunakan 2,27% dari total waktu kontribusinya dengan aman. Lebih buruk lagi, sebagian besar pengembang open source tidak ingin menghabiskan lebih banyak waktu dan tenaga untuk keamanan.

Seperti yang dikatakan David A. Wheeler, direktur keamanan rantai pasokan open source di The Linux Foundation, dalam Laporan Survei Kontributor FOSS 2020:

“Jelas dari temuan tahun 2020 bahwa kami perlu mengambil tindakan untuk meningkatkan keselamatan tanpa membebani karyawan secara berlebihan. “

Solusinya, saran penulis laporan, adalah mencurahkan uang dan sumber daya untuk tujuan keamanan tertentu.

Ini termasuk menambahkan alat terkait keamanan ke pipa integrasi berkelanjutan (CI), audit keamanan, dan sumber daya komputasi. Dengan kata lain, permudah pengembang untuk menambahkan keamanan pada proyek mereka.

Secara khusus, OpenSSF dan LISH menyarankan:

  • Mendanai audit keamanan untuk proyek sumber terbuka kritis dan membutuhkan audit untuk menghasilkan perubahan spesifik yang dapat digabungkan.
  • Menulis ulang bagian atau seluruh komponen proyek FOSS yang rentan terhadap kerentanan untuk menghasilkan hasil yang jauh lebih aman (misalnya, berkontribusi pada penulisan ulang dalam bahasa memori yang aman).
  • Prioritaskan praktik terbaik pengembangan perangkat lunak yang aman.
  • Perusahaan harus membuat pelatihan pengembangan perangkat lunak sebagai persyaratan untuk mempekerjakan atau melanjutkan pengembangan profesional untuk pengembang FOSS berbayar mereka.
  • Gunakan program lencana, program bimbingan, dan pengaruh kontributor FOSS yang dihormati untuk mendorong proyek dan kontributor mereka untuk mengembangkan dan memelihara praktik pengembangan perangkat lunak yang aman.
  • Mendorong proyek untuk memasukkan alat keamanan dan pengujian otomatis sebagai bagian dari pipa integrasi berkelanjutan (CI); idealnya sebagai bagian dari platform manajemen kode standar Anda.

Penyediaan dana Google untuk mengamankan dua pemelihara keamanan Linux penuh waktu menunjukkan pentingnya keamanan dalam keberlanjutan berkelanjutan dari perangkat lunak sumber terbuka.

Dalam sebuah pernyataan, Dan Lorenc, seorang insinyur perangkat lunak di tim Google, mengatakan:

“Di Google, keamanan selalu menjadi pertimbangan dan kami memahami peran penting yang dimainkannya dalam keberlanjutan perangkat lunak sumber terbuka. Kami merasa terhormat untuk mendukung upaya Gustavo Silva dan Kanselir Nathan saat mereka bekerja untuk meningkatkan keamanan kernel Linux. ”

Pekerjaan Kanselir akan fokus pada penyaringan dan memperbaiki semua bug yang ditemukan dengan kompiler Clang / LLVM sambil bekerja membangun sistem CI untuk mendukung alat kompilator Clang dan LLVM.

Dua tahun lalu, Kanselir mulai berkontribusi pada Linux utama di bawah proyek ClangBuiltLinux, yang merupakan upaya kolaboratif untuk mendapatkan konstruksi kernel Linux dengan Clang dan LLVM.

Kernel Linux secara tradisional selalu dikompilasi dengan rantai alat GNU, seperti GCC dan binutils. Utilitas Clang dan LLVM paling modern memungkinkan pengembang membuat bangunan yang lebih bersih dan aman.

Distribusi Linux seperti Android, ChromeOS dan OpenMandriva sudah menggunakan kernel yang terintegrasi dengan Clang.

Kanselir telah mengerjakan kernel Linux selama empat setengah tahun, dan dia berkata bahwa:

“Saya berharap semakin banyak orang akan mulai menggunakan proyek infrastruktur compiler LLVM dan berkontribusi untuk memperbaikinya dan kernel – ini akan banyak membantu meningkatkan keamanan Linux untuk semua orang”

Pekerjaan keamanan Linux penuh waktu Gustavo Silva saat ini didedikasikan untuk menghilangkan berbagai kelas buffer overflows, mengubah semua instance array panjang-nol dan satu elemen menjadi anggota array yang fleksibel, yang merupakan mekanisme yang lebih disukai dan paling tidak rawan kesalahan untuk mendeklarasikan jenis array seperti itu. panjang variabel.

Silva juga sedang mengerjakan perbaikan bug sebelum mencapai jalur utama, sambil secara proaktif mengembangkan mekanisme pertahanan yang menghilangkan seluruh kelas kerentanan. Sebelumnya, Silva memimpin upaya untuk menghilangkan kegagalan switch implisit di kernel Linux.

Silva mengirimkan patch kernel pertamanya pada tahun 2010 dan merupakan anggota aktif dari Kernel Self Protection Project (KSPP). Dia secara konsisten menjadi salah satu dari lima pengembang kernel paling aktif sejak 2017, dengan lebih dari 2.000 komitmen utama.

Selain itu, pekerjaan Silva memengaruhi 27 pohon stabil yang berbeda, naik ke kernel 3.16.

Silva mengatakan bahwa:

“Kami sedang bekerja untuk membangun kernel berkualitas tinggi yang dapat diandalkan, kuat, dan lebih tahan terhadap serangan setiap saat. Melalui upaya ini, kami berharap bahwa orang-orang, pengelola, khususnya, akan menyadari pentingnya mengadopsi perubahan yang membuat kode mereka tidak terlalu rentan terhadap kesalahan umum. ”

Mengenai inisiatif tersebut, Wheeler menambahkan bahwa:

“Memastikan keamanan kernel Linux sangatlah penting, karena ini adalah bagian penting dari komputasi dan infrastruktur modern. Ini mengharuskan kita semua membantu dengan segala cara yang kita bisa untuk memastikan bahwa itu aman dan berkelanjutan. Kami mengucapkan terima kasih khusus kepada Google karena telah berlangganan kerja pengembangan keamanan kernel Linux Gustavo dan Nathan, bersama dengan terima kasih kepada semua pengelola, pengembang, dan organisasi yang telah menjadikan kernel Linux sukses global kolaboratif. ”

Google baru-baru ini menambahkan lebih banyak fitur ke keamanan semua perangkat lunak sumber terbuka. Perusahaan baru-baru ini mengusulkan kerangka kerja, “Ketahui, Cegah, Perbaiki”, agar kita dapat berpikir tentang kerentanan open source dan area konkret untuk ditangani terlebih dahulu, termasuk:

  • Konsensus tentang metadata dan standar identitas: Kami membutuhkan konsensus tentang dasar-dasar untuk menangani masalah kompleks ini sebagai sebuah industri. Kesepakatan tentang metadata dan detail identitas akan memungkinkan otomatisasi, mengurangi upaya yang diperlukan untuk memperbarui perangkat lunak, dan meminimalkan dampak kerentanan.
  • Transparansi dan ulasan yang lebih baik untuk perangkat lunak penting: Untuk perangkat lunak yang sangat penting bagi keamanan, kami perlu menyetujui proses pengembangan yang memastikan revisi yang memadai, menghindari perubahan sepihak, dan secara transparan mengarah ke versi resmi yang terdefinisi dengan baik dan dapat diverifikasi.

Kembali ke Linux secara khusus, inisiatifnya tidak hanya “Google akan membayar pengembang kernel untuk fokus pada keamanan”. Mendanai keamanan dan pengembangan kernel Linux adalah upaya kolaboratif yang membutuhkan dukungan semua orang.

Untuk mendukung pekerjaan seperti ini, diskusi sedang berlangsung di Mengamankan Kelompok Kerja Proyek Kritis dalam OpenSSF. Jika Anda ingin terlibat dalam pekerjaan, sekaranglah kesempatan Anda. Ini bukan hanya tentang Google dan pengembang Linux teratas, setiap orang yang bekerja dengan Linux perlu dilibatkan.