Nelle ultime settimane abbiamo assistito alla scoperta di alcune vulnerabilità del kernel Linux. Non si tratta di semplici bachi che, per quanto anche questi poco piacevoli da trovarsi, non offrono la possibilità di sfruttare qualche feature. Abbiamo assistito alla scoperta di diversi bug di sicurezza, molto più scomodi e pericolosi. Tutti risolti in tempi brevi, per carità, ma può comunque destare preoccupazione trovare, con pochi giorni di distanza, degli errori in grado di poter compromettere (sotto specifiche condizioni, a onor del vero) l'usabilità di un PC con Linux.
Ci sono però delle buone notizie: non si tratta, come è avvenuto in passato, di bug in grado di consentire a un estraneo di compromettere l'integrità del sistema. Per ora infatti, si tratta di bug in grado di causare al massimo dei Denial of Service (Dos), interruzioni del servizio. I bug sono diversi e in particolare riguardano:
- L'implementazione di Ipv6, che può portare un utente locale a causare un Denial of Service
- L'implementazione del bridge in grado di consentire a un malintenzionato di far passare dei pacchetti "spoofed" (cioè con l'intestazione, in particolare mittente e destinatario, contraffatta)
- Un paio di bug in STCP in grado di consentire un Denial of Service da remoto
- Un chiamata di sistema che può causare un'interruzione di servizio su EMT64
- Circa una decina di bug divisi nelle implementazioni di smbfs, moduli scsi, thread, routing, virtual memory, keyring ancora una volta in grado di causare denial of service.
Non è tanto la pericolosità dei bug in sè, quanto il suo numero a preoccupare. Sono tanti, in fondo non rendono Linux meno sicuro, ma certamente porta a pensare. Sta cambiando qualcosa nello sviluppo del kernel? Ci troviamo di fronte a una programmazione meno sicura rispetto a qualche anno fa?
La risposta è no, Linux è solo più complesso rispetto a qualche anno fa. Attualmente supporta un'insieme di architetture hardware incredibile che va dai processori embedded ai cluster. Anche il numero di periferiche supportate è enorme, per non parlare poi delle feature a livello di networking. È ovvio che un sistema più è complesso più è facile riscontrarci degli errori. La loro scoperta non deve preoccupare, anzi.
Penso che siamo di fronte a una fase dove lo sviluppo è portato di pari passo con l'analisi del software. Sempre più investimenti si fanno su Linux, e la disponibilità del codice sorgente consente un'analisi alla ricerca di vulnerabilità. La loro scoperta, paradossalmente, dovrebbe tranquillizzare: per come la vedo io, sapendo che nessun software è esente da bug, un errore scoperto subito è un problema di meno che ci si porta avanti con lo sviluppo.
