לינוס על בעיות אבטחה בקרנל הלינוקס: לגלות או לא לגלות?

במהלך דיון ברשימת התפוצה של הקרנל שנערך בעקבות הצעה לרכז את כל דיווחי פרצות האבטחה בקרנל הלינוקס לרשימת תפוצה אחת, לינוס טורבלדס הביע תמיכה ברעיון ריכוז הבעיות לרשימה אחת. כמוכן לינוס תומך באפשרות שרשימת התפוצה הזו תוכל להשהות פרסום ציבורי למשך מספר ימים, אך ורק כדי למנוע לחץ על המפתחים לשחרר תיקון בו ביום, וכן לאפשר דיון מעמיק בכל בעיה בטרם הפרצה זכתה לתהודה ציבורית.

לינוס מתנגד לאפשר זכות למאן דהוא לבקש חסיון על הבעיה - בין אם מדובר במדווח הבעיה ובין אם מדובר בספק תוכנה כלשהו. הוא חושב שיש לתקן כל בעיה בהקדם האפשרי, והשהיית פרסום מעבר למספר ימים בודדים הנדרשים לתיקון איכותי של הבעיה אינו קביל.

לינוס מבקר את המדיניות של רשימת התפוצה vendor-sec הגורמת לכך שלפעמים יצרני הפצות משחררים תיקונים לבעיות אבטחה בטרם שוחרר תיקון רשמי. הוא גם טוען שרשימה זו מטילה חסיון על בעיות מסיבות פוליטיות ולכן היא לא תמיד פועלת לטובת המשתמשים, ומסביר ששקיפות מלאה היא אחד היתרונות של לינוקס מול תוכנה קניינית, כמו חלונות שבעיות אבטחה בה מוסתרות לפעמים למשך זמן רב.

קישורים:

Internet News, Torvalds Criticizes Security Approaches,
Kernel Trap, Linux: Reporting Kernel Security Issues