Linus Torvalds bekritiseert security aanpak
Kernel ontwikkelaar Chris Wright begon vorige week een discussie over het feit dat security problemen met de kernel op verschillende lijsten besproken worden, en dat het misschien handiger was als er een centraal aanspreekpunt zou komen wat onderzoekers zouden kunnen gebruiken. Linux ontwikkelaar Linus Torvalds heeft zich nu ook in de discussie gemengd en liet weten dat hij één lijst of aanspreekpunt een goed idee vindt, net als het beperken van toegang tot de lijst. Hij is het er niet mee eens dat security advisories onder embargo gepubliceerd worden, zodat aanbieders de tijd hebben om ze te verhelpen. "Ik denk dat kernel bugs zo snel als mogelijk verholpen moeten worden en dat uitstel alleen met excuses te maken heeft. En dat betekent dat zoveel mensen als mogelijk over security problemen moeten worden ingelicht. Bij een gesloten lijst is juist de kans aanwezig dat dingen verloren gaan of voor de verkeerde redenen vertraagd worden." aldus Torvalds in dit artikel.
IMHO al lang moeten zijn. Nu is het vaak lastig bij te
houden wie allemaal vulnerabilities in de kernel heeft
gevonden en in welke kernel versie (vanilla of distributie
specifieke versie) een bepaalde vulnerability verholpen is.
Ik ben ook zeker voor security advisories uitgegeven door
kernel.org met een duidelijke omschrijving van het probleem.
(FreeBSD advisories zijn een mooi voorbeeld.)
Het werd ook wel eens een keer tijd met het populairder
worden van Linux. Sterker nog, dit had al veel eerder moeten
gebeuren.
"I'd be very happy with a 'private' list in the sense that people wouldn't feel pressured to fix it that day," Torvalds wrote. "And I think it makes sense to have some policy where we don't necessarily make them public immediately in order to give people the time to discuss them."
Hij is niet per definitie tegen een semi-gesloten lijst
(bijvoorbeeld om eerst te bespreken wat de Beste Manier is
het probleem te fixen), hij is tegen een lijst die gesloten
is om de verkeerde redenen (bijvoorbeeld om trage
commerciele aanbieders lucht te geven).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.