天氣預報
2003-12-10, 03:14 PM
Linux紅了 攻擊跟著多起來
CNET新聞專區：Robert Lemos 10/12/2003
最近連續發生數起攻擊自由開放原始碼軟體伺服器事件，使得開發人員不得不謹慎因應此一最新局勢。
過去四月來，不明入侵者接連攻破Linux核心開發小組、Debian Project、Gentoo Linux Project與GNU Project等專門放置程式與原始碼的伺服器。GNU Project更是管理許多Linux與其他類Unix系統所使用的重要程式開發。接二連三的攻擊事件也讓這些專案領導人紛紛回頭檢視自己的安全。
「這批主要針對開放原始碼伺服器與核心開放原始碼開發伺服器的攻擊的確引人側目。」負責Gentoo Linux原始碼散佈系統的成員Corey Shields表示。「大家擔心的是有人意圖不軌，刻意變更核心軟體，那使用者用到的都是被動過手腳的產品。」
雖然微軟的Windows向來是駭客主要瞄準對象，但在開放原始碼模式逐漸成為氣候之後，現在也成了攻擊者覬覦的對象。Linux OS與其他開放原始碼應用越來越熱門，駭客興趣也跟著大增。即使自認為已經做好相關安全措施的開發人員現在也不禁開始擔心此一趨勢。
「大家都不希望自己是下一個受害者，必須跑在駭客之前做好保護措施才行。」Samba Project(可相容於Windows網路的熱門開放原始碼檔案伺服器計畫)共同創始人暨開發人員Jeremy Allison表示。
一連四起
12月1日，專門提供Gentoo原始碼下載的一台伺服器(總數105台)遭入侵，所幸主要的原始碼資料庫並沒有遭到威脅。遭入侵的伺服器上所安裝的安全軟體立即偵測到此一攻擊，並做了完整的紀錄。
在此之前，11月份的一起攻擊則瞄準Linux核心(kernel)，此次是一位開發人員的系統被入侵用來當作攻擊踏板，該入侵者利用被入侵的電腦來傳送程式碼給另一台伺服器，若有人安裝該程式碼，便可能遭到攻擊者取得系統權限。該起攻擊事件在24小時便被偵測到。
其他攻擊事件則更為嚴重。入侵者取得進入GNU Project開發系統Savannah的權限；另一起事件中，四台用來管理Debian版本開發與社群作為的Debian Project伺服器也被取得完整權限。
兩起攻擊行徑都相當類似：入侵者先取得合法的使用者登入帳號密碼，再利用一個最近被發現的Linux核心漏洞取得系統所有人的權限。Debian與GNU計畫領導人目前先把系統下線，開發人員全都無法存取，直至確定安全無虞後才會再開放。
GNU Project表示最近這起攻擊事件，加上稍早三月FTP伺服器被侵入事件，導致領導階層開始做些改變以為因應。
新增數位簽章
「我們預期在Savannah事件後會採取一些行動，」自由軟體基金會法務長Eben Moglen表示，該基金會負責GNU Project，專門提供Unix與Linux系統專用的自由軟體。這些行動包括，專案領導人會強迫開發人員在所有貢獻的程式碼中做數位簽章程序，同時也會在公開給大眾的開放原始碼維護系統中新增額外的功能，在接受任何變更前會先檢查開發人員的數位簽章。
「我們認為新增數位簽章是最有效的辦法，可確保我們接受原始碼的完整性。」Moglen表示。
GNU Project將自己所提供的程式稱為自由(free)軟體，因為這些程式在散佈時都得受GNU公共授權書約束，它允許大家變更並自行重新散播軟體，但前提是變更過的程式碼也必須一起散佈出來。其概念是希望藉由大眾的共同參與來自由共享、改善、使用軟體。
但批評者認為，這樣的軟體開發模式也必須付出看不見的代價。微軟資訊安全總經理Greg Wood表示，「用在商業流程上，開放原始碼有其代價，企業必須自行做好安全檢查，所有流程建立也必須自行負擔。」
微軟也有自己的問題。例如，在2000年十月，入侵者便透過某位開發人員的電腦取得微軟網路的使用權限。自此之後，微軟發起信賴運算計畫(Trustworthy Computing)，力圖保護軟體與開發流程的安全性。
開發人員指出，最近幾起攻擊事件雖然導致不肖份子取得部分電腦的權限，但對於開發部分並不受影響，因為這些計畫已經採取相關的安全措施作為回應。
「最近幾次入侵事件都能很被快發現，主因是主網站多半沒有對外開放，入侵者若在第二層網站進行變更就會被數個安全機制察覺到，」Linux核心使創者以及現行維護者Linus Torvalds表示。
Torvalds多次改變安全策略。早期還在芬蘭赫爾辛基大學唸書時，他將Linux核心版本放在一台可透過校園網路存取的機器上。現在，Linux核心伺服器則由多道防火牆保護著，並透過SSH加密通訊與加密簽名來確保完整性。
Torvadls現在所使用的開放原始碼核心維護應用是由BitMore所研發，該公司創始人Larry McVoy強調，每個計畫都應該使用這類簽名(或稱checksums)來確保開放原始碼沒有被亂改。
「若你的資料沒經過checksum檢驗，你覺得不會有事，那你就是在自找麻煩。」McVoy說。
包括Debian Project、Gentoo Linux、Samba Project都已開始採用外部checksums來檢驗檔案是否在遭受入侵期間被動過手腳。MandrakeSoft創始人Gael Duval表示，這類技術讓專案維護工作輕鬆不少。
「安全問題不是始於今日，解決方案也早已存在市場，」Duval說。「最重要的是系統管理員與用戶必須重視安全性。」
不怕被動手腳 只怕小蟲
不過Apache軟體基金會的開發人員Justin Erenkrantz則表示開放原始碼的開發模式其實讓安全問題減輕不少，由於開發屬於分散式模式，因此還有其他許多資料儲存器(repository)可用來檢視主伺服器內的程式碼是否完整。
「若apache.org遭到入侵，我們可檢視每個開發人員都能與資料儲存器同步化，沒有被加入惡意程式碼。」Erenkrantz表示。
Torvalds也同意這種看法，他表示若核心開發主伺服器遭入侵，開放原始碼社群還是有其他檢驗平衡措施可做補救。
「最重要的是，最後總會被查出來，」Torvalds說，「核心原始碼不斷被複製，我們總是找得出哪裡被偷放了不該放的程式。」
Torvalds認為，一些簡單的錯誤反而比惡意攻擊者來得可怕。
「我個人比較擔心一些常見的臭蟲，」Torvalds表示，「大部分被發現的核心漏洞都是一些很愚蠢的小蟲，就像Debian被咬到的那隻，而非什麼特別厲害的駭客在幹壞事。」(陳奭璁)
http://taiwan.cnet.com/news/software/0,2000064574,20086334,00.htm
贊助商連結
CNET新聞專區：Robert Lemos 10/12/2003
最近連續發生數起攻擊自由開放原始碼軟體伺服器事件，使得開發人員不得不謹慎因應此一最新局勢。
過去四月來，不明入侵者接連攻破Linux核心開發小組、Debian Project、Gentoo Linux Project與GNU Project等專門放置程式與原始碼的伺服器。GNU Project更是管理許多Linux與其他類Unix系統所使用的重要程式開發。接二連三的攻擊事件也讓這些專案領導人紛紛回頭檢視自己的安全。
「這批主要針對開放原始碼伺服器與核心開放原始碼開發伺服器的攻擊的確引人側目。」負責Gentoo Linux原始碼散佈系統的成員Corey Shields表示。「大家擔心的是有人意圖不軌，刻意變更核心軟體，那使用者用到的都是被動過手腳的產品。」
雖然微軟的Windows向來是駭客主要瞄準對象，但在開放原始碼模式逐漸成為氣候之後，現在也成了攻擊者覬覦的對象。Linux OS與其他開放原始碼應用越來越熱門，駭客興趣也跟著大增。即使自認為已經做好相關安全措施的開發人員現在也不禁開始擔心此一趨勢。
「大家都不希望自己是下一個受害者，必須跑在駭客之前做好保護措施才行。」Samba Project(可相容於Windows網路的熱門開放原始碼檔案伺服器計畫)共同創始人暨開發人員Jeremy Allison表示。
一連四起
12月1日，專門提供Gentoo原始碼下載的一台伺服器(總數105台)遭入侵，所幸主要的原始碼資料庫並沒有遭到威脅。遭入侵的伺服器上所安裝的安全軟體立即偵測到此一攻擊，並做了完整的紀錄。
在此之前，11月份的一起攻擊則瞄準Linux核心(kernel)，此次是一位開發人員的系統被入侵用來當作攻擊踏板，該入侵者利用被入侵的電腦來傳送程式碼給另一台伺服器，若有人安裝該程式碼，便可能遭到攻擊者取得系統權限。該起攻擊事件在24小時便被偵測到。
其他攻擊事件則更為嚴重。入侵者取得進入GNU Project開發系統Savannah的權限；另一起事件中，四台用來管理Debian版本開發與社群作為的Debian Project伺服器也被取得完整權限。
兩起攻擊行徑都相當類似：入侵者先取得合法的使用者登入帳號密碼，再利用一個最近被發現的Linux核心漏洞取得系統所有人的權限。Debian與GNU計畫領導人目前先把系統下線，開發人員全都無法存取，直至確定安全無虞後才會再開放。
GNU Project表示最近這起攻擊事件，加上稍早三月FTP伺服器被侵入事件，導致領導階層開始做些改變以為因應。
新增數位簽章
「我們預期在Savannah事件後會採取一些行動，」自由軟體基金會法務長Eben Moglen表示，該基金會負責GNU Project，專門提供Unix與Linux系統專用的自由軟體。這些行動包括，專案領導人會強迫開發人員在所有貢獻的程式碼中做數位簽章程序，同時也會在公開給大眾的開放原始碼維護系統中新增額外的功能，在接受任何變更前會先檢查開發人員的數位簽章。
「我們認為新增數位簽章是最有效的辦法，可確保我們接受原始碼的完整性。」Moglen表示。
GNU Project將自己所提供的程式稱為自由(free)軟體，因為這些程式在散佈時都得受GNU公共授權書約束，它允許大家變更並自行重新散播軟體，但前提是變更過的程式碼也必須一起散佈出來。其概念是希望藉由大眾的共同參與來自由共享、改善、使用軟體。
但批評者認為，這樣的軟體開發模式也必須付出看不見的代價。微軟資訊安全總經理Greg Wood表示，「用在商業流程上，開放原始碼有其代價，企業必須自行做好安全檢查，所有流程建立也必須自行負擔。」
微軟也有自己的問題。例如，在2000年十月，入侵者便透過某位開發人員的電腦取得微軟網路的使用權限。自此之後，微軟發起信賴運算計畫(Trustworthy Computing)，力圖保護軟體與開發流程的安全性。
開發人員指出，最近幾起攻擊事件雖然導致不肖份子取得部分電腦的權限，但對於開發部分並不受影響，因為這些計畫已經採取相關的安全措施作為回應。
「最近幾次入侵事件都能很被快發現，主因是主網站多半沒有對外開放，入侵者若在第二層網站進行變更就會被數個安全機制察覺到，」Linux核心使創者以及現行維護者Linus Torvalds表示。
Torvalds多次改變安全策略。早期還在芬蘭赫爾辛基大學唸書時，他將Linux核心版本放在一台可透過校園網路存取的機器上。現在，Linux核心伺服器則由多道防火牆保護著，並透過SSH加密通訊與加密簽名來確保完整性。
Torvadls現在所使用的開放原始碼核心維護應用是由BitMore所研發，該公司創始人Larry McVoy強調，每個計畫都應該使用這類簽名(或稱checksums)來確保開放原始碼沒有被亂改。
「若你的資料沒經過checksum檢驗，你覺得不會有事，那你就是在自找麻煩。」McVoy說。
包括Debian Project、Gentoo Linux、Samba Project都已開始採用外部checksums來檢驗檔案是否在遭受入侵期間被動過手腳。MandrakeSoft創始人Gael Duval表示，這類技術讓專案維護工作輕鬆不少。
「安全問題不是始於今日，解決方案也早已存在市場，」Duval說。「最重要的是系統管理員與用戶必須重視安全性。」
不怕被動手腳 只怕小蟲
不過Apache軟體基金會的開發人員Justin Erenkrantz則表示開放原始碼的開發模式其實讓安全問題減輕不少，由於開發屬於分散式模式，因此還有其他許多資料儲存器(repository)可用來檢視主伺服器內的程式碼是否完整。
「若apache.org遭到入侵，我們可檢視每個開發人員都能與資料儲存器同步化，沒有被加入惡意程式碼。」Erenkrantz表示。
Torvalds也同意這種看法，他表示若核心開發主伺服器遭入侵，開放原始碼社群還是有其他檢驗平衡措施可做補救。
「最重要的是，最後總會被查出來，」Torvalds說，「核心原始碼不斷被複製，我們總是找得出哪裡被偷放了不該放的程式。」
Torvalds認為，一些簡單的錯誤反而比惡意攻擊者來得可怕。
「我個人比較擔心一些常見的臭蟲，」Torvalds表示，「大部分被發現的核心漏洞都是一些很愚蠢的小蟲，就像Debian被咬到的那隻，而非什麼特別厲害的駭客在幹壞事。」(陳奭璁)
http://taiwan.cnet.com/news/software/0,2000064574,20086334,00.htm
贊助商連結