Linux-Mailingliste zu Sicherheitsproblemen?

Wann sollen Sicherheitslücken im Linux-Kernel bekannt gemacht werden?

Nach dem Bekanntwerden der letzten Sicherheitslücken im Linux Kernel schlug Chris Wright auf der Kernel-Mailingliste vor, eine separate Liste speziell für die Diskussion von Sicherheitsfragen einzurichten und löste damit eine längere Diskussion aus. Im Kern steht die Frage: Wann sollen Sicherheitslücken im Linux-Kernel bekannt gemacht werden?

Artikel veröffentlicht am 3. Februar 2005, 11:59 Uhr, Jens Ihlenfeld

Zurzeit existiert kein zentraler Ansprechpartner und in der Praxis werden Veröffentlichungen von Fehlern auf der "vendor-sec"-Liste mehrere Tage von den Herstellern blockiert - um zum Beispiel neue Kernel-Pakete vorbereiten zu können, bevor der Fehler später veröffentlicht wird. Zusätzlich zu der Verzögerungstaktik kann man die vendor-sec-Liste auch nicht abonnieren, sondern wird von den Betreibern und derzeitigen Mitgliedern eingeladen.

Ein weiteres Argument ist auch, dass Mails auf der kernel-security-Liste nicht in dem immensen Aufkommen untergehen können. Während der Diskussion stellte Linus Torvalds heraus, dass er eine offene Liste bevorzugt und verglich die Vorgehensweise mit der von Microsoft.

Die Vorstellung von Linus Torvalds, Chris Wright und vielen anderen ist eine Linux-eigene Liste, auf der die Kernel-Entwickler als Ansprechpartner bei Sicherheitsfragen zur Verfügung stehen. Wobei Linus Torvalds sehr wichtig ist, dass keine Zwangsverzögerung stattfindet und die Lücken so auch schneller im offiziellen Kernel behoben sind. [von René Rebe]