• IT-Karriere:
  • Services:

Linux: Hardware soll Schlüssel der Kernel-Entwickler schützen

Die Linux Foundation sorgt sich schon länger um die Sicherheit des Codes in der Kernel-Entwicklung und macht Werbung für PGP-signierte Git-Tags und Code-Beiträge. Linux-Entwickler können nun auch kostenlos Kryptohardware beziehen, um ihre Schlüssel abzusichern.

Artikel veröffentlicht am , Kristian Kißling/Linux Magazin/
Bei der verteilten Entwicklung von Linux schafft PGP Vertrauen.
Bei der verteilten Entwicklung von Linux schafft PGP Vertrauen. (Bild: nomis-simon, flickr.com/CC-BY 2.0)

Die über die Welt verteilte Entwicklung des Linux-Kernels basiert auf dem Vertrauen der einzelnen Entwickler und Maintainer zueinander. Um dieses Vertrauen auf die Integrität des Codes selbst zu übertragen, empfiehlt die Linux Foundation und hier vor allem der für die IT-Security der Kernel-Infrastruktur zuständige Entwickler Konstantin Ryabitsev die Nutzung von PGP-Schlüsseln zum Signieren das Codes. Diese Schlüssel will die Linux Foundation laut einem Blogpost nun besser schützen.

Stellenmarkt
  1. WBS GRUPPE, deutschlandweit (Home-Office)
  2. DEHOGA Baden-Württemberg e. V., Stuttgart

In Partnerschaft mit dem Berliner Unternehmen Nitrokey dürfen Kernel-Entwickler künftig kostenlos einen Nitrokey Start bestellen, der dann den PGP-Schlüssel sicher in Hardware aufbewahrt, die per USB an einen Rechner angeschlossen wird. Zusätzlich zu den Hardware-Schlüsselspeichern bietet die Linux Foundation einen PGP-Guide für Kernel Maintainer an, der die Rolle der Verschlüsselungssoftware in der Kernel-Entwicklung im Detail beschreibt.

Auf dem Kernel Summit, der im vergangenen Herbst in Prag stattgefunden hat, hat Ryabitsev die Grundlagen dazu bereits der Community in einem Vortrag (PDF) erklärt. Denn offenbar haben noch nicht alle Kernel-Entwickler die Nutzung von PGP und den Hardwarespeichern verinnerlicht.

Die PGP-Schlüssel, so sie denn genutzt werden, dienen dazu, einzelne Codebeiträge oder auch Git-Tags, also etwa bestimmte Versionsstände, zu signieren und damit deren Integrität zu garantieren. Die Schlüssel lagern aber gewöhnlich auf den Rechnern der Entwickler. Fallen sie Angreifern in die Hände, können diese unter Umständen eigene Beiträge in den Kernel-Entwicklungsprozess einschleusen, falls der Subsystem-Maintainer nicht so genau hinschaut. Die Verwendung der speziellen Schlüssel-Hardware soll dies jedoch verhindern oder wenigstens deutlich erschweren.

Das Angebot der kostenlosen Nitrokey-Geräte gilt für Kernel-Entwickler, die im Maintainers-File gelistet sind oder über einen Account auf Kernel.org verfügen. Der Schlüssel lässt sich nur dann auslesen, wenn der Nutzer den USB-Stick an seinen Computer steckt und zur Schlüsselfreigabe eine PIN eingibt. Nach sechs Fehlversuchen sperrt sich der Nitrokey Start automatisch, was Brute-Force-Angriffe verhindern soll. In diesem Fall muss der User den Schlüssel dann über ein zuvor angelegtes Backup wiederherstellen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. (-28%) 17,99€
  2. 4,32€
  3. (-72%) 8,50€
  4. 29,99€

tg-- 09. Apr 2018

Stimmt, die Yubikeys haben einen angenehmeren Formfaktor. Ich denke die Nutzerbasis...

randomOppinion 07. Apr 2018

Die Blockchain Sicherheit wie ja auch derart sichergestellt.


Folgen Sie uns
       


Pocketalk Übersetzer - Test

Mit dem Pocketalk können wir gesprochene Sätze in eine andere Sprache übersetzen lassen. Im Test funktioniert das gut, allerdings macht Pocketalk auch nicht viel mehr als gängige und kostenlose Übersetzungs-Apps.

Pocketalk Übersetzer - Test Video aufrufen
Sendmail: Software aus der digitalen Steinzeit
Sendmail
Software aus der digitalen Steinzeit

Ein nichtöffentliches CVS-Repository, FTP-Downloads, defekte Links, Diskussionen übers Usenet: Der Mailserver Sendmail zeigt alle Anzeichen eines problematischen und in der Vergangenheit stehengebliebenen Softwareprojekts.
Eine Analyse von Hanno Böck

  1. Überwachung Tutanota musste E-Mails vor der Verschlüsselung ausleiten
  2. Buffer Overflow Exim-Sicherheitslücke beim Verarbeiten von TLS-Namen
  3. Sicherheitslücke Buffer Overflow in Dovecot-Mailserver

Apex Pro im Test: Tastatur für glückliche Gamer und Vielschreiber
Apex Pro im Test
Tastatur für glückliche Gamer und Vielschreiber

Steelseries bietet seine mechanische Tastatur Apex 7 auch als Pro-Modell mit besonderen Switches an: Zum Einsatz kommen sogenannte Hall-Effekt-Schalter, die ohne mechanische Kontakte auskommen. Besonders praktisch ist der einstellbare Auslösepunkt.
Ein Test von Tobias Költzsch

  1. Bluetooth und Ergonomic Keyboard Microsoft-Tastaturen kommen nach Deutschland
  2. Peripheriegeräte Microsofts neue Tastaturen haben Office- und Emoji-Tasten
  3. G Pro X Gaming Keyboard Logitech lässt E-Sportler auf austauschbare Tasten tippen

Echo Dot mit Uhr und Nest Mini im Test: Amazon hängt Google ab
Echo Dot mit Uhr und Nest Mini im Test
Amazon hängt Google ab

Amazon und Google haben ihre kompakten smarten Lautsprecher überarbeitet. Wir haben den Nest Mini mit dem neuen Echo Dot mit Uhr verglichen. Google hat es sichtlich schwer, konkurrenzfähig zu Amazon zu bleiben.
Ein Test von Ingo Pakalski

  1. Digitale Assistenten Amazon verkauft dreimal mehr smarte Lautsprecher als Google
  2. Googles Hardware-Chef Osterloh weist Besuch auf smarte Lautsprecher hin
  3. Telekom Smart Speaker im Test Der smarte Lautsprecher, der mit zwei Zungen spricht

    •  /