Linux: Hardware soll Schlüssel der Kernel-Entwickler schützen
Die über die Welt verteilte Entwicklung des Linux-Kernels basiert auf dem Vertrauen der einzelnen Entwickler und Maintainer zueinander. Um dieses Vertrauen auf die Integrität des Codes selbst zu übertragen, empfiehlt die Linux Foundation und hier vor allem der für die IT-Security der Kernel-Infrastruktur zuständige Entwickler Konstantin Ryabitsev die Nutzung von PGP-Schlüsseln zum Signieren das Codes. Diese Schlüssel will die Linux Foundation laut einem Blogpost(öffnet im neuen Fenster) nun besser schützen.
In Partnerschaft mit dem Berliner Unternehmen Nitrokey dürfen Kernel-Entwickler künftig kostenlos einen Nitrokey Start(öffnet im neuen Fenster) bestellen, der dann den PGP-Schlüssel sicher in Hardware aufbewahrt, die per USB an einen Rechner angeschlossen wird. Zusätzlich zu den Hardware-Schlüsselspeichern bietet die Linux Foundation einen PGP-Guide für Kernel Maintainer(öffnet im neuen Fenster) an, der die Rolle der Verschlüsselungssoftware in der Kernel-Entwicklung im Detail beschreibt.
Auf dem Kernel Summit(öffnet im neuen Fenster) , der im vergangenen Herbst in Prag stattgefunden hat, hat Ryabitsev die Grundlagen dazu bereits der Community in einem Vortrag ( PDF(öffnet im neuen Fenster) ) erklärt. Denn offenbar haben noch nicht alle Kernel-Entwickler die Nutzung von PGP und den Hardwarespeichern verinnerlicht.
Die PGP-Schlüssel, so sie denn genutzt werden, dienen dazu, einzelne Codebeiträge oder auch Git-Tags, also etwa bestimmte Versionsstände, zu signieren und damit deren Integrität zu garantieren. Die Schlüssel lagern aber gewöhnlich auf den Rechnern der Entwickler. Fallen sie Angreifern in die Hände, können diese unter Umständen eigene Beiträge in den Kernel-Entwicklungsprozess einschleusen, falls der Subsystem-Maintainer nicht so genau hinschaut. Die Verwendung der speziellen Schlüssel-Hardware soll dies jedoch verhindern oder wenigstens deutlich erschweren.
Das Angebot der kostenlosen Nitrokey-Geräte gilt für Kernel-Entwickler, die im Maintainers-File(öffnet im neuen Fenster) gelistet sind oder über einen Account auf Kernel.org verfügen. Der Schlüssel lässt sich nur dann auslesen, wenn der Nutzer den USB-Stick an seinen Computer steckt und zur Schlüsselfreigabe eine PIN eingibt. Nach sechs Fehlversuchen sperrt sich der Nitrokey Start automatisch, was Brute-Force-Angriffe verhindern soll. In diesem Fall muss der User den Schlüssel dann über ein zuvor angelegtes Backup wiederherstellen.