Linux-Kernel-Report: Spectre zeigt, wie man es nicht macht

Der Journalist und Kernel-Entwickler Jonathan Corbet versucht, für die Linux-Kernel-Community unter anderem Lehren aus dem Durcheinander zu den Lücken Meltdown und Spectre zu ziehen. Ansonsten entwickle sich die Community aber offenbar gut.

Artikel veröffentlicht am 22. Oktober 2018, 16:33 Uhr, Kristian Kißling/Linux Magazin/Sebastian Grüner

Jonathan Corbet auf dem OSS Summit Europe 2018 (Bild: Kristian Kissling)

In der Eröffnungskeynote des Open Source Summit Europe, der derzeit in Edinburgh stattfindet, hat der Journalist, Kernel-Entwickler und Chef des Magazins LWN.net, Jonathan Corbet, versucht, in einem sogenannten Kernel-Report Schlüsse aus aktuellen Entwicklungen der Community zu ziehen. Besonderes Augenmerk hat Corbet dabei auf den unterschiedlichen Umgang mit den Sicherheitslücken Meltdown und Spectre gelegt.

Der Umgang mit Meltdown sei demnach wesentlich offener gewesen. Dies habe zu dem Ergebnis geführt, dass zum Disclosure-Termin, also der öffentlichen Bekanntgabe der Lücken, die Patches im Linux-Kernel gegen Meltdown bereits in gutem Zustand gewesen seien. Die Patches haben darüber hinaus auch herstellerübergreifend eine relative Einheitlichkeit aufgewiesen, was Corbet klar als Vorteil benennt.

Im Vergleich dazu habe der zugeknöpfte Umgang mit Spectre hingegen zu Silos und einer stärkeren Fragmentierung geführt. Der Code zum Beheben der Lücke war zur Bekanntgabe der Schwachstelle je nach Distribution sehr unterschiedlich. Letztlich landete keine dieser Varianten direkt im Linux-Kernel, die Community war vielmehr gezwungen, über mehrere Wochen nach der Veröffentlichung an verschiedenen Aspekten zu arbeiten und sich auf ein einheitliches Vorgehen zu verständigen. Bei Entwicklern habe dieses Durcheinander bei Spectre laut Corbet nicht nur zu Frustration, sondern auch zu einem Burnout geführt. Viele Kunden und Projekte seien darüber hinaus zu wenig informiert worden und fühlten sich ausgebootet.

Diese Bestandsaufnahme wird sicher keiner der Beteiligten bestreiten können, ob und inwiefern Hersteller und Linux-Community daraus lernen, muss sich zwar noch zeigen. Erst Ende August kritisierte der Kernel-Maintainer Greg Kroah-Hartman vor allem Intel für sein Vorgehen in Bezug auf die Lücken und die daraus entstandenen Probleme. Zumindest laut Kroah-Hartman zeigen sich hier inzwischen jedoch auch klare Verbesserungen.