Remail: Linux-Entwickler stellt verschlüsselte Mailingliste vor

Als Reaktion auf die katastrophale Koordination rund um die Sicherheitslücken Meltdown und Spectre hat der Linux-Entwickler Thomas Gleixner Software für eine verschlüsselte Mailingliste erstellt und als Open Source veröffentlicht.

Artikel veröffentlicht am 26. September 2019, 16:45 Uhr, Sebastian Grüner

Für besonders sensible Sicherheitslücken verwendet die Linux-Community nun auch verschlüsselte Mailinglisten. (Bild: Liam Quinn,flickr.com/CC-BY-SA 2.0)

In einem Vortrag auf der Konferenz Kernel Recipes hat der Entwickler Thomas Gleixner das Projekt Remail vorgestellt, mit dem sich eine verschlüsselte Mailingliste aufsetzen und betreiben lässt. Das Projekt ist als Reaktion auf die Probleme entstanden, die die Linux-Kernel-Community mit der Veröffentlichung der Patches für die Hardware-Sicherheitslücken Meltdown und Spectre hatte.

Gleixner ist unter anderem für den x86-Architekturcode im Linux-Kernel verantwortlich und war damit einer der Hauptverantwortlichen für die Integration der Patches in den Linux-Kernel. Doch das von Intel für die Sicherheitslücken erzwungene Embargo hat die Arbeit der Community erheblich behindert. Darauf haben etwa der für die stabile Kernel verantwortliche Greg Kroah-Hartman und der Journalist und Kernel-Entwickler Jonathan Corbet in der Vergangenheit hingewiesen. Auch Gleixner hat dies in seinem Vortrag ausführlich beschrieben.

Um all die mit den Veröffentlichungen der Sicherheitslücken und Patches verbundenen Probleme zu überwinden, hat Gleixner zusammen mit der Linux Foundation und weiteren aktiven Community-Mitgliedern ein formalisiertes Vorgehen entwickelt, das darauf abzielt, die Linux-Community unabhängig von einzelnen Unternehmen oder Distributoren möglichst früh in die Diskussion von Hardware-Sicherheitslücken einzubeziehen. Außerdem soll darüber der übliche Entwicklungsprozess der Linux-Kernel-Community besser abgebildet werden können.

Der aus technischer Sicht wohl wichtigste Bestandteil dieser Vorgehensweise ist eben die verschlüsselte Mailingliste, die Gleixner quasi als Nebenprojekt erstellt hat, wie er im seinem Vortrag anmerkte. Eine eigene Implementierung dieser Technik sei notwendig geworden, weil es nur sehr wenige bestehende Lösungen gebe, die zudem den speziellen Anforderungen der Kernel-Hacker nicht genügen. Remail selbst verwendet dabei einen vergleichsweise simplen Aufbau, nutzt bestehende Techniken mit MRA und SMTP-Server für Empfang und Versand, und zur Konfiguration empfiehlt Gleixner laut der Dokumentation die Nutzung von Git. Eine GUI und Verwaltungswerkzeuge gibt es explizit nicht. Immerhin ist die Software auch nur für das sehr spezielle Nutzungsszenario der Kernel-Entwickler konzipiert.