Vírusy na Linuxe - falošný pocit bezpečia?

Klez, Nimda, Code Red, ... Používatelia otvorených systémov sa len smejú a uťahujú si z Windowsákov v úprimnej viere, že im sa to stať nemôže. Uvádzajú argumenty o otvorenom zdrojovom kóde, o klientoch ukazujúcich text mailu a nespúšťajúcich rozličné prílohy a.p. Je to naozaj tak, alebo ide iba o ticho pred búrkou?
Časy klasických súborových a boot-sektorových vírusov sú preč. Diskety ako distribučné médium zanikli a používatelia si sťahujú software priamo zo stránok jeho producenta. Prišiel čas červov a trójskych koní, využívajúcich pre svoje šírenie internet - či už diery v serveroch (útoky na web servery a.p.), alebo v klientoch (e-mailový klient alebo web browser vykonávajúci kód bez vedomia používateľa).

Čo na to klasická epidemiológia? Aby nákaza nezanikla hneď v počiatku, je treba splniť niekoľko podmienok:

dostatočná virulencia (pravdepodobnosť, že neodolný organizmus bude pri kontakte aj napadnutý)
dostatočné percento neimúnnych organizmov v populácii
dostatočné množstvo kontaktných ciest

Tretí bod je pre Windows a zvyšok sveta rovnaký - je to e-mail a internet ako taký. Nie je výrazný rozdiel medzi používaním týchto médií použivateľmi v oboch svetoch.

Prvý bod je v prípade počítačových potvor obvykle stopercentný - ak je hostiteĺ neimúnny a dostane sa do kontaktu, bude napadnutý.

Takže naša viera v bezpečnosť je založená na druhom bode - na predpoklade, že naše systémy sú imúnne. Či už preto, lebo sú tak navrhnuté, alebo preto, že objavený problém sa rýchlo opraví.

Domnievam sa, že nebude dlho trvať a táto viera dostane trhliny. Tých približne 14 rokov, čo sa pohybujem vo svete unixu, čítam poštu elm-om. Textový klient, vírusy mu môžu fúkať... Ale čo spraví elm v defaultovej inštalácii aktuálnej verzie mojej obľúbenej distribúcie, keď uvidí html mail? Zahrčí diskom a vybehne na mňa Konqueror - bez akejkoľvek otázky, že či chcem. Stačí jedna chyba na spôsob IFRAME bugu v IE a sme tam kde teraz windowsáci. Ja si to vypnúť viem. Vie to aj tá povestná sekretárka s Linuxom?

Argument č. 2: keď už sa niečo objaví, je to vďaka open source rýchlo opravené. Lenže problémom nie je rýchlosť opravy, to už vcelku slušne zvláda aj ten Microsoft. Problémom je čas, kým sa "zaočkuje" nadkritický počet používateľov, a ako tak človek pozerá na Klez, je kľudne možné, že sa tak stane až keď sa rozhodnú kúpiť si novú verziu, lebo updatovať nebudú. Myslím si, že to isté sa bude diať aj s Linuxom, ktorý je vo fáze, že ho začínajú masovo používať ľudia zameraní inak ako počítačovo.

Argument č. 3: open source ako istota, že vďaka kontrole kolegami vývojármi obsahuje menej chýb. To je podľa mňa nezmysel. Až na výnimky (napr. Linuxové jadro) peer review prakticky neexistuje (v najlepšom prípade vo fáze nejakého milestone) a testovanie býva na podstatne horšej úrovni ako vo väčšine komerčného software. Open source vie pružnejšie reagovať, ale v oblasti testovania má čo doháňať.

Argument č. 4: ak sa niečo aj stane, vďaka prístupovým právam bude postihnutý iba daný používateľ. Ale to predsa stačí! Mne je v podstate jedno, či prídem o operačný systém, za hodinu ho mám nahodený a nakonfigurovaný znova. Svoje dáta si cením viac, tam stratím čas od posledného backupu. Nehovoriac už o tom, že lokálny exploit býva podstatne jednoduchší, takže aj napadnutie používateľa môže byť ľahkou cestou do systému.

Suma sumárum, nespime sladko v domnení, že vírusy, červy a podobná háveď sa nás netýka. Keď príde nová feature v programoch používaných denne, skúste sa zamyslieť, či neznižuje bezpečnosť. Ak máte dojem, že áno, hláste to autorovi. S príchodom menej kvalifikovaných používateľov sa dostaneme do fázy, ktorú windowsáci už poznajú. Neopakujme ich chyby.

Bratislava, 6. 9. 2002

Stanislav Meduna
stano (AT) meduna.org