Keamanan Open Source Menarik Kritik
Minggu lalu tiga kerentanan baru diumumkan oleh perusahaan keamanan Polandia iSec Security Research di kernel Linux terbaru yang dapat memungkinkan penyerang untuk meningkatkan hak istimewa mereka pada mesin dan menjalankan program sebagai administrator root.
Ini hanyalah yang terbaru dalam serangkaian kerentanan keamanan serius atau kritis yang ditemukan di Linux selama beberapa bulan terakhir. Ruang dewan di Microsoft mungkin mendapatkan hiburan, atau setidaknya merasa lega, dari ironi bahwa open source seharusnya lebih aman, namun kelemahan kritis ini terus ditemukan.
Ini meleset dari sasaran meskipun menurut saya untuk mengklaim bahwa perangkat lunak open source lebih aman secara default. Sebagai permulaan, saya percaya bahwa perangkat lunak hanya seaman pengguna atau administrator yang mengkonfigurasi dan menyimpannya. Meskipun beberapa orang mungkin berpendapat bahwa Linux lebih aman di luar kotak, pengguna Linux yang tidak mengerti sama tidak amannya seperti pengguna Microsoft Windows yang tidak mengerti.
Aspek lainnya adalah bahwa para pengembang masih manusia. Dari ribuan dan jutaan baris kode yang membentuk sistem operasi tampaknya adil untuk mengatakan bahwa sesuatu mungkin terlewatkan dan akhirnya kerentanan akan ditemukan.
Disitulah letak perbedaan antara open-source dan proprietary. Microsoft diberitahu oleh EEye Digital Security tentang kelemahan dengan penerapan ASN.1 delapan bulan sebelum akhirnya mengumumkan kerentanan tersebut secara publik dan merilis patch. Itu adalah delapan bulan di mana orang-orang jahat itu bisa menemukan dan mengeksploitasi kelemahan itu.
Sumber terbuka di sisi lain cenderung untuk ditambal dan diperbarui lebih cepat. Ada begitu banyak pengembang dengan akses ke kode sumber yang pernah mengalami cacat atau kerentanan ditemukan dan mengumumkan patch atau pembaruan dirilis secepat mungkin. Linux tidak sempurna, tetapi komunitas open source tampaknya bereaksi lebih cepat terhadap isu-isu ketika mereka muncul dan merespon dengan pembaruan yang sesuai lebih cepat daripada mencoba untuk mengubur keberadaan kerentanan sampai mereka mendapatkan sekitar untuk menghadapinya.
Yang mengatakan, pengguna Linux harus menyadari kerentanan baru ini dan memastikan mereka tetap terinformasi dari tambalan dan pembaruan terbaru dari vendor Linux masing-masing. Satu peringatan dengan kekurangan ini adalah bahwa mereka tidak dapat dieksploitasi dari jarak jauh. Itu berarti bahwa untuk menyerang sistem menggunakan kerentanan ini membutuhkan penyerang untuk memiliki akses fisik ke mesin.
Banyak ahli keamanan setuju bahwa sekali penyerang memiliki akses fisik ke komputer, sarung tangannya tidak aktif dan hampir semua keamanan akhirnya dapat dilewati. Ini adalah celah kerentanan yang dieksploitasi dari jarak jauh yang dapat diserang dari sistem yang jauh atau di luar jaringan lokal - yang menghadirkan bahaya paling besar.
Untuk informasi lebih lanjut, periksa deskripsi kerentanan rinci dari Penelitian Keamanan iSec di sebelah kanan artikel ini.