Tổ chức Gentoo
Một nhóm các Nhà phát triển Gentoo được trang bị phương tiện truyền thông xã hội đã tổ chức một phiên AMA trên Reddit ngày hôm nay và họ đã không né tránh những câu hỏi khó. Nhiều người trong số này liên quan đến các vấn đề bảo mật, cần lưu ý rằng Gentoo Linux đã có tiếng là đi đầu trong trò chơi khi nói đến các bản cập nhật bảo mật.
Bản phân phối có lịch trình phát hành luân phiên hàng tuần đảm bảo phần lớn người dùng luôn sử dụng các gói cập nhật. Một vấn đề được đưa ra là điều gì có thể xảy ra nếu mã nguồn của một gói phổ biến chứa một số loại trojan. Người dùng Linux lâu năm có thể nhớ lại rằng mã nguồn của máy chủ UnrealIRCd có chứa một cửa sau, mặc dù các nhà phát triển đã khắc phục sự cố ngay sau khi họ phát hiện ra nó.
Vì Gentoo biên dịch mã nguồn cục bộ theo tùy chọn của người dùng, thông thường nó sẽ không bị xâm phạm do hệ quả của một tệp nhị phân bị bẻ khóa. Tuy nhiên, có thể xảy ra sự cố nếu các gói nguồn bị xâm phạm bằng cách nào đó.
Theo các chuyên gia bảo mật của Gentoo, điều này chỉ có thể xảy ra một số cách. Nếu kho lưu trữ ngược dòng cho một số đoạn mã nguồn chứa trojan, thì rất khó để bắt xuống nguồn. Loại vấn đề bảo mật Linux này sẽ ảnh hưởng đến nhiều bản phân phối chứ không chỉ Gentoo.
Nếu một tệp tar đã được hoán đổi ở đâu đó dưới dòng, thì sẽ không thành vấn đề nếu nguồn ngược dòng có sạch hay không. Tuy nhiên, việc sử dụng OpenPGP để ký bản phát hành trước khi nó được thêm vào kho ebuild tại Gentoo cùng với việc kiểm tra tổng kiểm tra giúp đảm bảo đây không phải là vấn đề trong hầu hết các tình huống.
Các bình luận của AMA cũng giúp làm sáng tỏ một số phương pháp khác được sử dụng để ngăn chặn điều này xảy ra. Khi các push hoặc cam kết được thêm vào kho lưu trữ, chúng sẽ được các nhà phát triển ký. Bằng cách triển khai khu vực tổ chức rsync chính để làm dày các cam kết sau đó thêm chúng vào MetaManifest cũng đã được ký kết, việc xoay vòng khóa đã trở nên khá đơn giản đối với các nhà phát triển.
Gần như tất cả các bản phân phối lớn đều có sự nhấn mạnh mới về các vấn đề bảo mật của Linux, nhưng chắc chắn từ những nhận xét này, Gentoo đã đi xa hơn nữa để đảm bảo an toàn cho việc triển khai chúng.
Thẻ Bảo mật Linux
