Tam tersine Linux çekirdeğinin durumu tam olarak bu. Exploit mitigasyonlarında geriden geliyor, mimari güvenlik zafiyetleri sadece bir bug olarak görülüyor Linux tarafında.

Yazılımsal izolasyondaki yetersizliklerinden dolayı yapıyorlar zaten. Fakat bu Microsoft'un beceriksizliği veya tembelliği değil, fiziksel izolasyon yazılımsal olarak sağlayamayacağınız güvenliği sağlıyor. Bluetooth'u ayarlardan kapatmak ile hardware kill switch kullanarak gücünü kesmek gibi düşünün.

Bu projeye yaratıcılardan çok topluluk geliştirme yapıyor, milyonlardan bahsediyoruz. Hata raporlarını sunan test edenler, geliştiren kısım derken büyük bir topluluk. Windows'u arkada kaç kişi olduğu belirsiz bir ekip geliştiriyor ve kodları açık değil. Microsoft'a mı güvenelim şu durumda?

Open Source.

Ofansifliğimiz kötü bir amaçla değil. Bu seviyeli bir tartışma, elbette kendimize bir şeyler katmayı hedefliyoruz. Burada hepimiz konu hakkında bilgi sahibi bireyleriz ve bu gerçekten az bulunur bir durum, harcanmaması gereken bir fırsat.

"Kabiliyeti yüksek mühendis" derken; Red Hat'te çalışanlar 5 yaşında kod yazabilen çocuklar sanırsam. Offensive Security geliştiricileri de hacker kılığındaki lamerlar olsa gerek, saygı duyarım.

Kapalı kaynak kodu olsaydı mümkün olabilirdi. Açık kaynak kodlu bir yazılımda çok zor. Bu kodlar çokça kez elden geçiyor, çok fazla kişi tarafından. Hiçbir sistem 100% güvende değildir ama her şeyin ortada olması çok önemli bir avantaj olarak güvenliliği arttırıyor.

Tamam Linux dağıtımları açık kaynak ama 20 kişilik ekibin geliştirdiği bir dağıtım var diyelim. Dağıtımın kullanıcıları da tüm dünyada 15.000 kişi olsun. 20 kişilik ekip birden çıldırdı, dedi ki güncelleme ile tüm kullanıcıların bilgisayarına bir keylogger atalım. Güncelleme geldi keylogger yüklendi. Şimdi bu 15.000 kişi olan kullanıcılar da 7/24 dağıtımın kodlarını inceliyor olamazlar olsa dahi her yazılım bilen her dili bilmiyor ve bir işletim sistemi sadece bir programlama dili ile yazılamaz diye biliyorum. Bu kullanıcıların bunu fark etmesi 3 gün sürsün. Sonuçta karşınızda belki suçlayacağınız bir muhatap bile olmayabilir. Ben programlama dili bilmiyorum ben Linux kullansam da anlamam kötü amaçlı kodu mesela. Ben her Linux dağıtımı Windows'tan daha güvenlidir sözüne katılmıyorum. Yukarıda verdiğim örnekte yanlışlar olabilir varsa aydınlatırsanız sevinirim.

Yani aklı başında her firma veya topluluğun yapacağı gibi... Kernel Self Protection Project - Linux Kernel Security Subsystem kernsec. org Linux | Madaidan's Insecurities Fixing the Desktop Linux Security Model Fixing the Desktop Linux Security Model Whonix is a security, privacy and anonymity focused Linux distribution. Recently, we've been focusing a lot on important security hardening measures and fixing architectural security issues within the desktop Linux security model. Any Linux distribution... forums. whonix. org Brad Spengler interview @ Slo-Tech slo-tech.com Google slams Linux kernel, says it needs major security investment Downstream vendors should allocate more resources to the upstream kernel, suggests Google www.techradar.com Unsafe at any clock speed: Linux kernel security needs a rethink Ars reports from the Linux Security Summit and finds much work that needs to be done. arstechnica.com mjg59 | Why improving kernel security is important mjg59. dreamwidth. org Bu içeriği görüntülemek için üçüncü taraf çerezlerini yerleştirmek için izninize ihtiyacımız olacak. Daha detaylı bilgi için, çerezler sayfamıza bakınız. Üçüncü taraf çerezlerini kabul et https://www.reddit.com/r/GrapheneOS/comments/bj1gpz https://grsecurity.net/ spender/interview_notes. txt The Linux Security Circus: On GUI isolation There certainly is one thing that most Linux users don't realize about their Linux systems... this is the lack of GUI-level isolation, and... theinvisiblethings. blogspot.com Bu içeriği görüntülemek için üçüncü taraf çerezlerini yerleştirmek için izninize ihtiyacımız olacak. Daha detaylı bilgi için, çerezler sayfamıza bakınız. Üçüncü taraf çerezlerini kabul et

Sürücü açıkları root yetkisi kazandırabiliyor. CVE'lerin neredeyse yarısı sürücüler ile alakalı. linux - Arch Linux security. archlinux. org

Linux Foundation ve diğer özgür yazılım kuruluşları çay ocağı aslında. Biz orada dayılarla toplaşıp okey dönüyoruz, yoksa bilmiyor muydun?

Bunu reddetmedik zaten, bahsettiklerimizin çoğu C ile veya algoritmik yapıyla uzaktan yakından alakası olmayan ve sadece kullanıcı deneyimini etkileyen küçük buglar.

Polkit ve sudo Linux projesine dahil değil, external program ikisi de ve daha güvenli alternatifleri var.

Yıllardır var olan açıkların yeni keşfedilmesi her iki sistem için yaşanan bir durum. Windows'a özel değil. 12-Year-Old Linux Vulnerability Grants Root Access It may be an old vulnerability, but it's also a serious one! www.howtogeek.com The Sudo vulnerability may be 10 years old, but your detection and response should be cutting edge A heap overflow vulnerability in sudo was recently discovered (CVE-2021–3156, named: Baron Samedit). By exploiting this vulnerability, any... medium.com

Dönüştürücüler mükemmel değil ve genellikle rewrite gerektiriyorlar.

Hatayı ilk ben buldum, kimseye söylemeden yıllarca istismar ettim. Başka biri daha aynı hatayı bulana kadar nasıl engelleyeceksin?

Kimsenin aklının ucundan geçmedi demedim, bulamadı dedim. Sıfır gün açıkları henüz bir veya birkaç kişi dışında bilinmeyen açıklardır. Böyle bir şeyin olamayacağını mı iddia ediyorsun şimdi

Evet edilmiş. Başarısız girişimden neden PoC sunsunlar diye düşünmüştüm, detaylı olarak okumamıştım. Teşekkürler.

Böyle bir durum mevcut değil. Saptanan bir zafiyet mail ağıyla aynı anda birçok geliştirici ekibe bildiriliyor ve en kısa zamanda düzeltiliyor.

Linux ve açık kaynak dağıtımlarının her şeyi ortadadır. Binlerce insan kodu inceleyebilir, kopyalayabilir ve değiştirebilir. Açık kaynak dağıtımlarda hatalar hızlıca tespit edilebilir ve düzeltilebilir. Birinin bulduğu hatayı istismar etmesi de imkansızdır, o kullanana kadar çoktan düzeltilmiş olacaktır. İçerisine herhangi bir kod gizleyemezsiniz, çünkü o da belli olacaktır. Kapalı kaynak kodlu yazılımlarda açık bulmak kolay değildir, bulan bir kişi kötü niyetliyse ve söylemez ise yıllarca istismar edebilir. Düzeltilmesi de kaynak koda sahip oluşuma bağlıdır.

Gerekli ilerlemeyi kat etmediklerini ve boş durduklarını söylüyorlar. Buradaki amaçları elbette ki düşüncelerini ve gördükleri eksikleri belirterek düzeltilmesine katkıda bulunmak.

Guvenli isletim sistemi diye bir sey yoktur aslinda. Linux transparan olmasiyla guvenlik aciklarinin tespit edilmesinde ve kapatilmasinda daha pratiktir.

Mükemmelliği bırak, genelde algoritma akışını dahi bozuyorlar. Rewrite için bütçe ve zaman gerekiyor. Yaklaşık 5-6 yıl alır ve sonucu tatmin edici olur. Lakin bunun yerine gerekli bölümlere entegre edilmesini destekliyorum, bu kadar büyük çapta dönüşümü gerektirecek bir sorun bulunmuyor.

Tüm bir kernel Rust'ta yeniden yazılamaz artık, çok geç. O kadar kodu yeniden yazmak bir 30 yıl daha alır. Driverlarda genellikle Memory corruption bugları oluyor bundan dolayı Rust entegre etmeyi düşünüyorlar kernele.

Evet, ben de söz konusu alıntıda güvenlikten bahsetmiştim. Dediğin gibi konu biraz userland'e kaydı. Kaymaması için de bir sebep yok, benim için fark etmez. Hatta BSD ve MacOS gibi diğer UNIX-tabanlı sistemleri de tartışmaya dahil edebiliriz.

Sorun fiziksel izolasyon kullanarak ilerlemeye çalışmaları değil, yazılımsal izolasyondaki problemlerinin üzerini kapamak için piyasaya farklı bir yöntem sürmeleri. Fiziksel izolasyonun server tarafında kullanılması taraftarıyım fakat desktop sistemlerinde tam bir saçmalık. Kullanıcı kitlesinin büyük bir bölümünün sahip olmadığı bir teknoloji üzerinden aynı kitlenin sorunlarını çözemezsiniz. Kullandığı eski bir modemin firmware açıkları nedeniyle kolayca ağına sızılan ve ağ üzerinde bulaşan zararlılardan bir türlü kurtulamayan bir kullanıcı düşünün, sizin yapmanız gereken bu açıkları tespit edip patchlemeniz ve daha sıkı önlemler alarak yeni bir sürüm yayınlamanız. Sizse yeni bir model piyasaya sürüyorsunuz, bir süre sonra da eski modelin desteğini keserek kullanıcıları kendileriyle baş başa bırakacaksınız. Bu sayede kendinizi kolayca aklayabilirsiniz, güncel modeli kullanmıyorlar ne de olsa.

Sudo açığının kernel'le uzaktan-yakından bir alakası yok. Kaldı ki o bile uzun bir süre KISS prensibine uygun olmadığı gerekçesiyle taşlandı ve tepki gördü. O dönem - ben de dahil olmak üzere - büyük bir kitle doas'a geçerek protesto etti. Bilinçli kullanıcı topluluğuna sahip olmanın sağladığı avantajlardan sadece bazıları. Bu olayda sudo'nun sadece eski bir güvenlik açığına sahip olduğu tespit edilmişti ve muhteşem bir hızla kapatıldı, sonrasında da exploitlendiğine dair hiçbir emare bulunamadı.

Genelde driver kaynaklı buglar ve çoğunlukla zararsız. Rust, entegrasyonu kolay ve verimli bir dil. Mantıklı bir başlangıç özelliği taşıyor. Birçok kuruluş halihazırda kendi projelerinde entegrasyon işlemlerine başladı, güncel Firefox kodlarının %10,1'i Rust'la yazılmış durumda. GitHub - mozilla/gecko-dev: Read-only Git mirror of the Mercurial gecko repositories at https://hg. mozilla. org. How to contribute: https://firefox-source-docs.mozilla. org/contributing/contribution_quickref.html Read-only Git mirror of the Mercurial gecko repositories at https://hg. mozilla. org. How to contribute: https://firefox-source-docs.mozilla. org/contributing/contribution_quickref.html - GitHub - moz... github.com

Merhabalar, bu sorularım agresiflik olarak algılanmasın. Sadece merak ediyorum işin arka tarafını. Genelde Linux kullanıcıları "bilgisayarıma Microsoft'u ortak edemem, verilerimi onlarla paylaşamam" mantığıyla Linux'da verilerimizin daha güvende olduğunu söylüyorlar. Peki, Linux'da güvende olduğumuz nereden belli? Belki de geliştirici arkaya telemetri gibi bir hizmet attı, bunu nereden bilebiliriz? Mesela Microsoft'un veri sızıntısı ortaya çıkarsa; muhattabımız belli, cezayı yiyecek adamlar belli, Microsoft. Adamlar karşımızda canlı canlı duruyor. Peki Linux'da böyle bir şey ortaya çıkarsa muhattabımız kim? Sonuçta dağıtımları küçücük topluluklar hazırlıyor. Hatta bir yerde 2-3 kişinin bile yoğun çalışarak dağıtım hazırlayabileceğini okumuştum. Biz bu dağıtımı kullanırsak, o 2-3 kişiye bel bağlamış olmuyor muyuz, onların insafına kalmış olmuyor muyuz? Bunun Windows kullanmaktan farkı ne? Hatta bir sıkıntı durumunda Windows'da muhattabımız koskoca Microsoft iken Linux'da 10-15 kişilik küçük bir grup mu? Bu daha da tehlikeli olmuyor mu? Beni aydınlatabilir misiniz? Son olarak dediğim gibi kesinlikle agresiflik algılanmasın, amacım öğrenmek. İki işletim sistemini de mevcut olarak kullanıyorum, yeri geldiğinde ihtiyacı olana doğru OS'u da öneriyorum. Cevaplar için teşekkürler. Son düzenleyen: Moderatör: 16 Nisan 2022

Siz çok yanlış anlamışsınız, topluluk hiç de küçük değil, sadece kernel'e katkı bulunanlar aşağıda. Şimdi düşünün, Windows kaynak koduna kaç kişinin erişimi var? Bu sayının yanına bile yaklaşamaz. Bir güvenlik açığını saptayacak ve düzeltecek devasa bir topluluk var burada. Windows'taysa kaynak koduna kısıtlı sayıda kişinin erişimi bulunuyor. Sürekli güvenlik açıkları exploitleniyor, milyonlarca kişi zarar görüyor. Hangisi daha güvenli?

"gizli saklı patchlemek" kavramı güldürdü. Linux, BSD kadar kapalı bir sistem değildir. Performansla güvenlik arasındaki dengeyi sağlamayı amaçlar ve pek tabi başarır da. Güvenlikten feragat edilmesi söz konusu değil. Linux kernelindeki gözetmen ekip gönüllülerden oluşuyor, bu insanlar aynı zamanda günlük hayatlarında tam zamanlı olarak çalışıyorlar. Commitler hakkında geniş çaplı bir araştırma yapılması mümkün değil fakat bu her isteyenin kolayca zararlı ekleyebileceği anlamına gelmiyor. Yukarıda sözü edilen araştırma 2 doktora öğrencisi ve 1 yardımcı doçent tarafından yürütülmüş. Kaynaklar bilinen sorunlardan bahsetmiş, sondaki video zaten FOSDEM 2017'den bir alıntı: https://archive.fosdem. org/2017/schedule/event/linux_desktop_versus_windows10/attachments/slides/1730/export/events/attachments/linux_desktop_versus_windows10/slides/1730/fosdem_linux_desktop_security. pdf Kernel vulnerability'lerine bu kadar takıntılı ve düzeltmek için organize bir topluluğun bulunması ise takdire şayan. Bu açıkların bulunup gözler önüne serilmesi sistemin bloated olduğu anlamına gelmiyor, bunları düzeltmek adına bir hareket olduğu anlamına geliyor. Çoğu güvenlik açığı exploitlenmeden tespit ediliyor ve hiçbirinden aşağıdaki kadar büyük çapta problemler çıkmadı. EternalBlue - Wikipedia en. wikipedia. org BlueKeep - Wikipedia en. wikipedia. org Sasser - Wikipedia en. wikipedia. org Welchia - Wikipedia en. wikipedia. org CIH - Wikipedia en. wikipedia. org Jigsaw - Wikipedia en. wikipedia. org Ryuk - Wikipedia en. wikipedia. org Blaster - Wikipedia en. wikipedia. org Petya and NotPetya - Wikipedia en. wikipedia. org

Sürprizbozan: Konu dışı Arkadaşlar, hem çok ofansif hem de çok saygı çerçevesinde tartışıyorsunuz. Yemin ederim hayran kaldım.

10-15 kişilik bir grup değil işte. Topluluğu gözünüzde çok küçültüyorsunuz. 10-15 kişilik bir grup topluluk olsaydı çoğu distro ile hata arattığımızda sonuç çıkmazdı, çünkü sonuç çıkacak veriyi yayınlayacak topluluk olmazdı. Milyonlarca insan Linux kullanıyor, ne kadar muhteşem kullanım istatistikleri aksi varmış gibi gösteriyor olsa bile.

Uygulamalari; Flatpak ve kendi repolarindan edindigimiz icin guvenlidir. Yillardir bir virus yada trojana rastlamadim. Dagitimlarin bir cogu da acik kaynakli oldugu icin bu guven veriyor.

Güvenilirliliği doğrudan arttıran bir unsur. Şirketler doğrudan sunucularda kullanıyorlar, kullanıcılar bilgisayarlarına kullanıyor, yapay zeka gibi işlevlerde kullanılıyor. Kod sürekli birilerinin elinden geçiyor. Hiçbir şeyi saklayamıyorsunuz. Aynı zamanda açık olduğu için çabucak çözülüyor, birisi çözmezse başkası çözüyor. Bir şirketin eline kalınca altı ay yama bekliyorsunuz, belki yıllarca. Linux çekirdeği sürekli gelişen bir çekirdek, Microsoft yıllardır NT çekirdeğine bel bağlamış durumda, yeni teknolojileri kaldırmıyor. Sürekli yeni yama çıkarıyor hatta çıkan yama da sorunlu olduğu için yeniden yama çıkarılıyor. Güvenilirlik, güvenlik ve güncellik olarak Linux her halükarda önde.

Kesinlikle.

Fakat konumuz güvenlik Kernelden bahsederken bir anda userland'a kaydım bu arada kabul ediyorum. Linux kernelini kullanarak güvenli işletim sistemleri oluşturmak mümkün, bu aksi iddia edilen bir şey değil. Ama bilgi birikimi, zaman ve uyumsuzluk problemleriyle başa çıkmayı gerektiriyor eğer var olan ekosistem üzerinde denenmeye çalışılırsa. Linux | Madaidan's Insecurities