03月25日 綜合消息： Mark Shuttleworth是流行的Ubuntu Linux發行版的創始人。他認為專有及不可驗證的固件代碼對用戶構成嚴重的安全威脅，他鼓勵硬件廠商通過改用Linux內核來實現對創新的支持。
“如果你翻翻愛德華·斯諾登為我們提供的間諜工具和數字化武器目錄，你會看到你的設備上的固件是國家安全局的最好朋友，”Shuttleworth周一在一篇博客文章中表示。
“一個最大的錯誤有可能是認為國家安全局是唯一濫用信任的機構——事實上，完全可以合理的假設，所有的固件只不過是一條不安全的臭水溝，一方面是拜一些糟糕的廠家的無能所賜，另一方面太多的如國安局一類的機構又相當地能干，“他說。
Shuttleworth認為，制造商的習慣是通過固件增加對新功能的支持，因為在過去，他們是連帶Windows操作系統一起賣計算機的，他們是不能改變Windows操作系統的。他表示，然而，Linux的情況不是這樣，而且，Linux在在嵌入式設備新世界里“幾乎可以肯定是重要的平臺”。
ACPI（Advanced Configuration and Power Interface，高級配置和電源接口）是一個使操作系統能夠發現配置和監視硬件組件的規范。據Shuttleworth說，這樣的規范是不應該在未來的設備設計中再出現的一個例子。
“主張在下一代設備上再用ACPI無異于主張在你的客廳和在數據中心裝一個巨大的洛伊特木馬，”他說。“我去過特洛伊，那里所剩無幾。”
多年來，安全研究人員在許多設備的專有固件里發現過漏洞，從信用卡讀卡器到路由器和工業控制系統。他們普遍認為，那些軟件在開發時沒有考慮到安全。
十一月，來自Rapid7的安全研究人員透露，服務器制造商Supermicro的主板IPMI（智能平臺管理接口）固件有嚴重的安全漏洞。IPMI允許系統管理員通過BMC（基板管理控制器）從他們的主要操作系統之外遠程地直接連接到主板的南橋和各種傳感器，以管理和監視服務器。
上周，Replicant（一款基于Android的操作系統）開發者聲稱，他們發現了三星Galaxy設備的一個后門，是由于固件上處理控制調制解調器和Android操作系統之間通信的專有代碼（又名基帶固件）的一個漏洞引起的。
其他安全研究人員也在過去就基帶固件漏洞提出過警告，在移動設備中這些漏洞可以用來繞過主操作系統設置的安全控制。
“專有固件可以在本來安全的平臺上引入漏洞，”倫敦安全公司MWR InfoSecurity公司的安全顧問Henry Hoggard周二通過電子郵件表示。“固件本身也可能含有后門程序，因而會給予攻擊者以高權限訪問系統。”
Shuttleworth表示，相比之下，Ubuntu以及一般的Linux的情況是，在代碼中發現任何問題時有適當的的流程確保問題得到修正，相應的補丁會及時地發送給數百萬用戶，“發現和解決固件問題的流程是不存在的，而且也沒有改善“。
Ubuntu創始人認為，正因為如此，硬件制造商應該開始增加新特性里直接進入Linux內核的支持，并且應該只提供 “描述硬件之間的聯系和依存關系的陳述性固件，而不包括可執行代碼。”
Hoggard表示，這在理論上是一個很好的做法，因為這樣之下，代碼可以讓更廣泛的人查看，漏洞就更容易被發現并進行修正。“這樣用戶知道自己的系統上沒有惡意組件就會更安心些。”
Hoggard指，不過，實行時的具體安排還是有一些問題，供應商可能不希望花時間等待他們的代碼被接受進入Linux內核里，而且他們可能發現現存的模式更簡單更易于管理而會繼續堅持用現存的模式。供應商還可能因為涉及到暴露自己的知識產權（例如內部開發的算法）而不愿意使用這種方法。
京公網安備 11010502049343號