Shellshock漏洞潜伏多年：暴露开源软件缺陷

导语:美国《连线》杂志网络版近日撰文称,Shellshock漏洞的曝光暴露出当今互联网开源软件领域的一个重大缺陷:由于维护资源和人手的不足,很多漏洞都已经潜伏多年,随时有可能给当今互联网造成毁灭性的打击。

以下为文章全文:

布莱恩·福克斯(Brian Fox)一路开车从波士顿来到圣巴巴拉,他的后备箱里放着两盘磁带。

但这既不是录音带,也不是录像带,而是电脑磁带,里面存储着两大卷软件代码和数据。这种磁带是专门在老式计算机上使用的,现在或许只有在一些电影上才能看到这种跟家具大小相仿的古董。

1987年,当福克斯横穿美国,来到他的新家时,后备箱里的那两盘磁带里存储着一个名为Bash的软件程序。那是福克斯为UNIX系统设计的一款工具。他允许所有人都使用这些代码,甚至自由传播给他人。

福克斯虽然只是一个高中辍学生,但他却经常与理查德·斯托曼(Richard Stallman)等麻省理工学院的技术大拿们混在一起。这也令他的思维得到了极大的拓展,他内心怀有勃勃的野心,希望创建一款免费、可控而且不受版权限制的软件。事实上,这种思潮在当时被称作“自由软件运动”,其目的是逐步重建所有的UNIX操作系统组件,从而打造一款名为GNU的免费产品,与全世界分享。

彼时,开源软件的大幕正在徐徐拉开。

审查机制匮乏

福克斯和斯托曼当时并不知道,在此后的几十年里,他们开发的工具会成为全球通讯基础设施中最为重要的组成部分。在福克斯带着那两盘磁带来到加州,并重新投入到Bash的开发过程时,其他工程师也开始使用这款软件,甚至帮助他推进开发工作。而随着UNIX逐步催生了GNU和Linux——后者已经成为了现代互联网的重要支柱——Bash也被安装到数以万计的设备中。

但大约在1992年,一名工程师在Bash的代码中键入了一个漏洞。上周,也就是这个漏洞出现20多年后,安全研究人员终于注意到福克斯开发的这款古老程序中的缺陷。它们称之为Shellshock——有了它,黑客便可对现代互联网造成严重破坏。

在计算机行业的发展史上,有很多古老但却始终没有修复的漏洞,Shellshock只是其中之一。然而,它的故事却有些不同寻常。今年早些时候,研究人员发现了另外一个名为“心脏流血”的漏洞,它同样在开源软件中潜伏了多年。除非我们改变软件的编写和审查方式,否则,以这两个漏洞为代表的趋势将会继续对互联网造成破坏。由于互联网上使用的软件都被广泛使用和重新利用,里面渗透着许多数十年前开发的代码,其中一些已经成为被人遗忘的角落,没有人再对它的安全漏洞进行审查。

在Bash开发时,没有人针对它抵御网络攻击的能力进行过审查,因为那在当时看来根本没有意义。“担心这会成为地球上使用最广泛的软件之一,并且遭到恶意人士的攻击,在当时看来是根本不可能的事情。”福克斯说,“等到这成为一种可能时,它已经被使用了15年。”如今,谷歌、Facebook和所有的大牌互联网公司都在使用Bash,而由于这款软件是开源的,所以他们随时都可以审查其中的问题。事实上,任何人都可以随时审查该软件。但却没有人真正这么做。这种现状亟待改变。

网络建立模式

以数据容量来看,福克斯的Bash程序跟iPhone拍摄的一张照片大小相仿。但在1987年,他却无法横跨美国发送电子邮件。当时的互联网刚刚开始发展,万维网尚未诞生,而最高效的数据转移方式,就是放在汽车的后备箱里。

Bash是一个外壳程序,那是一种与操作系统交互的黑盒方式,诞生日期早于图形用户界面。如果你使用过Windows命令行,就会理解这种模式。这看起来很陈旧,但随着互联网在网络浏览器和Apache服务器的推动下逐步腾飞,Bash外壳成为了一种简单却强大的工具,可以方便工程师把网络软件与操作系统粘合在一起。想让网络服务器从电脑文件中获取信息?只要调用Bash外壳,并运行一系列命令即可。这就是网络建立的方式——一个脚本接着一个脚本逐步堆砌起来。

如今,Bash依然是网络工具箱的重要组成部分。Mac中可以找到它的身影,几乎所有使用Linux操作系统的公司也都把它作为连接电脑程序(例如网络服务器软件)与底层操作系统的一种快捷而简单的方法。

然而,该程序的主要维护者却并不效力于其中任何一家大牌企业,他甚至并不供职于科技公司。此人名叫切特·拉米(Chet Ramey),他在克利夫兰的凯斯西储大学当程序员,只是利用业余时间维护Bash。

最古老的漏洞

1980年代末,拉米接替福克斯,成为Bash的主要维护者。今年9月12日,一个名叫史蒂芬·查泽拉斯(Stephane Chazelas)的人通过电子邮件把发现Shellshock漏洞的事情告诉了他。这正是在上周被公之于众的那个严重漏洞。不到几小时,黑客就设计出了可以利用这个漏洞的代码,可以把受此影响的设备组成一个僵尸网络。

拉米无法获得1990年代早期的源代码修改日志,但他认为,这个漏洞很可能是自己造成的,时间大概在1992年左右。这使之成为我们在《连线》杂志听说过的最古老、最严重的未修补漏洞。我们向普渡大学教授尤金·斯帕福德(Eugene Spafford)求证此事,他也想不出比这时间更久远的漏洞。“我想不出还有哪个漏洞存在过这么长时间。”他说,“肯定还有很多比这时间更长的漏洞,但没有一个能在时间长度和破坏力度上同时比肩这个漏洞。”

然而,对于熟悉“心脏流血”漏洞的人来说,这种怪诞的感觉却似曾相识。那个漏洞是在广泛使用的OpenSSL开源加密软件中发现的。与OpenSSL相似,Bash也从未接受过全方位的安全审查,它的骨干开发人员几乎没有得到任何财务资助。可惜的是,这就是互联网的真实故事。

开源软件的谎言

在咨询公司Errata Security CEO罗伯特·格雷厄姆(Robert Graham)看来,Shellshock揭穿了开源软件的一个谎言:与封闭的专有软件相比,开源代码允许“很多眼睛”审查,而且可以更快地修复漏洞。这在业界被称为“莱纳斯定律”。“如果在过去25年间,真的有‘很多眼睛’盯着Bash,这个漏洞不可能这么长时间不被发现。”格雷厄姆上周在博客中写道。

莱纳斯·托瓦兹(Linux Torwalds)是Linux系统的创造者,而“莱纳斯定律”正是以他的名字命名的。在托瓦兹看来,这一定律目前仍然有效。但缺陷在于,并非所有的开源项目都会受到“很多眼睛”的关注。“事实上,有很多代码都没有吸引太多人的关注。”他说,“许多开源项目都没有太多开发者参与,甚至包括一些非常核心的软件。”

不过,无论是否开源,任何软件都会存在这种问题。毕竟,想要知道甲骨文数据库那样的封闭软件究竟有多少漏洞,难度还会更大。大约10年前,由于部分软件代码没有得到适当的审查,微软面临了严重的安全问题。但当“冲击波”蠕虫2003年肆虐Windows系统后,微软将安全审查视为头等大事。此后10年,该公司已经提升了代码的安全标准。微软花费数百万美元用于安全审查,还聘请了很多白帽黑客来测试软件。现在,开源软件社区也开始采取同样的措施。