Otwarte znaczy bezpieczne?

System operacyjny Linux zdobył spory kawał rynku. Chociaż powstał dobre kilka lat temu, wciąż trwa dyskusja czy jest tak samo, czy mniej bezpieczny i niezawodny niż komercyjne systemy Unix i Windows.

Linux, darmowy system operacyjny, jest dziś coraz częściej używany do poważnych zadań w biznesie - do serwerów internetowych, serwerów baz danych czy w dużych systemach o wielkiej mocy przetwarzania. Linuksa stosują tak duże firmy, jak Shell i New York Stock Exchange.

Także dostawcy sprzętu, oprogramowania i usług dostrzegli potencjał Linuksa - rozwiązania na nim oparte oferuje IBM, HP, Sun czy Oracle.

Wielu użytkowników i menedżerów zadaje sobie jednak pytanie o bezpieczeństwo tego systemu. Czy oprogramowanie, na które nie trzeba wydawać tysięcy dolarów, może być tak samo bezpieczne i niezawodne jak komercyjne systemy?

Problem tkwi raczej nie w samym Linuksie, który jest systemem klasy Unix i ma wbudowane wszelkie zabezpieczenia. Nie chodzi też o to, że system jest darmowy, ale raczej o fakt, że należy on do kategorii oprogramowani Open Source. Oznacza to, że każdy użytkownik czy deweloper może poznać kod systemu, poprawiać go i modyfikować - tworzyć własne wersje.

Wielu IT managerów już z tego tylko powodu zachowuje dystans w stosunku do Linuksa i uważa, że skoro wszyscy znają zasady działania systemu, jego kod, to włamywaczom łatwiej będzie znaleźć luki w bezpieczeństwie niż np. w przypadku Windows. Dlatego wiele firm jest skłonnych stosować Linuksa tylko do mniej odpowiedzialnych funkcji, np. jako serwer internetowy. To rozumowanie prowadzi dalej, nawet do tworzenia przez firmy, instytucje rządowe i wojsko własnych, całkowicie unikatowych, zamkniętych systemów operacyjnych i rozwiązań dla wykonywania wyjątkowo ważnych czy poufnych zadań. Wielu informatyków jest przekonanych, że im mniej osób zna kod systemu i jego dokumentację - tym system będzie mniej podatny na włamania.

Na przeciwnym biegunie są zwolennicy koncepcji Open Source. Twierdzą oni, że właśnie Linux, którego działanie i kod jest badany przez tysiące użytkowników i każdy ma możliwość szybkiego opracowania poprawki i opublikowania jej w internecie, daje przewagę nad systemami komercyjnymi.

W przypadku oprogramowania Microsoft czy innych komercyjnych dostawców, testowaniem i usuwaniem błędów zajmuje się grupa najwyżej kilkudziesięciu - kilkuset osób. Dodatkowo, jak twierdzą zwolennicy Linkusa, procedura tworzenia poprawek do oprogramowania komercyjnego jest dość długa i skomplikowana. W przypadku Open Source każdy może "naprawić system" we własnym zakresie.

Cała koncepcja sprawowania opieki i kontroli nad oprogramowaniem Open Source przez społeczność użytkowników nazywana jest czasem "teorią wielu oczu". Sprawa udoskonalania i badania bezpieczeństwa Linuksa nie jest jednak aż tak prosta.

Podstawowy problem to fakt, że spośród milionów użytkowników tego systemu tylko niewielka grupa zna jego dokumentację i potrafi analizować działanie poszczególnych składników. Szukanie luk w zabezpieczeniach jest pracą żmudną i zazwyczaj nikomu, z wyjątkiem włamywaczy, nie chce się tego dobrowolnie robić. W komercyjnych firmach produkujących oprogramowanie są do tego powołane specjalne zespoły. Eksperci szacują, że chociaż każdy może mieć dostęp do kodu Linuksa, to większość deweloperów nie poznała więcej niż 20% tego kodu - właśnie tyle potrzeba np. do tworzenia aplikacji. Nieformalna komunikacja i współpraca pomiędzy użytkownikami systemu też nie zawsze działa idealnie i w efekcie błędy nie są szybko usuwane.

Nie oznacza to, że koncepcja Open Source przekreśla możliwość używania Linuksa do poważnych działań. Większość ekspertyz prowadzonych przez instytucje badawcze w ostatnich latach prowadzi do salomonowego wniosku, że błędy i luki w zabezpieczeniach zdarzają się praktycznie tak samo często w oprogramowaniu Open Source, jak w komercyjnym. W ciągu ostatnich miesięcy w różnych dystrybucjach Linuksa zostało odkrytych klika poważnych luk, między innymi w języku PHP, co spowodowało, że na potencjalne niebezpieczeństwo zostało narażonych ponad 9 mln stron internetowych.Z bezpieczeństwem systemu Open Source jest na szczęście coraz lepiej. Na rynku jest już wiele dystrybucji, których autorzy przywiązują szczególną wagę właśnie do zagadnień związanych z odpowiednim zabezpieczeniem aplikacji przed włamaniami. Coraz częściej firmy dostarczające Linuksa zapewniają również pomoc techniczną przez 24 godziny na dobę i udostępniają uaktualnienia, pozwalające usuwać potencjalne zagrożenia.