Инициативата Census Project цели да насочи вниманието към слабо поддържани проекти, но според критици публичното им излагане може да улесни атаки

Инициативата Census Project на Core Infrastructure Initiative и Linux Foundation, която анализира и подрежда най-уязвимите места в Linux системите, предизвика дебат за ползите и рисковете от публичното оповестяване на слабости. Проектът е дело на Дейвид Уилър и Самир Хакимов (Open Source Software Projects Needing Security Investments) и има за цел да систематизира продукти, протоколи и инструменти, които се нуждаят от по-голямо внимание от страна на специалистите по сигурност.

Според Ричард Чъргуин от британското издание The Register основният проблем е, че платформата е достъпна не само за хора, които могат да допринесат за защитата на системата, но и за киберпрестъпници, търсещи начин за неоторизиран достъп. Макар Linux да не е толкова популярна сред обикновените потребители, колкото Windows, тя присъства в сървърни центрове, инфраструктурни обекти, правителствени агенции, PoS терминали и банкомати, което я прави привлекателна цел. Чъргуин отбелязва, че макар „плячката“ да е по-трудна за „ловене“, ползите от компрометирана Linux система не отстъпват на тези от Windows.

Кои проекти са най-засегнати

По данни на Чъргуин някои ключови проекти за сигурността като OpenSSL и OpenSSH вече получават нужното внимание, но други са изоставени. Сред тях са инструментът за криптиране Bzip2, който не е обновяван от пет години, BIND9, wget (с редица заобиколни поправки) и gzip, който няма нова версия от две години. „Libxpat1 също е изключен: поддръжката му „успешно е спряла“ през 2012 г., а страницата, на която може да се докладва за грешки, е неактивна. Keyutils – използвана за управление на ключовете за сигурност – няма система, която да следи за бъгове (bug tracker), нито мейлинг листа“, пише Чъргуин.

Любопитно е, че някои от най-популярните платформи в списъка и тези с най-висок индекс на риск – като tar, base-passwd, core-utils, hostname, passwd, debconf, bash, apt и др. – имат нулев или изключително нисък CVE показател (индикатор за регистрирани известни уязвимости). Според източника високият индекс на риск не означава, че платформата е най-атакувана, а по-скоро че не ѝ е обръщано достатъчно внимание. Въпросните инструменти засягат единствено Debian и производните му системи.

Към момента няма официална реакция от Linux Foundation или Core Infrastructure Initiative по критиките, отправени от The Register.