Sigurnosne ranjivosti u eCryptfsu, sustavu za šifriranje datoteka u Linuxu, otkrivene su i zakrpljene tek sada — iako neke datiraju još iz 2006. godine, kada je taj kod ugrađen u glavnu jezgru operativnog sustava.
Greške su se ticale zlonamjerno oblikovanih metapodataka u nižim šifriranim datotekama te komunikacije između jezgre i korisničkog prostora. Dio popravaka odnosi se i na zaključavanje, prikaz mount opcija i izbjegavanje nepotrebnih memorijskih alokacija. Dio grešaka, prema dostupnim informacijama, otkriven je uz pomoć AI alata, što otvara pitanje koliko je starih i neprimijećenih slabosti još uvijek prisutno u kritičnim komponentama sustava.
eCryptfs je posebno zanimljiv jer ga koriste Ubuntu za šifriranje korisničkog direktorija i Chrome OS. Riječ je o slojevito dizajniranom rješenju koje transparentno šifrira datoteke, što ga čini metom napadača koji traže pristup osjetljivim podacima. Činjenica da su ranjivosti postojale gotovo dva desetljeća govori o tome koliko se malo pozornosti posvećuje sigurnosnoj reviziji starijeg koda.
Dvadeset godina tišine
Prvi commit koji sadrži ove greške potječe iz razdoblja kada je eCryptfs tek uvođen u glavnu jezgru. To znači da su potencijalne slabosti bile prisutne kroz cijelu povijest tog sustava, a korisnici su godinama vjerovali da su im podaci sigurni. Pitanje koje se nameće jest koliko je još ovakvih starih i neotkrivenih ranjivosti u jezgri Linuxa, posebno u dijelovima koji se tiču šifriranja i sigurnosnih mehanizama.
Ovo nije prvi put da se ispostavlja kako je kod pisan prije više godina sadržavao ozbiljne propuste. No, ovaj slučaj pokazuje da ni popularna rješenja koja se godinama koriste nisu imuna na pogreške. Također, postavlja se pitanje tko je odgovoran za sustavnu reviziju takvih kritičnih komponenti i zašto se na to čekalo gotovo 20 godina.
S obzirom na to da eCryptfs koriste milijuni uređaja, uključujući Chromebookove, svaka od ovih grešaka mogla je biti iskorištena za pristup korisničkim podacima. Srećom, sada su zakrpe dostupne. No ostaje gorak okus — koliko je još starih kodova koji čekaju na svoj red za reviziju? I tko će jamčiti da se ovakve stvari neće ponavljati?