Security through obscurity?

Huawei diventa il primo contributor del kernel Linux per numero di changeset (1434 nella release 5.10), e il secondo per numero di righe di codice (41049) subito dopo Intel.

Questo pone dei rischi di sicurezza, considerando l’estrema pervasività di Linux nell’infrastruttura digitale globale? Per qualcuno la presenza di un player problematico come il gigante cinese potrebbe essere spia di un problema di fondo nel modello open source, per me invece è una potentissima dimostrazione della forza di un modello che, al di là di posizioni di principio, è una “fabrica”, un cantiere globale che continuamente perfeziona quella che, con oltre 27 milioni di righe di codice, è forse la più grande “cattedrale” immateriale mai eretta.

Un cantiere che riesce ad attrarre i contributi di tutti perché intrinsecamente capace di amplificare il valore di ogni contributo e nello stesso tempo in grado di dispiegare una vigilanza globale sui contributi stessi perché il codice sorgente è sempre pubblico. Casi di vulnerabilità inserite ad arte (backdoor) in progetti open source sono estremamente rari (celebre lo Heartbleed nella libreria OpenSSL che comunque è esterna al kernel) e comunque molto più rari che nel software a sorgente chiuso.

La security through obscurity non funziona, mai.

Pubblicato su Eventual Consistency