Öryggi frjáls og opins hugbúnaðar

Öryggisveilur

Enginn hugbúnaður er fullkominn eða laus við galla. Lítill sérhæfður hugbúnaður jafnt sem stór almenn lausn getur haft öryggisgalla. Hvorki séreignarhugbúnaður né frjáls og opinn hugbúnaður er laus við veilur (möguleikinn á að óprúttnir einstaklingar nýti sér öryggisgalla).

Meðhöndlun öryggismála í séreignarhugbúnaði og frjálsum og opnum hugbúnaði er að miklu leyti ólík. Þegar rætt er um öryggi í séreignarhugbúnaði er oft bent á að óprúttnir aðilar geta ekki nýtt sér veilur vegna þess að það er erfitt að koma auga á þær þar sem frumþula (e. source code) hugbúnaðarins er ekki opinber eins og í frjálsum og opnum hugbúnaðarverkefnum.

Frjálsa og opna hugbúnaðarsamfélagið bendir þó á að aðgangur að frumþulu, rýni samfélagsins og opið ferli leiðir til betra öryggis í frjálsum og opnum hugbúnaði. Frjálsa og opna hugbúnaðarsamfélagið bendir jafnframt á það hversu hættulegt það sé að reiða sig um of á svokallað óljóst öryggi (e. security by obscurity). Óljóst öryggi byggir á því að svo framarlega sem enginn getur lesið frumþuluna er hugbúnaðurinn öruggari.

Opið og öruggara ferli

Frjálsa og opna hugbúnaðarsamfélagið bendir á að með því að nota opið ferli þar sem notendur og aðrir hagsmunaaðilar geta bent á öryggisgalla og lagfært þá sé hugbúnaðurinn öruggari. Samfélagið bendir á að jafnvel þótt aðgangur að frumþulu hugbúnaðarins geri óprúttnum aðilum mögulega auðveldara að finna öryggisgalla þá gefur það samfélaginu öllu einnig möguleika á að finna og lagfæra öryggisgalla. Aðgangur að frumþulu og opinber umræða um breytingar er einnig sögð gera þróunaraðila meðvitaðri um að forrita almennilega og skýrt. Þróunaraðilar eiga þá erfiðara að leyna öryggisgöllum, í stað þess að í þróun séreignarhugbúnaðs er mögulega auðveldara fyrir forritara að komast hjá því að tryggja öryggi.

Frjálst og opið aðgengi að öllum liðum hugbúnaðarins leiðir einnig til þess að frjáls og opin hugbúnaðarverkefni treysta mun meira á stærðfræðilega útreiknað öryggi en þagnareið varðandi öryggisútfærslur. Til að mynda byggja dulritunarhugbúnaðurinn PGP (Pretty Good Privacy) og frjálsi dulritunarhugbúnaðurinn GPG (GNU Privacy Guard) á opna OpenPGP staðlinum fyrir dulritun og dulræði. Staðallinn lýsir því hvernig gögn eru dulrituð og dulráðin og lýsingar staðalsins hafa verið opnar almenningi frá því 1997 (aðferðin sjálf var fundin upp árið 1991). Í dag er ekki vitað af neinum veilum í staðlinum sem er stöðugt endurskoðaður og bættur enda liggur það í eðli opinna staðla. Rafræn skilríki sem fjármálaráðuneytið og bankarnir á skilriki.is hafa unnið að nota til dæmis svipaða tækni og PGP, þó í aðeins stærra samhengi þar sem fleiri stöðlum um öryggismál er fylgt til þess að tryggja hámarksöryggi.

Öryggisferli í frjálsum og opnum hugbúnaðarverkefnum

Frjálsi hugbúnaðarforritarinn Karl Fogel lýsir ítarlega muninum á tilkynningu á venjulegum galla og öryggisgalla í bók sinni um þróun á frjálsum og opnum hugbúnaði Producing Open Source Software: How to Run a Successful Free Software Project. Fogel, sem er þrautreyndur forritari og hefur komið að mörgum stórum frjálsum hugbúnaðarverkefnum, lýsir ferli sem frjáls hugbúnaðarverkefni ættu að fylgja þegar öryggisgalli er tilkynntur. Ferlið byggir á því að hafa sérstakan hóp af forriturum sem sinna öryggisgöllum og að fjarlægja tilkynningar um öryggisgallann af opinberum listum þar til gallinn hefur verið lagfærður sem er í raun blanda af óljósu og opnu öryggi. Fogel segir að flest frjáls og opin hugbúnaðarverkefni fylgi ferli sem svipi til þess sem hann lýsir og segir að allar útfærslur á ferlinu fylgi eftirfarandi tveimur viðmiðum:

Auðvitað skiptir stærð frjálsa og opna hugbúnaðarverkefnisins miklu máli. Stór verkefni sem margir reiða sig á eru mun líklegri til að vera meðvitaðri um öryggismál og það sama á við um séreignarhugbúnað. Það má segja að öryggissérfræðingar skiptist í tvær fylkingar. Sumir fylgja því að óljóst öryggi sé öruggara en opið öryggi en helstu sérfræðingarnir virðast þó hallast að því að öryggi opins hugbúnaðar sé líklegra til að vera meira vegna þess að opna ferlið sem verkefnið notar í þróun ýtir frekar undir meðvitaðri forritun og fleiri gallatilkynningar.

Öryggisúttekt

Þegar keyptur er hugbúnaður þar sem öryggi skiptir máli er nauðsynlegt að láta óháðan aðila framkvæma öryggisúttekt hvort sem um séreignarhugbúnað eða frjálsan og opinn hugbúnað ræðir. Frjáls og opinn hugbúnaður býður í eðli sínu upp á þægilegri öryggisúttektir en séreignarhugbúnaður þar sem aðgengi að frumþulu frjáls og opins hugbúnaðar er ekki takmarkað við einstaka aðila. Það er þó oftast hægt að kaupa sérstök leyfi frá þróunaraðilum séreignarhugbúnaðar til þess að óháðir aðilar geti framkvæmt öryggisúttektir. Ef óháðar öryggisúttektir eru ekki leyfilegar á séreignarhugbúnaði verður notandinn að spyrja sig hvort hugbúnaðinum sé virkilega treystandi.