El creador de systemd quiere un Linux sin shell

Lennart Poettering, el creador de systemd, firma junto a Michael Vogt y Joaquim Rocha una descripción técnica detallada de cómo será Amutable Operating System (AOS) y la infraestructura que lo acompaña. Según recoge LWN.net, la idea de fondo es un sistema operativo basado en imágenes que no se modifican, y sobre esa base los autores quieren imponer reglas de seguridad que, en sus palabras, son «muy estrictas pero potentes».

El documento defiende que este enfoque «eleva la postura de seguridad del sistema sustancialmente por encima de los sistemas Linux tradicionales». Para justificarlo, enumera siete propiedades de seguridad esenciales. El extracto publicado por LWN.net detalla dos de ellas.

Sin shell, sin SSH y sin intérpretes

La primera es la que más llama la atención para cualquiera que haya administrado un servidor Linux: por defecto, AOS no instala una shell de UNIX ni ofrece acceso remoto por SSH en los nodos. Tampoco incluye los intérpretes de lenguajes habituales, como Python o Perl.

El razonamiento de los autores es directo: para la mayoría de los nodos no hace falta ni una shell ni soporte para lenguajes interpretados, y quitarlos «elimina toda una clase de ataques». Si no hay intérprete, no hay donde ejecutar un script malicioso; si no hay SSH, no hay puerta remota que forzar.

Conviene subrayar el matiz que repite el texto: por defecto. El extracto no explica si se podrán añadir después ni cómo.

Solo imágenes firmadas

La segunda propiedad tiene más miga política que técnica. En AOS solo se pueden activar imágenes que lleven datos Verity firmados con una clave que figure en el llavero Verity del sistema. Es decir, el sistema arranca y ejecuta únicamente lo que esté firmado por alguien de confianza para esa lista de claves.

Es una barrera eficaz contra la manipulación: una imagen alterada, sin la firma correcta, no se activa.

La pregunta de quién tiene las llaves

Aquí aparece la cuestión de fondo. Un sistema que solo acepta lo firmado es tan libre como lo sea el control de ese llavero. Si quien usa la máquina puede añadir sus propias claves, el modelo refuerza su soberanía: decide qué corre en su hardware y blinda esa decisión. Si las claves las gestiona un tercero, el mismo mecanismo sirve para decidir por ella.

El extracto disponible no aclara quién gestiona el llavero Verity ni qué margen tendrá quien administra un nodo para firmar sus propias imágenes. Tampoco detalla las otras cinco propiedades de seguridad que anuncia.

La tensión no es nueva en el mundo del software libre: el arranque verificado y los sistemas inmutables protegen frente a atacantes, pero también pueden convertirse en una forma de cerrar la máquina a su dueño. La diferencia la marca casi siempre quién tiene la última palabra sobre las claves. Que un sistema sin shell ni SSH esté pensado, por lo que sugiere el texto, para nodos y no para el escritorio de cualquiera rebaja parte de la inquietud, pero no la elimina.

Fuente: LWN.net