Ενημερώσεις ασφαλείας

Εκκρεμείς διορθώσεις και η επανεκκίνηση που κανείς δεν κάνει

Η σελίδα παραθέτει τις ενημερώσεις ασφαλείας που περιμένουν, χωρισμένες από τις συνηθισμένες ενημερώσεις πακέτων, μαζί με το αν έχουν ρυθμιστεί οι αυτόματες αναβαθμίσεις και πότε έτρεξαν τελευταία φορά.

Το πεδίο που ζυγίζει περισσότερο από οποιαδήποτε λίστα πακέτων είναι η σημαία που δηλώνει ότι απαιτείται επανεκκίνηση. Οι ενημερώσεις του πυρήνα και των βασικών βιβλιοθηκών εγκαθίστανται με επιτυχία και δεν κάνουν τίποτα ώσπου το μηχάνημα να επανεκκινήσει: ένας διακομιστής μπορεί δηλαδή να είναι πλήρως ενημερωμένος σύμφωνα με κάθε αναφορά και να συνεχίζει να εκτελεί τον ευάλωτο κώδικα στη μνήμη. Ο χρόνος λειτουργίας δεν είναι επίτευγμα σε μηχάνημα που κουβαλά επί διακόσιες ημέρες μια μη εφαρμοσμένη διόρθωση πυρήνα.

Οι αυτόματες αναβαθμίσεις αξίζουν να ενεργοποιηθούν σχεδόν σε κάθε διακομιστή, με δύο προσαρμογές: περιορίστε τις στο αρχείο ασφαλείας αντί για όλες τις ενημερώσεις και ορίστε ένα παράθυρο συντήρησης, ώστε οι επανεκκινήσεις να γίνονται όταν το αποφασίζετε εσείς. Το σενάριο που φοβόμαστε — μια αυτόματη ενημέρωση που χαλάει αφύλακτα μια υπηρεσία — είναι πολύ σπανιότερο από την εναλλακτική, δηλαδή μια γνωστή ευπάθεια που μένει αδιόρθωτη για μήνες επειδή κανείς δεν πρόλαβε.

Αυτές τις ενημερώσεις τις εγκαθιστά το unattended-upgrades, και η δουλειά δεν τελειώνει με την εγκατάσταση. Τα πακέτα αλλάζουν αρχεία στον δίσκο, οπότε το επόμενο πέρασμα του AIDE και του debsums θα αναφέρει αποκλίσεις — νόμιμες, αλλά αξίζει να τις διαβάσετε για να ξεχωρίσετε τις δικές σας από κάποιου άλλου. Οι υπηρεσίες που επανεκκινήθηκαν αξίζουν χωριστή ματιά: το Monit θα προσέξει εκείνη που δεν επέστρεψε. Και το ίδιο το γεγονός ότι οι αυτόματες ενημερώσεις είναι ενεργές το προσμετρά το Lynis στο hardening index — ένα από τα λίγα σημεία που ανεβάζει τη βαθμολογία και πράγματι μειώνει τον κίνδυνο.