如何做好Linux物联网装置资安？专家呼吁要从慎选核心开始

开源的Linux操作系统，由于能够免费取得等特性，而广受各界采用，无论是云端服务、Android智能手机、网域名称服务器，以及超级电脑等，几乎都是此类操作系统的天下，许多物联网装置也同样使用Linux来开发。然而许多企业运用来开发连网设备产品之后，却可能因为难以维护相关固件，导致漏洞一旦被发现的时候，企业需要花费大量时间才能修复，这种情况在最近几年可说是时有所闻。

到底要如何改变这种窘境？Moxa软件发展中心专案副理林上智（SZ Lin）在2020年台湾资安大会上，以自身参与嵌入式Linux设计与开发的经验，呼吁开发者要从“挑选Linux核心（Kernel）”做起，后续才能减少维护和修补漏洞的负担。

林上智指出，近年来许多执行Linux操作系统的连网设备，陆续被发现安全漏洞，甚至可能已经被骇客用来发动攻击，其原因与他们采用的操作系统缺乏维护有关。他引用了德国弗劳恩霍夫通讯协会（Fraunhofer Institute for Communication，FKIE）对于家用路由器的研究报告，该份报告针对7个厂商推出的127款设备进行研究，指出其中有许多执行的是久未更新的旧版Linux核心，甚至有46款在一年内都没有发布修补软件等情况。林上智说，这些路由器厂商没有定期修补漏洞是最主要的问题，而使用极为老旧的操作系统核心倒是其次。探究其原因，他认为很可能是一开始没有选择合适的核心导致。

而对于运用于制造业、医疗、-单位等关键基础设施的物联网装置，最近几年-也开始要求企业必须遵循有关标准。像是由美国国家标准暨技术研究院（NIST）推出的供应链风险管理标准SP800-161，由国际自动化学会（ISA）制订的ISA/IEC 62443-4-1，以及北美电力可靠度公司（NERC）发表的CIP-010-2等。

但即使不是运用在上述关键基础设施场域的连网装置，还是有可能因为设备的漏洞遭到揭露，甚至是上到新闻版面，导致企业必须面临用户对于资安防护的存疑，若是因此泄露欧洲民众的个资，还可能遭到欧盟的裁罚，对于如此的情况，企业势必要更加正视物联网装置的资安维护工作。

挑选合适Linux核心是增加设备资安的开始

那么，企业要做好Linux连网装置的安全，林上智认为，最好从开发的初期流程着手。因为，企业想要修补软件的缺陷，在软件开发生命周期（SDLC）的各阶段中，所需的资源和成本会随之不断增加。根据NIST的研究，在产品上市之后才来处理软件缺陷，比起在开发初期，也就是在收集与分析需求，以及设计架构的阶段，上市后耗费的成本是开发初期的30倍。林上智说，在他的经验里，前述两个阶段修补花费所需资源，差距实际上可是超过NIST指出的比例。

其中，Linux操作系统的核心，由于牵涉范围甚广，因此一旦出现漏洞，就有可能导致企业疲于修补。因此，林上智表示，在软件开发流程里，依据营运模型和相关需求，挑选合适的核心，是改善连网装置安全的重要课题，他还说核心“早期选得好，之后没烦恼”。

但究竟要如何挑选合适的核心版本？林上智说这个没有能够一体适用的答案，因为企业必须根据开发的时程、资源，以及蓝图等层面，进行评估，但是有3个大原则可以依循，首先是选用的核心必须拥有开发连网设备所需之核心技术（Core Technology），再者是遵循足够优秀（Good Enough）和简单易懂（KISS）的原则，做为选择的考量。

林上智以城市基础建设系统（Civil Infrastructure System）的连网装置开发为例，这类的装置所采用的Linux核心，必须要有工业等级的可用性，还要能够长达10年以上的支援、维护，以及具备足够资安防护，进而达到降低开发的成本与时间，以及后续维护的成本等目标。

在市面上企业可选用的Linux核心，基本上包含了Linux基金会推出的主要版本，还有PREEMPT_RT专案，是应用于工业控制即时系统的核心版本。

而根据核心的来源，则可以区分是来自处理器厂商的SoC Board Support Package Kernel，还有Linux基金会推出的长期支援版本（Long Term Support，LTS），以及针对城市基础建设，由相关业者共同维护的城市基础建设平台（Civil Infrastructure Platform，CIP）等。

其中，由处理器厂商提供的Linux核心，其优点是特别针对指定硬件设计，企业能够快速运用来开发连网装置，但与一般的核心相比，这种核心也相当仰赖处理器厂商的支援周期长短，而且不同的处理器往往有对应版本的Linux核心，因此企业很有可能因为厂理器厂商终止支援，面临被迫更换新版核心开发的情况，而在进行漏洞修补的时候，企业也必须对于不同处理器的版本个别开发更新程式。

而Linux基金会推出的LTS版本，则是在他们每年推出的主线版本里，挑选其中一个分支来开发这种长期维护的版本，该基金会最初的政策是提供2年支援，但目前实际支援的周期大约都延长到6年左右。而这种版本所提供的支援，主要是对于臭虫和漏洞的修补，并不会加入新的硬件支援，因此，如果企业选择了LTS版，未来很有可能会面临无法搭配新的硬件运作的情况。为了解决上述不足的情况，Linux基金会曾一度推出了增加硬件支援的专案，名为Long Term Support Initiative（LTSI），不过目前已经停止开发。

至于着眼于城市基础建设的CIP，也是从LTS延伸而来，由开发相关设备的厂商共同维护，他们对于核心与主要功能模组（Core Package），计划维护10年至20年。为何这些厂商决定合作？林上智说，他们目的是要减少自己在维护核心上的心力，进而将更多资源运用在开发设备的主要功能上。

此外，林上智也提醒开发者，千万不要因为正在开发的测试版核心纳入了自己需要的新功能而采用，因为这种版本很可能还有很多臭虫，会造成企业日后维护上的困扰。

回报上游和慎选必须的套件，可减少日后维护的负担

值得留意的是，企业很可能会基于商业秘密的考量，取得Linux核心的程式码后，就想要开发成专属版本（Own Community），修补的程式码只有自己能够使用。林上智说，如果采用这种方式来维护所使用的核心，企业同样也无法直接套用日后源头提供的新版本内容，一旦要自行逐次加入相关修补，将会耗费大量的开发资源，尤其是Linux核心大约每3个星期就更新一次，若是企业依照这个周期自己修改大量程式码，将会是非常繁重的工作。因此，林上智认为，企业应该要采取“Upstream First”的概念，把自己修补完成的程式码提报给上游，也就是企业取得核心的来源，如此一来，日后只要再从上游升级新版核心，也能一并取得他人修补的内容，避免所有的漏洞都要自己修改的情况。

另一方面能减少Linux连网装置遭到攻击的风险，就是只使用必须的套件。虽然许多开发者会把Linux核心相关的套件全部纳入，但这也代表了一旦用不到套件出现漏洞，企业还是必须设法修补，反之，如果是没有采用的套件，即使漏洞的CVSS第3版风险指标达到满分10分，这些采用此版核心的连网装置还是不受影响。