感受開源之美，共享 Linux 的安全與便捷

科技 06-04

引言

「我認為，在每種發展模式中，安全始終是一項挑戰。」

-----VMware的副總裁兼首席開源官 Dirk Hohndel

一提到哪種系統更安全這個問題時，大家首先就會說開源的系統更安全，為什麼呢？這是因為它不僅具有著廣泛的參與性，而且還具有很好的共享性，達到了人人參與，人人受益的目的；所以，這類系統受到惡意攻擊的次數遠遠低於其他商業類軟體系統，是更加安全的一類系統。其中的佼佼者，就是 Linux 系統和以 Linux 內核作為核心的開源操作系統。

本次 Open Source Summit 會有哪些相關精彩內容呢？我們來給大家劇透一下...

分論壇主題介紹

Linux系統

那麼 Linux 內核系統具有哪些優勢呢？讓我們來大概的了解一下：

1、模塊化程度高：Linux 的內核設計非常精巧，分成進程調度、內存管理、進程間通信、虛擬文件系統和網路介面五大部分;其獨特的模塊機制可根據用戶的需要，實時地將某些模塊插入或從內核中移走，使得 Linux 系統內核可以裁剪得非常小巧，很適合於嵌入式系統的需要。

2、源碼公開：由於 Linux 系統的開發從一開始就與 GNU 項目緊密地結合起來，所以它的大多數組成部分都直接來自 GNU 項目。任何人、任何組織只要遵守 GPL 條款，就可以自由使用 Linux 源代碼，為用戶提供了最大限度的自由。這一點也正投嵌入式系統所好，因為嵌入式系統應用千差萬別，設計者往往需要針對具體的應用對源碼進行修改和優化，所以是否能獲得源代碼對於嵌入式系統的開發是至關重要的。加之 Linux 的軟體資源十分豐富，每種通用程序在 Linux 上幾乎都可以找到，並且數量還在不斷增加。這一切令設計者在其基礎之上進行二次開發變得非常容易。另外，由於 Linux 源代碼公開，用戶不用擔心有「後閘」等安全隱患。同時，源碼的開放給各教育機構提供了極大的方便，促進了 Linux 的學習、推廣和應用。

3、廣泛的硬體支持：Linux 支持 x86、ARM、MIPS、ALPHA 和 PowerPC 等多種體系結構的微處理器。目前已成功地移植到數十種硬體平台，幾乎能運行在所有流行的處理器上。由於世界範圍內有眾多開發者在為 Linux 的擴充貢獻力量，所以 Linux 有著異常豐富的驅動程序資源，支持各種主流硬體設備和最新的硬體技術，甚至可在沒有存儲管理單元 MMU 的處理器上運行，這些都進一步促進了 Linux 在嵌入式系統中的應用。

4、內核安全、高效、穩定與易用性更好：Linux 內核的高效和穩定已在各個領域內得到了大量事實的驗證。Linux 中大量網路管理、網路服務等方面的功能，可使用戶很方便地建立高效穩定的防火牆、路由器、工作站、伺服器等。為提高安全性，它還提供了大量的網路管理軟體、網路分析軟體和網路安全軟體等。

5、具有優秀的開發工具：開發嵌入式系統的關鍵是需要有一套完善的開發和調試工具。傳統的嵌入式開發調試工具是在線模擬器（In Circuit Emulator，ICE），它通過取代目標板的微處理器，給目標程序提供一個完整的模擬環境，從而使開發者能非常清楚地了解到程序在目標板上的工作狀態，便於監視和調試程序。在線模擬器的價格非常高，而且只適合做非常底層的調試。如果使用嵌人式 Linux，一旦軟硬體能支持正常的串口功能，即使不用在線模擬器，也可以很好地進行開發和調試工作，從而節省了一筆不小的開發費用。嵌入式 Linux 為開發者提供了一套完整的工具鏈（Tool Chain），能夠很方便地實現從操作系統到應用軟體各個級別的調試。

6、有很好的網路支持和文件系統支持： Linux 從誕生之日起就與 Internet 密不可分，支持各種標準的 Internet 網路協議，並且很容易移植到嵌入式系統當中。目前，Linux 幾乎支持所有主流的網路硬體、網路協議和文件系統，因此它是 NFS 的一個很好的平台。另一方面，由於 Linux 有很好的文件系統支持（例如，它支持 Ext2、FAT32、romfs 等文件系統），是數據備份、同步和複製的良好平台，這些都為開發嵌入式系統應用打下了堅實的基礎。

正是 Linux 系統具有如上的諸多優秀特質，成就了它成為了各大廠商的大咖們鍾愛的使用工具。那麼，究竟有哪些大咖來分享這些成功應用呢？請看：

來自華為的 Boqun Feng 將帶來：遞歸讀寫死鎖與何處可發現此類死鎖。

Lockdep（Linux 內核中的死鎖檢測器）是一個用來檢測死鎖的強有力工具，且內核開發人員已使用了很長一段時間。但是，當涉及到讀寫/寫鎖死鎖檢測時，Lockdep 僅能夠提供有限的支持。同時，一些主要架構（x86 與 arm64）已經或正試圖將其 rwlock 實現轉變為隊列 rwlock，從而使得這一支持變得更加有限。例如，我們發現了一些發生在內核中的死鎖案例，無法使用 Lockdep 對其進行檢測。為了改善這一情況，ikml 發布了一個補丁集以支持在 Lockdep 內進行讀寫/寫入死鎖檢測，並已更新到了第 6 版。本演講將簡要介紹 rwlock 相關死鎖（遞歸讀寫死鎖），以及我們如何對 Lockdep 進行微調以進行檢測。其將著重於檢測演算法以及準確性和一些實現細節。

同樣，來自華為的 Xiang Gao 將帶來：EROFS 簡介與我們的智能手機實踐。

EROFS 文件系統是一個 Linux 只讀文件系統，用以節省額外的存儲空間，並保證嵌入式設備，尤其是安卓設備的端到端性能。與其他通用文件系統相比，這一系統旨在減少元數據的數量，並為目標文件系統用戶提供透明的壓縮支持。在過去的 2018 年裡，EROFS 已完成開發，合併入 Linux 的狀態樹，並安裝入多種智能手機中。請注意，其目前仍在積極開發中。在之後，將會增加更多有用的功能。本演講將展示與在消費者的嵌入式設備內進行實時解壓相關的問題以及我們的實踐、EROFS 的詳細設計、基準評測、與當前的 squashfs 的對比、被壓縮的 btrfs 以及 EROFS 的未來藍圖。

來自騰訊的 Xiaoming Gao 將帶來：設計新的調度演算法以提升 CPU 的利用率。

許多大型互聯網公司常常會面臨 CPU 利用率低的問題。這一問題可通過在單一節點上部署離線 CPU 限制型負載與線上服務進行解決。但其缺點是無法保證線上服務的質量。就這一問題，騰訊團隊已經進行了一些工作，並在 Linux 內核的基礎上引入了新的離線調度類。

另外一位來自騰訊的 Dongdong Chen 則會帶來：內核中的 Buffer Write io 與網路 RX 控制的新 Cgroup 子系統。Linux 機上的資源可通過 Cgroup 子系統進行控制，例如內存與 CPU 。然而，在內核 4.x 之前，我們無法控制 Buffer Write io 與網路 RX。為此，騰訊團隊在內核中加入兩個新的 Cgroup 子系統，以控制 Buffer Write io 與網路 RX。這使得用戶能夠為 QOS 向不同工作分配不同的資源值。

來自 Intel 的 Lu Baolu 將會帶來：防止 Thunderbolt 設備發起的 DMA 攻擊。MacOS 與 Windows 平台上的 Thunderbolt 允許外圍設備直接通過 PCIe 匯流排與計算機進行連接。儘管晶元供應商擁有 DMA 重映射技術以防止 DMA 攻擊，但是系統仍然十分容易受到通過 Thunderbolt 埠連接的惡意外圍設備的 DMA 攻擊。本演講將展示Intel已與 Linux 確認的安全問題，以及所編製的解決方案。

另外一位同樣來自 Intel 的 Ziye Yang 則會帶來：基於 SPDK 的用戶空間 NVMe Over TCP 傳輸解決方案。最近，NVM express 就 NVMe over fabrics 發布了新的 TCP 傳輸 (TP8000) 規範。在本演講中，Ziye 將介紹 SPDK 內 NVMe-oF 的 TCP 傳輸的設計、實現與開發計劃。目前，SPDK 可在主機端與目標端進行 TCP 傳輸，並已經與 Linux 內核解決方案進行了測試，表現出了良好的互操作性。此外，也將提供一些實驗結構以證實 SPDK 的 NVMe-oF TCP 傳輸實現的性能與可拓展性。同時，Ziye還將介紹一些技術以進一步改善 SPDK 解決方案的性能，例如：(1) 利用用戶空間 TCP 堆棧（例如，VPP DPDK）以替代內核 TCP 堆棧；(2) 利用硬體的一些功能，例如英特爾的 E810 NIC 上的 ADQ。

笨叔叔 - 奔跑吧，Linux 內核社區

來自奔跑吧 Linux 內核社區的笨叔叔將帶來2個議題：

1、使用 kdump crash 工具實戰產品研發和雲伺服器里的死機難題：隨著中國互聯網的快速發展，越來越多的伺服器與雲伺服器採用 Linux 系統，例如阿里巴巴、騰訊等。此外，隨著物聯網以及工業 4.0 的發展，越來越多的產品開發選擇 Linux 系統作為基礎平台。雖然 Linux 內核足夠穩固，但是也常常會發生系統崩潰的情況。本演講將介紹在生產開發與部署過程中，使用 kdump cras 處理 Linux 崩潰問題積累的經驗，分為六個部分：

實驗室 1：簡單的控制表引起的嚴重錯誤；

實驗室 2：訪問已經刪除的表頭與鏈表；

實驗室 3：設備驅動程序的崩潰問題；

實驗室 4：如何通過調用追蹤與堆棧發現功能的局部變數與參數值；

實驗室 5：逐步分析複雜的死鎖崩潰問題；

實驗室 6：手動恢復功能調用堆棧。

2、向 Linux 新手介紹內核以及虛擬化架構基礎知識：虛擬化是雲端的基礎設施，Linux 內核在眾多企業中得到應用，可見它們是如此的重要。但是，它們也變得越來越複雜，使得初學者無法輕易掌握其中的門道以進入這些領域。Linux 內核被廣泛部署於許多領域，如移動手機、嵌入式系統、雲伺服器、IoT 等等。Linux 內核由社區在短時間內開發而成，代碼長度超過 2 千萬行。系統管理員以及初學者要想學習 Linux 內核，十分困難。小喵喵和笨叔叔都是在開源社區工作5 年以上，並且富有 Qemu/KVM/Kernel 相關經驗的開發人員。他們將分享經驗，以幫助初學者快速掌握虛擬化/內核的整體框架，進入開源社區。

那麼，Open Source Summit 的 Linux 系統論壇都有哪些精彩演講呢？

內容更新請參閱 https://kccncosschn19chi.sched.com 選擇： OSS - Linux 系統。

開源安全性

近幾年開源代碼熱度持續上升，各類公司都紛紛採用開源組件構建自己的系統和平台。除了市場上常見的開源操作系統，開源的生產力軟體、管理員/開發者工具和各種代碼庫也是企業用戶用於打造自有軟體的一大助力。現在，甚至商業軟體也越來越多地建立在開源代碼的基礎之上，企業中開源軟體的採用越來越廣泛。隨著企業轉向敏捷方法，開源變得更加有價值，也有更多工具可以利用。

開發人員重度依賴開源軟體，公司企業也慣於依靠有大型團隊維護的主流開源項目。且在安全上一直都有「眾人之眼」的說法——越多人盯著就越安全。除了廉價，「眾人之眼」帶來的安全性可能就是使用開源軟體的最大好處了。當然，這一理論也許對小型開源項目或代碼庫不適用。畢竟，有些軟體是沒有開發者社區的。

開源代碼的另一個安全優勢是，如果出現了問題，可以得到立即曝光和修復。而如果是專利代碼，通常就只有等待供應商的響應了。

Kate Stewart – Linux基金會戰略計劃高級主管

來自 Linux 基金會的 Kate Stewart 會帶來：為安全和安全性開發開源。當開源項目能夠接受偉大的想法，並且開發人員能夠擴展代碼以「解決其問題」時，它們就會蓬勃發展。另一方面，開發安全關鍵的應用程序需要嚴格的過程，以確保它們不會在關鍵時刻出錯，因此應用程序被接受有更高的門檻。Linux 和 Zephyr 都致力於通過不同的方法獲得安全認證。Zephyr 是專為因 Linux 太大而無法安裝或需要較長電池壽命的設備設計的。本次演講將總結 Zephyr 的現狀，以及項目的規劃，即在 2019 年通過功能安全認證，通過繼續處理可能存在的安全問題。與此相比，Elisa 項目以及 Elisa 團隊正致力於開發新的流程和工具，以幫助 Linux 獲得功能安全應用程序的認證。

Christina Quast –嵌入式系統工程師

Christina 剛剛在柏林大學完成了電氣工程碩士學位，她參加過許多 IT 安全會議，並擔任 IT 安全 CTF 多年，目前擔任嵌入式系統工程師，努力使嵌入式系統和IT安全的世界更加緊密。Christina 將帶來：利用 RISC-V 上的緩衝區溢出。大約 10 年前，RISC-V ISA 規範的制定工作開始。大約一年前，我們看到第一個硬體的出現，從今年開始，該硬體的價格變得更加便宜。伴隨著這一發展，第一批產品和第一個漏洞也在出現。本次演講將簡要介紹英特爾在 ARM 平台上的開發，之後介紹在 RISC-V 平台上開發的架構差別，以及展示已經採用 RISC-V 支持、由此可用於創建和調試這些代碼或漏洞的工具。

來自滙豐銀行的 Weiqiang Yang 和 Jihai Zhou 將帶來：大銀行實施 DevSecOps 所面臨的挑戰和解決方案。作為世界上最大的銀行之一，他們在滙豐技術部門運行了幾年DevOps 計劃，以在團隊之間建立 DevOps 文化和思維。自 2018 年起，開始實施 DevSecOps 計劃，將網路安全融入 DevOps 文化。滙豐銀行的目標是通過推廣 DevSecOps 工具並結合相關培訓，轉變開發團隊的網路安全思維。在本演講中，Weiqiang和 Jihai將分享如何將 DevSecOps 工具（如 CheckMarx、Contrast 和 Sonatype Iq）集成到開發 CICD 管道中，以生成漏洞儀錶板。此外，他們還將演示三種提供網路安全培訓的不同方法，幫助開發團隊逐漸增長知識，從而修復 DevSecOps 工具報告的漏洞，並隨著時間的推移建立全新的思維。

Will Martin – Pivotal軟體工程師

Ed King – Pivotal軟體工程師

來自 Pivotal 的 Will Martin 和 Ed King 將帶來：大逃亡。CVE-2019-5736 於最近宣布退出，其中包括一個容器終端，這會對 runc （對 lxc 有類似影響）帶來影響。由於許多平台使用 runc 為關鍵工作負載提供容器，因此在一段時間內，大量相關的補丁被發布並應用。雖然保持更新十分重要，但是我們也應反思容器平台中的合理默認值，以規避此類 CVE 和更多類似的補丁。我們都需要簡單！在本技術演講中，William 與 Ed 將通過展示多個真實的 CVE，說明良好配置的容器安全層（命名空間、cgroups、apparmor、selinux、seccomp 等）如何能夠保護您的工作負載，從而避免這些 CVE。

那麼，Open Source Summit 的開源安全性論壇都有哪些精彩演講呢？