PCWorld.Com – Adalah hal yang mengejutkan ketika mendapati berita Kernel.org dihack bulan lalu. Berita seperti ini rutin terjadi di seluruh dunia, tetapi tidak di rumah yang merupakan jantungnya Linux.
Penyelidikan tidak diragukan mestilah dilanjutkan di berbagai lini, dan team Kernel.org terus bekerja untuk memastikan seluruh 448 pengguna mengganti password dan kunci SSH mereka.
Saat ini, bagaimanapun, adalah merupakan sebuah berita yang bagus karena ternyata kita tidak perlu khawatir tentang keadaan kode-kode
Linux yang kita ketahui dan kita cintai.
Tiga penjelasan terpisah tentang mengapa hal itu bisa terjadi sudah disampaikan semenjak pembobolan pertama kali diketahui. Pada intinya, serangan menjadi tidak terlalu berpengaruh karena pada kenyataannya pengembangan kernel dilakukan menggunakan sistem kontrol revisi Git yang dimiliki sendiri oleh Linus Torvald. Disinilah mengapa ada semacam perbedaan besar.
‘Suatu Hash yang Diamankan Secara Kriptografi’
“Potensi kerusakan dari pembobolan kernel.org sangat jauh lebih kecil dibandingkan jika terjadi pada repository perangkat lunak umumnya” demikian tulis
keterangan di website kernel.org.
“Untuk masing-masing file yang berjumlah sekitar 40.000 di kernel Linux, suatu hash terkriptografi SHA-1 dihitung untuk secara unik untuk mendefinisikan konten file secara tepat”, demikian yang dijelaskan oleh catatan itu. “Git dirancang sedemikian rupa sehingga nama dari masing-masing versi kernel bergantung pada sejarah pengembangan lengkap yang menyusun versi tersebut. Sekali versi itu dipublikasikan, adalah tidak mungkin merubahnya ke versi yang lebih lama tanpa dikenali”
Lebih jauh, file-file tersebut dan nilai-nilai hash yang berhubungan dengannya ada di sejumlah tempat, baik di mesin kernel.org maupun mirrornya, serta di hard drive ribuan pengembang kernel, maintainer distro dan pihak-pihak lain yang terlibat dengan kernel.org.
Setiap gangguan di file manapun pada repository kernel.org akan dengan cepat dikenali oleh masing-masing pengembang saat mereka mengupdate repository personal mereka, yang dilakukan hampir tiap hari.
‘Tidak Perlu Khawatir’
Jonathan Corbet, editor eksekutif di LWN.net dan kontributor kernel Linux, menyampaikan kalimat jaminan yang sama.
Meskipun mendapati bahwa penyerangan itu “mengganggu dan memalukan”, Corbet
menuliskan bahwa “Tidak perlu khawatir tentang integritas sumber kernel atau perangkat lunak apapun yang ditempatkan di sistem kernel.org”
“Jika yang dilakukan oleh pengembang kernel adalah memaketkan file-file kode sumber secara sederhana, mereka mungkin akan sangat rentan oleh malware yang disusupkan oleh penyerang” kata Corbet.”tapi itu bukanlah cara pengembangan kernel dilakukan”
Fungsi Hash pada Git menghasilkan angka 160 bit, dan setiap kali konten file berubah, maka nilai hash juga akan berubah.” Seorang penyerang tidak akan dapat merubah suatu file tanpa merubah nilai hash-nya. Git memeriksa hash secara teratur, sehingga jika ada upaya untuk merusak file, maka peringatan akan muncul seketika” demikian ditekankan oleh Corbet.
‘Akan Muncul dengan Segera’
Corbet juga menerangkan, bahwa kemudian juga ada fakta bahwa “setiap keadaan yang terjadi di percabangan kode sumber kernel, git menghitung suatu nilai yang didasarkan pada
- Nilai Hash dari semua file yang ada pada cabang kode sumber itu
- Nilai Hash dari semua keadaan sebelumnya yang terjadi pada cabang kode sumber tersebut
Katherine Noyes, PCWorld
Jadi, misalnya, hash untuk kernel rilis 3.0 adalah 02f8c6aee8df3cdc935e9bdd4f2d020306035dbe, maka tidak ada cara untuk merubah file didalam rilis tersebut – atau dalam rilis sebelumnya – tanpa merubah nilai hash itu. Jika seseorang (bahkan repositori kernel.org itu sendiri) menampilkan kernel 3.0 dengan hash yang berbeda, akan segera ketahuan bahwa ada sesuatu yang salah.
Penjelasan lebih lengkap dapat dibaca pada
posting blog dari pengembang Git Junio C. Hamano, sebagaimana di
jelaskan juga di H-Online. Lengkap dengan keterangan teknis yang diperlukan.
Pengguna awam ? Jika para pakar tersebut telah menjelaskan seperti itu – maka saya sangat yakin bahwa kernel Linux aman dan terkendali.
