TRENENERGI.COM — Linux dianggap tidak pernah dirancang untuk keamanan sejati, sehingga celah pada kernel dan model izin aksesnya membuat sistem ini selalu rentan terhadap eskalasi hak akses. Sejumlah pengguna jangka panjang mulai beralih ke Qubes OS, sistem operasi berbasis kompartementalisasi yang membungkus Linux dengan arsitektur keamanan lebih ketat.
Linux tumbuh sebagai sistem terbuka yang bisa dipakai siapa saja. Karena itu, memperbaiki celah keamanannya bukan sekadar menambal kode, melainkan menuntut perubahan mendasar pada arsitektur dan model keamanannya.
Kritik ini muncul dari pengalaman seorang pengguna yang berpindah dari Ubuntu ke Arch, lalu ke Gentoo. Setelah bertahun-tahun mencoba berbagai distribusi, ia menyimpulkan tidak ada varian Linux yang benar-benar bisa memberinya jaminan keamanan.
Masalah Mendasar pada Kernel dan Izin Akses
Linux memakai kernel monolitik. Hampir semua layanan seperti driver dan modul berjalan di kernel space atau ring 0, sementara aplikasi pengguna berjalan di ring 3.
Kode di ring 0 punya akses penuh ke perangkat keras, kecuali TPM dan management engine. Satu bug di ring 0 berarti kompromi total. Linux sangat besar, dengan ribuan modul yang semuanya berjalan dengan hak istimewa ring 0.
Kelemahan besar lainnya adalah pendekatan berbasis ambient authority. Model ini dipakai hampir semua sistem operasi modern: sebuah proses menerima izin berdasarkan identitas atau perannya.
Saat pengguna menjalankan proses, proses itu mewarisi hak istimewa akun pengguna dari lingkungan sekitarnya. Tidak ada yang disembunyikan, hanya dibatasi. Sistem izin tambahan di atasnya menegakkan pembatasan itu, tapi subjeknya tidak pernah benar-benar buta terhadap lingkungannya.
Di Linux, discretionary access control (DAC) membiarkan sebagian besar sistem terekspos pada banyak kasus. Serangan eskalasi hak akses sering berujung pada kompromi penuh.
Banyak hal masih memerlukan root. Root di dalam kontainer Docker umumnya juga memberi root pada host. Ini membuat sistem hanya berjarak satu atau dua celah dari kegagalan total.
Selama bertahun-tahun Linux menambahkan berbagai cara memperlambat penyerang, termasuk ASLR, PIE/PIC, stack canaries, chroots, seccomp, NX, dan SELinux. Semua itu menambal kelemahan setelah fakta terjadi.
Qubes OS Membungkus Linux dengan Sandbox Ketat
Setelah beberapa tahun, kesimpulannya: sebanyak apa pun tweaking pada Linux tidak akan cukup. Kontainer atau bwrap bisa dipakai, tapi kernel tetap mengekspos sistem. SELinux pun tidak menyelamatkan.
Linux adalah platform terbuka dan kompleks dengan lapisan aturan di atasnya. Akan selalu ada ujung yang lepas. Untuk saat ini, Qubes disebut sebagai solusi yang paling mendekati ideal.
Qubes menggabungkan kenyamanan Linux dengan arsitektur keamanan yang jauh lebih kuat. Sistem ini memakai sesuatu yang mirip model keamanan berbasis kapabilitas.
Dalam sistem seperti itu, subjek seperti virtual machine tidak mengetahui apa pun tentang lingkungan operasinya kecuali yang diberikan secara eksplisit. Ibarat ruangan gelap yang hanya menerima sumber daya penting lewat celah surat.
Qubes bukan representasi murni model tersebut, tapi prinsip sandboxing-nya berlaku. Dalam dunia ini, Qubes tidak peduli pada masalah Linux karena hampir setiap serangan berhasil dikurung.
Ketika kehidupan dibagi berdasarkan risiko, seperti perbankan dan browsing umum, kompromi berbahaya terbatas pada domain yang tidak menyimpan hal penting. Risiko saat transfer uang, mengelola akun media sosial, atau mengurus urusan bisnis pun turun drastis.
Sebagai contoh, domain email dibatasi firewall hanya untuk mengakses satu penyedia jarak jauh. Lampiran dibuka di virtual machine terpisah yang tidak terhubung ke jaringan.
Spectrum OS dan Sculpt OS di Cakrawala
Qubes adalah generasi pertama sistem operasi dengan pendekatan security by compartmentalization. Ia tidak akan menjadi yang terakhir.
Spectrum OS adalah pendatang baru yang mencoba memperbaiki kekurangan Qubes, terutama soal penggunaan sumber daya. Sistem ini membungkus setiap aplikasi dalam microVM yang jauh lebih ringan daripada VM tradisional.
Spectrum OS dibangun di atas Cloud Hypervisor, yang secara teori bisa menjalankan guest semacam itu hanya dalam 100 milidetik. Untuk sekarang, Spectrum OS masih membungkus aplikasi dalam VM penuh.
Platform masa depan lainnya adalah Sculpt OS, sistem operasi yang dibangun dengan framework Genode dan benar-benar berbasis kapabilitas. Alih-alih memakai virtual machine, setiap komponen di Sculpt OS berjalan di sandbox mini yang bersifat hierarkis.
Induk proses melahirkan proses anak, seperti browser yang memunculkan plugin. Setiap anak mendapat ruangan gelapnya sendiri, sementara induk hanya memberikan sumber daya penting tanpa mengungkap hal lain.
PDF berbahaya akan sulit mengompromi sistem yang tidak diketahuinya sama sekali. Sculpt OS mem-boot microkernel turunan NOVA, dan Genode juga mendukung seL4 yang basis kodenya terverifikasi secara matematis.
Microkernel, kebalikan dari Linux, memindahkan hampir semua modul ke ring 3. Eskalasi hak akses pun jauh lebih sulit dilakukan.
