漏洞事件让OpenDaylight更加重视安全


开源项目的初衷总是好的,并且有着美好的未来预期,但安全在其中永远不是最受重视的...

Linux基金会于2013年4月份为创建一个开源的软件定义网络(SDN)平台而启动了OpenDaylight协作项目。随后,该项目获得众多业界厂商的关注和支持,如今正在高速发展壮大。然而去年OpenDaylight对于一个安全漏洞的“不重视”,却引起了不少人的担忧。

漏洞事件让OpenDaylight更加重视安全

OpenDaylight

时间回到2014年8月,研究者发现了OpenDaylight的安全漏洞,并命名为“Netdump”。借助“Netdump”,远程攻击者可以通过网络配置服务访问OpenDaylight控制器系统上的任何文件。其中易受攻击的文件包括哈希网络认证文件,攻击者甚至只需借助普通的攻击工具即可获得认证,从而控制整个网络。

虽然该漏洞存在较大安全威胁,但OpenDaylight对此却没有做出积极响应,甚至还在漏洞公布之后,推出了包含该漏洞的Helium版本。直到去年12月,该漏洞才被修复,因为相关人员认为OpenDaylight仍处于早期阶段,尚未在实际环境中大范围使用,因此安全响应速度较慢。

但安全专家(IIX公司的产品安全工程师)并且是OpenDaylight社区的成员之一的David Jorm却不这么认为,他表示:“因为事实是一个严重的漏洞被忽略了4个多月,很显然,我们在某方面出了问题;而该漏洞一旦被攻击者利用,将会给整个SDN带来毁灭性的打击。”

Jorm还指出,供应商需要及时获悉最新的安全信息,而不是通过私下交楼获知这些漏洞,这样会严重影响相关补丁的推出速度。

还好,自该事件之后,已经有越来越多的OpenDaylight成员开始用行动支持Jorm,OpenDaylight的技术指导委员会最近还批准了一项详细的安全响应过程指导书。“在ODL社区中我们很认真的对待安全问题”,该技术指导委员会主席说道,“我们正致力于更好地建立并宣传我们的安全响应过程,这样任何人都可以报告问题,并且确保我们能在第一时间做出反应。”

如今,Jorm对于OpenDaylight的安全响应已经给出了很高的评价,我们欣喜的看到OpenDaylight更加重视安全了。

OpenDaylight的Helium(氦)版本安装 

本文永久更新链接地址

相关内容