窗外

是软件总会有bug

我这个blog架在Azure中的一台Linux虚拟机上,还开启了SSL。本来一个个人blog,访问量几乎没有,完全用不着SSL的,只不过是因为我手上恰好有一张能用的证书,放着也是浪费,于是就拿来用到这个blog上了。于是,就赶上了前几天那个闹得很凶的heartbleed bug。

这个bug对我的blog当然没什么影响,除了收到了一堆提示邮件,有Azure的,有证书签发商的等等。给Linux打补丁之余,这倒是让我有机会关注了一下这个heartbleed bug的来龙去脉。原来,这是个忘记检查内存访问范围的bug。两年前,有人向OpenSSL提交了一段代码,其中在分配内存空间时,写程序的忘记检查内存范围了。糟糕的是,用来申请内存空间的参数是由用户指定的,这就使得用户有机会拿到比需要的内存大的空间,以及其中的信息,这就造成了信息的泄露。

这个bug让我想到了另一件事。许多年前,我还年轻的时候,和很多现在的年轻人一样,喜欢和人争论。那时候软件行业的争论焦点之一是,到底开源更好,还是闭源更好。那时候,Eric Raymond的文章《大教堂和集市》很流行,拥护开源的人相信,用小集市的方法,聚集更多的人,能够建出更好的大教堂。具体到代码上,他们相信开源代码有更多的人做code review和测试,bug会更少,质量会更高。可是这个heartbleed bug却好像是对这一理论的嘲讽。Azure很骄傲地给我发信说,Azure的基础设施没用OpenSSL,用的是微软自己的Secure Channel,所以不存在这个bug,我只需要给自己用到OpenSSL的应用打补丁就行了。而更多的网站是发邮件说,他们被这个bug影响了,但相信没有用户资料损失,但还是建议改密码。按理说,OpenSSL的使用者比Secure Channel的多得多,可是为什么这个bug躺在那里两年也没人发现呢?

我的看法是,由于软件复杂度的增加,现在基本上靠code review来找bug基本上已经越来越难了。大型软件除错只能靠大量的测试,测试越完备,bug可能越少。而开源社区基本上很少有专门的测试人员,大家乐于贡献代码,但是没人只想贡献test case。另外一点是,人力资源是很贵的。就这个heartbleed bug来说,可能即使有专门的测试人员,它也很难被test case覆盖,原因是要找出这个bug,需要对SSL,特别是SSL heartbeat非常了解。对这么冷门的东西非常了解的人,基本上会是这个领域的专家了。而你知道,专家是很忙的,哪有时间review到这么细节的code,而且又不是为了赚钱。至于其他人,这段code能拿来用对,就算不错了,哪里有能力review出其中的bug啊。

Tags

Leave a Reply

Your email address will not be published. Required fields are marked *