在现代微服务环境中，构建小型、单一的应用程序的旧策略又再一次流行了起来。

1984 年，Rob Pike 和 Brian W. Kernighan 在 AT&T 贝尔实验室技术期刊上发表了名为 “Unix 环境编程” 的文章，其中他们使用 BSD 的 cat -v 例子来认证 Unix 哲学。简而言之，Unix 哲学是：构建小型、单一的应用程序 —— 不管用什么语言 —— 只做一件小而美的事情，用 stdin / stdout 进行通信，并通过管道进行连接。

听起来是不是有点耳熟？

是的，我也这么认为。这就是 James Lewis 和 Martin Fowler 给出的 微服务的定义 。

简单来说，微服务架构的风格是将单个 应用程序开发为一套小型服务的方法，每个服务都运行在它的进程中，并用轻量级机制进行通信，通常是 HTTP 资源 API 。

虽然一个 *nix 程序或者是一个微服务本身可能非常局限甚至不是很有用，但是当这些独立工作的单元组合在一起的时候就显示出了它们真正的好处和强大。

*nix程序 vs 微服务

下面的表格对比了 *nix 环境中的程序（例如 cat 或 lsof）与微服务环境中的程序。

让我们详细的看看每一行。

执行单元

*nix 系统（如 Linux）中的执行单元是一个可执行的文件（二进制或者是脚本），理想情况下，它们从 stdin 读取输入并将输出写入 stdout。而微服务通过暴露一个或多个通信接口来提供服务，比如 HTTP 和 gRPC API。在这两种情况下，你都会发现无状态示例（本质上是纯函数行为）和有状态示例，除了输入之外，还有一些内部（持久）状态决定发生了什么。

数据流

传统的，*nix 程序能够通过管道进行通信。换句话说，我们要感谢 Doug McIlroy，你不需要创建临时文件来传递，而可以在每个进程之间处理无穷无尽的数据流。据我所知，除了我在 2017 年做的基于 Apache Kafka 小实验，没有什么能比得上管道化的微服务了。

可配置和参数化

你是如何配置程序或者服务的，无论是永久性的服务还是即时的服务？是的，在 *nix 系统上，你通常有三种方法：命令行参数、环境变量，或全面的配置文件。在微服务架构中，典型的做法是用 YAML（或者甚至是 JSON）文档，定制好一个服务的布局和配置以及依赖的组件和通信、存储和运行时配置。例如 Kubernetes 资源定义、Nomad 工作规范 或 Docker 编排 文档。这些可能参数化也可能不参数化；也就是说，除非你知道一些模板语言，像 Kubernetes 中的 Helm，否则你会发现你使用了很多 sed -i 这样的命令。

发现

你怎么知道有哪些程序和服务可用，以及如何使用它们？在 *nix 系统中通常都有一个包管理器和一个很好用的 man 页面；使用它们，应该能够回答你所有的问题。在微服务的设置中，在寻找一个服务的时候会相对更自动化一些。除了像 Airbnb 的 SmartStack 或 Netflix 的 Eureka 等可以定制以外，通常还有基于环境变量或基于 DNS 的方法，允许您动态的发现服务。同样重要的是，事实上 OpenAPI 为 HTTP API 提供了一套标准文档和设计模式，gRPC 为一些耦合性强的高性能项目也做了同样的事情。最后非常重要的一点是，考虑到开发者经验（DX），应该从写一份好的 Makefile 开始，并以编写符合 风格 的文档结束。

优点和缺点

*nix 系统和微服务都提供了许多挑战和机遇。

模块性

要设计一个简洁、有清晰的目的，并且能够很好地和其它模块配合的某个东西是很困难的。甚至是在不同版本中实现并引入相应的异常处理流程都很困难的。在微服务中，这意味着重试逻辑和超时机制，或者将这些功能外包到 服务网格 service mesh 是不是一个更好的选择呢？这确实比较难，可如果你做好了，那它的可重用性是巨大的。

可观测性

在一个 独石 monolith （2018 年）或是一个试图做任何事情的大型程序（1984 年），当情况恶化的时候，应当能够直接的找到问题的根源。但是在一个

yes | tr \\n x | head -c 450m | grep n

或者在一个微服务设置中请求一个路径，例如，涉及 20 个服务，你怎么弄清楚是哪个服务的问题？幸运的是，我们有很多标准，特别是 OpenCensus 和 OpenTracing。如果您希望转向微服务，可预测性仍然可能是最大的问题。

全局状态

对于 *nix 程序来说可能不是一个大问题，但在微服务中，全局状态仍然是一个需要讨论的问题。也就是说，如何确保有效的管理本地化（持久性）的状态以及尽可能在少做变更的情况下使全局保持一致。

总结一下

最后，问题仍然是：你是否在使用合适的工具来完成特定的工作？也就是说，以同样的方式实现一个特定的 *nix 程序在某些时候或者阶段会是一个更好的选择，它是可能在你的组织或工作过程中的一个最好的选择。无论如何，我希望这篇文章可以让你看到 Unix 哲学和微服务之间许多强有力的相似之处。也许我们可以从前者那里学到一些东西使后者受益。

via: https://opensource.com/article/18/11/revisiting-unix-philosophy-2018

作者：Michael Hausenblas 选题：lujun9972 译者：Jamskr 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

Anbox （Anroid in a Box）是一个自由开源工具，它允许你在 Linux 上运行 Android 应用程序。它的工作原理是在 LXC 容器中运行 Android 运行时环境，重新创建 Android 的目录结构作为可挂载的 loop 镜像，同时使用本机 Linux 内核来执行应用。

据其网站所述，它的主要特性是安全性、性能、集成和趋同（不同外形尺寸缩放）。

使用 Anbox，每个 Android 应用或游戏就像系统应用一样都在一个单独的窗口中启动，它们的行为或多或少类似于常规窗口，显示在启动器中，可以平铺等等。

默认情况下，Anbox 没有 Google Play 商店或 ARM 应用支持。要安装应用，你必须下载每个应用的 APK 并使用 adb 手动安装。此外，默认情况下不能使用 Anbox 安装 ARM 应用或游戏 —— 尝试安装 ARM 应用会显示以下错误：

Failed to install PACKAGE.NAME.apk: Failure [INSTALL_FAILED_NO_MATCHING_ABIS: Failed to extract native libraries, res=-113]

你可以在 Anbox 中手动设置 Google Play 商店和 ARM 应用支持（通过 libhoudini），但这是一个非常复杂的过程。为了更容易地在 Anbox 上安装 Google Play 商店和 Google Play 服务，并让它支持 ARM 应用程序和游戏（使用 libhoudini），geeks-r-us.de（文章是德语）上的人创建了一个自动执行这些任务的脚本。

在使用之前，我想明确指出，即使在集成 libhoudini 来支持 ARM 后，也并非所有 Android 应用和游戏都能在 Anbox 中运行。某些 Android 应用和游戏可能根本不会出现在 Google Play 商店中，而一些应用和游戏可能可以安装但无法使用。此外，某些应用可能无法使用某些功能。

安装 Google Play 商店并在 Anbox 上启用 ARM 应用/游戏支持

如果你的 Linux 桌面上尚未安装 Anbox，这些说明显然不起作用。如果你还没有，请按照此处的安装说明安装 Anbox。此外，请确保在安装 Anbox 之后，使用此脚本之前至少运行一次 anbox.appmgr，以避免遇到问题。另外，确保在执行下面的脚本时 Anbox 没有运行（我怀疑这是导致评论中提到的这个问题的原因）。

1、 安装所需的依赖项（wget、lzip、unzip 和 squashfs-tools）。

在 Debian、Ubuntu 或 Linux Mint 中，使用此命令安装所需的依赖项：

sudo apt install wget lzip unzip squashfs-tools

2、 下载并运行脚本，在 Anbox 上自动下载并安装 Google Play 商店（和 Google Play 服务）和 libhoudini（用于 ARM 应用/游戏支持）。

警告：永远不要在不知道它做什么的情况下运行不是你写的脚本。在运行此脚本之前，请查看其代码。

要下载脚本，使其可执行并在 Linux 桌面上运行，请在终端中使用以下命令：

wget https://raw.githubusercontent.com/geeks-r-us/anbox-playstore-installer/master/install-playstore.sh
chmod +x install-playstore.sh
sudo ./install-playstore.sh

3、要让 Google Play 商店在 Anbox 中运行，你需要启用 Google Play 商店和 Google Play 服务的所有权限

为此，请运行Anbox：

anbox.appmgr

然后进入“设置 > 应用 > Google Play 服务 > 权限”并启用所有可用权限。对 Google Play 商店也一样！

你现在应该可以使用 Google 帐户登录 Google Play 商店了。

如果未启用 Google Play 商店和 Google Play 服务的所有权限，你可能会在尝试登录 Google 帐户时可能会遇到问题，并显示以下错误消息：“Couldn’t sign in. There was a problem communicating with Google servers. Try again later“，如你在下面的截图中看到的那样：

登录后，你可以停用部分 Google Play 商店/Google Play 服务权限。

如果你在 Anbox 上登录 Google 帐户时遇到一些连接问题，请确保 anbox-bride.sh 正在运行：

启动它：

sudo /snap/anbox/current/bin/anbox-bridge.sh start

重启它：

sudo /snap/anbox/current/bin/anbox-bridge.sh restart

根据此用户的说法，如果 Anbox 仍然存在连接问题，你可能还需要安装 dnsmasq 包。但是在我的 Ubuntu 18.04 桌面上不需要这样做。

via: https://www.linuxuprising.com/2018/07/anbox-how-to-install-google-play-store.html

作者：Logix 选题：lujun9972 译者：geekpi 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

众所周知，bash（the Bourne-Again Shell）是目前绝大多数 Linux 发行版使用的默认 shell。本文将会介绍如何通过添加颜色和样式来自定义 bash 命令提示符的显示。尽管很多插件或工具都可以很轻易地满足这一需求，但我们也可以不使用插件和工具，自己手动自定义一些基本的显示方式，例如添加或者修改某些元素、更改前景色、更改背景色等等。

在 Linux 中自定义 bash 命令提示符

在 bash 中，我们可以通过更改 $PS1 环境变量的值来自定义 bash 命令提示符。

一般情况下，bash 命令提示符会是以下这样的形式：

在上图这种默认显示形式当中，“sk” 是我的用户名，而 “ubuntuserver” 是我的主机名。

只要插入一些以反斜杠开头的特殊转义字符串，就可以按照你的喜好修改命令提示符了。下面我来举几个例子。

在开始之前，我强烈建议你预先备份 ~/.bashrc 文件。

$ cp ~/.bashrc ~/.bashrc.bak

更改 bash 命令提示符中的 username@hostname 部分

如上所示，bash 命令提示符一般都带有 “username@hostname” 部分，这个部分是可以修改的。

只需要编辑 ~/.bashrc 文件：

$ vi ~/.bashrc

在文件的最后添加一行：

PS1="ostechnix> "

将上面的 “ostechnix” 替换为任意一个你想使用的单词，然后按 ESC 并输入 :wq 保存、退出文件。

执行以下命令使刚才的修改生效：

$ source ~/.bashrc

你就可以看见 bash 命令提示符中出现刚才添加的 “ostechnix” 了。

再来看看另一个例子，比如将 “username@hostname” 替换为 “Hello@welcome>”。

同样是像刚才那样修改 ~/.bashrc 文件。

export PS1="Hello@welcome> "

然后执行 source ~/.bashrc 让修改结果立即生效。

以下是我在 Ubuntu 18.04 LTS 上修改后的效果。

仅显示用户名

如果需要仅显示用户名，只需要在 ~/.bashrc 文件中加入以下这一行。

export PS1="\u "

这里的 \u 就是一个转义字符串。

下面提供了一些可以添加到 $PS1 环境变量中的用以改变 bash 命令提示符样式的转义字符串。每次修改之后，都需要执行 source ~/.bashrc 命令才能立即生效。

显示用户名和主机名

export PS1="\u\h "

命令提示符会这样显示：

skubuntuserver

显示用户名和完全限定域名

export PS1="\u\H "

在用户名和主机名之间显示其它字符

如果你还需要在用户名和主机名之间显示其它字符（例如 @），可以使用以下格式：

export PS1="\u@\h "

命令提示符会这样显示：

sk@ubuntuserver

显示用户名、主机名，并在末尾添加 $ 符号

export PS1="\u@\h\\$ "

综合以上两种显示方式

export PS1="\u@\h> "

命令提示符最终会这样显示：

sk@ubuntuserver>

相似地，还可以添加其它特殊字符，例如冒号、分号、星号、下划线、空格等等。

显示用户名、主机名、shell 名称

export PS1="\u@\h>\s "

显示用户名、主机名、shell 名称以及 shell 版本

export PS1="\u@\h>\s\v "

bash 命令提示符显示样式：

显示用户名、主机名、当前目录

export PS1="\u@\h\w "

如果当前目录是 $HOME ，会以一个波浪线（~）显示。

在 bash 命令提示符中显示日期

除了用户名和主机名，如果还想在 bash 命令提示符中显示日期，可以在 ~/.bashrc 文件中添加以下内容：

export PS1="\u@\h>\d "

在 bash 命令提示符中显示日期及 12 小时制时间

export PS1="\u@\h>\d\@ "

显示日期及 hh:mm:ss 格式时间

export PS1="\u@\h>\d\T "

显示日期及 24 小时制时间

export PS1="\u@\h>\d\A "

显示日期及 24 小时制 hh:mm:ss 格式时间

export PS1="\u@\h>\d\t "

以上是一些常见的可以改变 bash 命令提示符的转义字符串。除此以外的其它转义字符串，可以在 bash 的 man 手册 PROMPTING 章节中查阅。

你也可以随时执行以下命令查看当前的命令提示符样式。

$ echo $PS1

在 bash 命令提示符中去掉 username@hostname 部分

如果我不想做任何调整，直接把 username@hostname 部分整个去掉可以吗？答案是肯定的。

如果你是一个技术方面的博主，你有可能会需要在网站或者博客中上传自己的 Linux 终端截图。或许你的用户名和主机名太拉风、太另类，不想让别人看到，在这种情况下，你就需要隐藏命令提示符中的 “username@hostname” 部分。

如果你不想暴露自己的用户名和主机名，只需要按照以下步骤操作。

编辑 ~/.bashrc 文件：

$ vi ~/.bashrc

在文件末尾添加这一行：

PS1="\W> "

输入 :wq 保存并关闭文件。

执行以下命令让修改立即生效。

$ source ~/.bashrc

现在看一下你的终端，“username@hostname” 部分已经消失了，只保留了一个 ~> 标记。

如果你想要尽可能简单的操作，又不想弄乱你的 ~/.bashrc 文件，最好的办法就是在系统中创建另一个用户（例如 “user@example”、“admin@demo”）。用带有这样的命令提示符的用户去截图或者录屏，就不需要顾虑自己的用户名或主机名被别人看见了。

警告：在某些情况下，这种做法并不推荐。例如像 zsh 这种 shell 会继承当前 shell 的设置，这个时候可能会出现一些意想不到的问题。这个技巧只用于隐藏命令提示符中的 “username@hostname” 部分，仅此而已，如果把这个技巧挪作他用，也可能会出现异常。

为 bash 命令提示符着色

目前我们也只是变更了 bash 命令提示符中的内容，下面介绍一下如何对命令提示符进行着色。

通过向 ~/.bashrc 文件写入一些配置，可以修改 bash 命令提示符的前景色（也就是文本的颜色）和背景色。

例如，下面这一行配置可以令某些文本的颜色变成红色：

export PS1="\u@\[\e[31m\]\h\[\e[m\] "

添加配置后，执行 source ~/.bashrc 立即生效。

你的 bash 命令提示符就会变成这样：

类似地，可以用这样的配置来改变背景色：

export PS1="\u@\[\e[31;46m\]\h\[\e[m\] "

添加 emoji

大家都喜欢 emoji。还可以按照以下配置把 emoji 插入到命令提示符中。

PS1="\W ♤ >"

需要注意的是，emoji 的显示取决于使用的字体，因此某些终端可能会无法正常显示 emoji，取而代之的是一些乱码或者单色表情符号。

自定义 bash 命令提示符有点难，有更简单的方法吗？

如果你是一个新手，编辑 $PS1 环境变量的过程可能会有些困难，因为命令提示符中的大量转义字符串可能会让你有点晕头转向。但不要担心，有一个在线的 bash $PS1 生成器可以帮助你轻松生成各种 $PS1 环境变量值。

就是这个网站：

只需要直接选择你想要的 bash 命令提示符样式，添加颜色、设计排序，然后就完成了。你可以预览输出，并将配置代码复制粘贴到 ~/.bashrc 文件中。就这么简单。顺便一提，本文中大部分的示例都是通过这个网站制作的。

我把我的 ~/.bashrc 文件弄乱了，该如何恢复？

正如我在上面提到的，强烈建议在更改 ~/.bashrc 文件前做好备份（在更改其它重要的配置文件之前也一定要记得备份）。这样一旦出现任何问题，你都可以很方便地恢复到更改之前的配置状态。当然，如果你忘记了备份，还可以按照下面这篇文章中介绍的方法恢复为默认配置。

• 如何将 ~/.bashrc 文件恢复到默认配置

这篇文章是基于 ubuntu 的，但也适用于其它的 Linux 发行版。不过事先声明，这篇文章的方法会将 ~/.bashrc 文件恢复到系统最初时的状态，你对这个文件做过的任何修改都将丢失。

感谢阅读！

via: https://www.ostechnix.com/hide-modify-usernamelocalhost-part-terminal/

作者：SK 选题：lujun9972 译者：HankChow 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

Linux 中国翻译组（LCTT）成立已逾五年了，这些年来，我们在不断地改进我们的流程、管理。鉴于当前的人员规模的增大和事务的繁多，我们认为需要将管理水平更上一个台阶。因此，我们在原有的核心成员、译者两层的组织结构的基础上，吸收其它开源组织的管理经验，成立了三层结构的项目管理结构。

新的管理层级为：

• 译者：加入 LCTT 翻译活动中，并有实际贡献者即为译者。

  • 预备译者：加入 LCTT ，但尚未进行实际贡献者，视为预备译者。

• 核心成员：做出重大贡献者列入核心成员。可执行日常管理任务。

  • 荣誉成员：长期休眠的核心成员列入荣誉成员。荣誉成员被收回写入权限，但保留投票权和历史荣誉。

• 管理委员：由核心成员中选出，对 LCTT 事务进行表决和决策，并负责日常管理任务的最终执行。

  • 主席：由管理委员中选出，由现任管理委员进行选举。

管理委员组成管理委员会（PMC），对 LCTT 的发展事务进行决策和执行。主要负责：

• 制定和优化贡献流程和制度
• 提名和投票 LCTT 核心成员、荣誉成员和主席
• 成员管理
• 兜底负责核心成员的管理事务

而核心译者作为 LCTT 的中坚力量，除了参与翻译活动之外，还具有如下职权：

• 流程管理：PR 审核和合并
• 文档管理：Wiki 维护
• 引导新人：担任导师
• 人员选举：参选和选举管理委员

PMC 组织架构的初次建立，由原有管理者在小范围征询意见后确定。首次 PMC 成员如下：

• 管理委员：wxy、bestony、lujun9972、oska874、pityonline、geekpi、qhwdw
• 主席：wxy

管理委员会经过会议讨论，已经对一些事务形成了统一的意见，如：

• 管理章程
• Wiki 重建
• 文章的元数据结构
• 建立术语表
• 年末纪念品定制

我们希望可以通过将开源志愿者组织的管理正规化，从而提升社区的活力和可持续发展。

学习 Linux 设备驱动如何工作，并知道如何使用它们。

对于一个熟悉 Windows 或者 MacOS 的人，想要切换到 Linux，它们都会面临一个艰巨的问题就是怎么安装和配置设备驱动。这是可以理解的，因为 Windows 和 MacOS 都有一套机制把这个过程做得非常的友好。比如说，当你插入一个新的硬件设备， Windows 能够自动检测并会弹出一个窗口询问你是否要继续驱动程序的安装。你也可以从网络上下载驱动程序，仅仅需要双击解压或者是通过设备管理器导入驱动程序即可。

而这在 Linux 操作系统上并非这么简单。第一个原因是， Linux 是一个开源的操作系统，所以有 数百种 Linux 发行版的变体。也就是说不可能做一个指南来适应所有的 Linux 发行版。因为每种 Linux 安装驱动程序的过程都有差异。

第二，大多数默认的 Linux 驱动程序也都是开源的，并被集成到了系统中，这使得安装一些并未包含的驱动程序变得非常复杂，即使已经可以检测大多数的硬件设备。第三，不同发行版的许可也有差异。例如，Fedora 禁止事项 禁止包含专有的、受法律保护，或者是违反美国法律的驱动程序。而 Ubuntu 则让用户避免使用受法律保护或闭源的硬件设备。

为了更好的学习 Linux 驱动程序是如何工作的，我建议阅读 《Linux 设备驱动程序》一书中的 设备驱动程序简介。

两种方式来寻找驱动程序

1、 用户界面

如果是一个刚从 Windows 或 MacOS 转过来的 Linux 新手，那你会很高兴知道 Linux 也提供了一个通过向导式的程序来查看驱动程序是否可用的方法。 Ubuntu 提供了一个 附加驱动程序 选项。其它的 Linux 发行版也提供了帮助程序，像 GNOME 的包管理器，你可以使用它来检查驱动程序是否可用。

2、 命令行

如果你通过漂亮的用户界面没有找到驱动程序，那又该怎么办呢？或许你只能通过没有任何图形界面的 shell？甚至你可以使用控制台来展现你的技能。你有两个选择：

1. 通过一个仓库

这和 MacOS 中的 homebrew 命令行很像。通过使用 yum、 dnf、apt-get 等等。你基本可以通过添加仓库，并更新包缓存。

2. 下载、编译，然后自己构建

这通常包括直接从网络，或通过 wget 命令下载源码包，然后运行配置和编译、安装。这超出了本文的范围，但是你可以在网络上找到很多在线指南，如果你选择的是这条路的话。

检查是否已经安装了这个驱动程序

在进一步学习安装 Linux 驱动程序之前，让我们来学习几条命令，用来检测驱动程序是否已经在你的系统上可用。

lspci 命令显示了系统上所有 PCI 总线和设备驱动程序的详细信息。

$ lscpci

或者使用 grep：

$ lscpci | grep SOME_DRIVER_KEYWORD

例如，你可以使用 lspci | grep SAMSUNG 命令，如果你想知道是否安装过三星的驱动。

dmesg 命令显示了所有内核识别的驱动程序。

$ dmesg

或配合 grep 使用：

$ dmesg | grep SOME_DRIVER_KEYWORD

任何识别到的驱动程序都会显示在结果中。

如果通过 dmesg 或者 lscpi 命令没有识别到任何驱动程序，尝试下这两个命令，看看驱动程序至少是否加载到硬盘。

$ /sbin/lsmod

和

$ find /lib/modules

技巧：和 lspci 或 dmesg 一样，通过在上面的命令后面加上 | grep 来过滤结果。

如果一个驱动程序已经被识别到了，但是通过 lscpi 或 dmesg 并没有找到，这意味着驱动程序已经存在于硬盘上，但是并没有加载到内核中，这种情况，你可以通过 modprobe 命令来加载这个模块。

$ sudo modprobe MODULE_NAME

使用 sudo 来运行这个命令，因为这个模块要使用 root 权限来安装。

添加仓库并安装

可以通过 yum、dnf 和 apt-get 几种不同的方式来添加一个仓库；一个个介绍完它们并不在本文的范围。简单一点来说，这个示例将会使用 apt-get ，但是这个命令和其它的几个都是很类似的。

1、删除存在的仓库，如果它存在

$ sudo apt-get purge NAME_OF_DRIVER*

其中 NAME_OF_DRIVER 是你的驱动程序的可能的名称。你还可以将模式匹配加到正则表达式中来进一步过滤。

2、将仓库加入到仓库表中，这应该在驱动程序指南中有指定

$ sudo add-apt-repository REPOLIST_OF_DRIVER

其中 REPOLIST_OF_DRIVER 应该从驱动文档中有指定（例如：epel-list）。

3、更新仓库列表

$ sudo apt-get update

4、安装驱动程序

$ sudo apt-get install NAME_OF_DRIVER

5、检查安装状态

像上面说的一样，通过 lscpi 命令来检查驱动程序是否已经安装成功。

via: https://opensource.com/article/18/11/how-install-device-driver-linux

作者：Bryant Son 选题：lujun9972 译者：Jamskr 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

内核维护者 Greg Kroah-Hartman 谈论内核社区如何保护 Linux 不遭受损害。

由于 Linux 使用量持续扩大，内核社区去提高这个世界上使用最广泛的技术 —— Linux 内核的安全性的重要性越来越高。安全不仅对企业客户很重要，它对消费者也很重要，因为 80% 的移动设备都使用了 Linux。在本文中，Linux 内核维护者 Greg Kroah-Hartman 带我们了解内核社区如何应对威胁。

bug 不可避免

Greg Kroah-Hartman Linux 基金会

正如 Linus Torvalds 曾经说过的，大多数安全问题都是 bug 造成的，而 bug 又是软件开发过程的一部分。是软件就有 bug。

Kroah-Hartman 说：“就算是 bug，我们也不知道它是安全的 bug 还是不安全的 bug。我修复的一个著名 bug，在三年后才被 Red Hat 认定为安全漏洞“。

在消除 bug 方面，内核社区没有太多的办法，只能做更多的测试来寻找 bug。内核社区现在已经有了自己的安全团队，它们是由熟悉内核核心的内核开发者组成。

Kroah-Hartman 说：”当我们收到一个报告时，我们就让参与这个领域的核心开发者去修复它。在一些情况下，他们可能是同一个人，让他们进入安全团队可以更快地解决问题“。但他也强调，内核所有部分的开发者都必须清楚地了解这些问题，因为内核是一个可信环境，它必须被保护起来。

Kroah-Hartman 说：”一旦我们修复了它，我们就将它放到我们的栈分析规则中，以便于以后不再重新出现这个 bug。“

除修复 bug 之外，内核社区也不断加固内核。Kroah-Hartman 说：“我们意识到，我们需要一些主动的缓减措施，因此我们需要加固内核。”

Kees Cook 和其他一些人付出了巨大的努力，带来了一直在内核之外的加固特性，并将它们合并或适配到内核中。在每个内核发行后，Cook 都对所有新的加固特性做一个总结。但是只加固内核是不够的，供应商们必须要启用这些新特性来让它们充分发挥作用，但他们并没有这么做。

Kroah-Hartman 每周发布一个稳定版内核，而为了长期的支持，公司们只从中挑选一个，以便于设备制造商能够利用它。但是，Kroah-Hartman 注意到，除了 Google Pixel 之外，大多数 Android 手机并不包含这些额外的安全加固特性，这就意味着，所有的这些手机都是有漏洞的。他说：“人们应该去启用这些加固特性”。

Kroah-Hartman 说：“我购买了基于 Linux 内核 4.4 的所有旗舰级手机，去查看它们中哪些确实升级了新特性。结果我发现只有一家公司升级了它们的内核。……我在整个供应链中努力去解决这个问题，因为这是一个很棘手的问题。它涉及许多不同的组织 —— SoC 制造商、运营商等等。关键点是，需要他们把我们辛辛苦苦设计的内核去推送给大家。”

好消息是，与消费电子产品不一样，像 Red Hat 和 SUSE 这样的大供应商，在企业环境中持续对内核进行更新。使用容器、pod 和虚拟化的现代系统做到这一点更容易了。无需停机就可以毫不费力地更新和重启。事实上，现在来保证系统安全相比过去容易多了。

Meltdown 和 Spectre

没有任何一个关于安全的讨论能够避免提及 Meltdown 和 Spectre 缺陷。内核社区一直致力于修改新发现的和已查明的安全漏洞。不管怎样，Intel 已经因为这些事情改变了它们的策略。

Kroah-Hartman 说：“他们已经重新研究如何处理安全 bug，以及如何与社区合作，因为他们知道他们做错了。内核已经修复了几乎所有大的 Spectre 问题，但是还有一些小问题仍在处理中”。

好消息是，这些 Intel 漏洞使得内核社区正在变得更好。Kroah-Hartman 说：“我们需要做更多的测试。对于最新一轮的安全补丁，在它们被发布之前，我们自己花了四个月时间来测试它们，因为我们要防止这个安全问题在全世界扩散。而一旦这些漏洞在真实的世界中被利用，将让我们认识到我们所依赖的基础设施是多么的脆弱，我们多年来一直在做这种测试，这确保了其它人不会遭到这些 bug 的伤害。所以说，Intel 的这些漏洞在某种程度上让内核社区变得更好了”。

对安全的日渐关注也为那些有才华的人创造了更多的工作机会。由于安全是个极具吸引力的领域，那些希望在内核空间中有所建树的人，安全将是他们一个很好的起点。

Kroah-Hartman 说：“如果有人想从事这方面的工作，我们有大量的公司愿意雇佣他们。我知道一些开始去修复 bug 的人已经被他们雇佣了。”

你可以在下面链接的视频上查看更多的内容：

via: https://www.linux.com/blog/2018/10/greg-kroah-hartman-explains-how-kernel-community-securing-linux-0

作者：SWAPNIL BHARTIYA 选题：oska874 译者：qhwdw 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出