Wie vertrauenswürdig ist Linux Kernel?
Der Wert stammt aus der transparenten Bewertungsmethode des Quelldatensatzes. Er ist eine strukturierte Orientierung, keine Sicherheitsgarantie und kein Ersatz für deine eigene Risikoprüfung.
Vier Bewertungsdimensionen
Positive Signale erhöhen, Vorbehalte reduzieren den WertPositive Signale
9 BelegeDokumentierter privater Sicherheitsmeldeprozess mit koordinierter Bearbeitung
Quelle prüfen ↗Kontinuierlicher CVE-Workflow mit dediziertem Sicherheitsteam
Quelle prüfen ↗Unter Verwaltung der Linux Foundation mit expliziter Governance-Dokumentation
Quelle prüfen ↗Kryptografisch signierte Kernel-Releases über kernel.org
Quelle prüfen ↗Regelmäßiger Mainline-Zyklus mit Stable- und LTS-Update-Fluss
Quelle prüfen ↗Dokumentierte Stable-Kernel-Regeln und Sicherheitspatch-Prozess
Quelle prüfen ↗Vollständig selbst hostbarer Betriebssystemkernel
Quelle prüfen ↗GPL-Lizenzierung mit breiter Downstream-Portabilität und ohne Lock-in
Quelle prüfen ↗Vollständige Quellcode-Verfügbarkeit ermöglicht volle Portabilität
Quelle prüfen ↗Vorbehalte
4 PunkteCISA führte CVE-2024-1086 im Katalog bekannter aktiv ausgenutzter Schwachstellen, was realen Ausnutzungsdruck und dringende Patch-Anforderungen zeigt.
Quelle prüfen ↗kernel.org dokumentiert, dass Release-Signaturmaterial vor September 2011 nach einer Systemkompromittierung widerrufen wurde und damit historische Supply-Chain-Risiken sichtbar macht.
Quelle prüfen ↗Upstream liefert schnell, aber das praktische Risiko bleibt an Downstream-Patch-Cadence sowie lokale Rollout- und Reboot-Disziplin gekoppelt.
Quelle prüfen ↗Der MAINTAINERS-Prozess enthält explizit die Zustände "Odd Fixes" und "Orphan", wodurch die Wartungstiefe je Subsystem variieren kann.
Quelle prüfen ↗So funktioniert die Methode
Die Basisklasse beginnt je nach Offenheit und Rechtsraum bei unterschiedlichen Ausgangswerten. Danach werden Sicherheit, Governance, Zuverlässigkeit sowie Vertrag und Portabilität bewertet. Neuere oder strukturelle Vorbehalte wiegen stärker; ältere Ereignisse verlieren stufenweise Gewicht. Abzüge sind grundsätzlich gedeckelt, bestimmte gravierende Ausnahmen können davon ausgenommen sein. Klassenobergrenzen verhindern, dass positive Zusatzpunkte grundlegende Jurisdiktions- oder Transparenzrisiken vollständig verdecken.
Wichtig: Der Score bewertet öffentlich belegte Eigenschaften. Er besagt nicht, dass ein Produkt fehlerfrei, rechtssicher oder für deinen konkreten Einsatzzweck geeignet ist.