开源的安全防范与红帽订阅

作为开源软件的提供商和领导者，为什么人们愿意花钱购买红帽的订阅服务?简单来说，红帽的订阅服务提供的不仅仅是服务支持，而是为客户提供了一个接入红帽强大生态系统的入口：从红帽领先的技术和全面的知识库、屡获殊荣的自动化支持服务、超长产品生命周期，到强大的认证生态系统，以及同行和红帽专家的协作支持。红帽订阅服务为客户的关键任务环境提供相应的指导和稳定性支持。尤其重要的是，它还提供了极佳的安全保障。

所有软件 – 无论是涉及到许可经营、原产厂商还是供应链环节 – 都存在bug的风险。那些可能会招致黑客蓄意攻击的bug被归类为安全漏洞。虽然只有少量的运行错误被归于安全漏洞，但这些错误导致的后果可能极其严重。

红帽的产品安全团队为100多个不同产品和版本提供支持服务，其中包括我们的旗舰产品红帽企业Linux、红帽JBoss中间软件，以及新产品如红帽企业Linux OpenStack平台、OpenShift和红帽企业Linux原子主机。我们的产品由不同的开源组件构成。例如，红帽企业Linux 7包含几千个不同的程序包，而且每个程序包都可能是一个单独的开源项目。红帽产品安全团队的责任在于了解红帽每一个产品的每一个组件，他们负责寻找和追踪可能威胁代码完整性的问题。由于代码来自多个开源项目和不同的贡献者，这一任务绝非易事。我可以很骄傲地说，2014年，在我们提供支持服务的红帽企业Linux版本中，97%的关键漏洞在被公众知晓后当天或第二天就得到修复。

此外，我们一直致力于识别并修复关键漏洞，对我们的客户来说，我们所提供的不仅仅是作出快速响应。对于每一个红帽产品，我们都有一套为产品组件和技术中的安全问题提供更新的机制。此外，我们还为产品提供超长生命周期的支持服务(例如，红帽企业Linux 5、6和7的支持年限为10年)，并且通常为开源组件维持安全更新至产品主流支持期以后。

2014年出现了多个知名漏洞，如Heartbleed、ShellShock和Poodle。在我们提供快速更新服务以修复影响红帽产品的漏洞的同时，我们不仅仅向客户提供修复方案。2014年9月，当Bash，一个类UNIX的shell程序发现严重问题后(即ShellShock)，我们主动通知了红帽客户，并提供及时、业内首屈一指的安全建议。客户不仅能随时享受我们的技术支持，还能在第一时间收到安全提醒和技术知识普及，并通过红帽实验室的自我检测工具等加强防护。

尽管安全性只是红帽订阅的其中一个特点，但这却是一个重要的方面。