Кис Кук (Kees Cook), бившият главен системен администратор на kernel.org и лидер на Ubuntu Security Team, в момента работи в Google по осигуряване на защитата на Android и ChromeOS. Той публикува набор от пачове с реализация на рандомизация на отместванията в стека на ядрото при обработка на системни повиквания. Пачовете повишават сигурността на ядрото, като променят разположението на стека, което прави атаките срещу стека значително по-сложна и по-малко успешна задача. Първоначалната реализация поддържа ARM64 и x86/x86_64 процесори.
Първоначалната идея за пача произлиза от проекта PaX RANDKSTACK. През 2019 г. Елена Решетова, инженер от Intel, се опита да създаде реализация на тази идея, подходяща за интегриране в основното ядро на Linux. По-късно Кис Кук пое инициативата и представи реализация, подходяща за основния вариант на ядрото. Пачовете се планират за включване в версия 5.13. Режимът по подразбиране ще бъде изключен. За да бъде активиран, са предложени параметър на командния ред на ядрото „randomize_kstack_offset=on/off“ и настройка CONFIG_RANDOMIZE_KSTACK_OFFSET_DEFAULT. Разходите при активация на режима се оценяват на приблизително 1% загуба на производителност.
Същността на предложената защита е избора на случайно отместване на стека при всяко системно повикване, което затруднява определянето на разположението на стека в паметта, дори и след като са получени данни за адресите, тъй като при следващото системно повикване базовият адрес на стека ще се промени. В отличие от реализацията на PaX RANDKSTACK, в предложените за включване в ядрото пачове, рандомизацията се извършва не на началния етап (cpu_current_top_of_stack), а след задаването на структурата pt_regs, което прави невъзможно използването на методи на базата на ptrace за определяне на рандомизираното отместване по време на работа на дълготрайно изпълняващо се системно повикване.
Източник: opennet.ru
