সিস্টেম কলের জন্য লিনাক্স কার্নেল স্ট্যাক ঠিকানাগুলি র্যান্ডমাইজ করার জন্য প্যাচগুলি চালু করা হয়েছে

Kees Cook, kernel.org এর প্রাক্তন প্রধান সিস্টেম অ্যাডমিনিস্ট্রেটর এবং উবুন্টু সিকিউরিটি টিমের নেতা, এখন Android এবং ChromeOS সুরক্ষিত করার জন্য Google-এ কাজ করছেন, সিস্টেম কলগুলি প্রক্রিয়া করার সময় কার্নেল স্ট্যাকের অফসেটগুলিকে র্যান্ডমাইজ করার জন্য প্যাচের একটি সেট প্রকাশ করেছেন৷ প্যাচগুলি স্ট্যাক প্লেসমেন্ট পরিবর্তন করে কার্নেলের নিরাপত্তা উন্নত করে, স্ট্যাকের আক্রমণগুলিকে আরও কঠিন এবং কম সফল করে তোলে। প্রাথমিক বাস্তবায়ন ARM64 এবং x86/x86_64 প্রসেসর সমর্থন করে।

প্যাচের মূল ধারণাটি PaX RANDKSTACCK প্রকল্পের অন্তর্গত। 2019 সালে, ইন্টেলের একজন প্রকৌশলী এলেনা রেশেটোভা প্রধান লিনাক্স কার্নেলে অন্তর্ভুক্তির জন্য উপযুক্ত এই ধারণাটির বাস্তবায়ন তৈরি করার চেষ্টা করেছিলেন। পরে, উদ্যোগটি Kees কুক দ্বারা নেওয়া হয়েছিল, যিনি কার্নেলের মূল সংস্করণের জন্য উপযুক্ত একটি বাস্তবায়ন উপস্থাপন করেছিলেন। প্যাচগুলি 5.13 রিলিজের অংশ হিসাবে অন্তর্ভুক্ত করার পরিকল্পনা করা হয়েছে। মোড ডিফল্টরূপে নিষ্ক্রিয় করা হবে. এটি সক্রিয় করার জন্য, কার্নেল কমান্ড লাইন প্যারামিটার “randomize_kstack_offset=on/off” এবং CONFIG_RANDOMIZE_KSTACK_OFFSET_DEFAULT সেটিং প্রস্তাব করা হয়েছে। মোড সক্রিয় করার ওভারহেড আনুমানিক 1% কর্মক্ষমতা ক্ষতি অনুমান করা হয়।

প্রস্তাবিত সুরক্ষার সারমর্ম হল প্রতিটি সিস্টেম কলের জন্য একটি র্যান্ডম স্ট্যাক অফসেট বেছে নেওয়া, যা ঠিকানা ডেটা পাওয়ার পরেও মেমরিতে স্ট্যাক বিন্যাস নির্ধারণ করা কঠিন করে তোলে, যেহেতু পরবর্তী সিস্টেম কল স্ট্যাকের ভিত্তি ঠিকানা পরিবর্তন করবে। PaX RANDKSTACK বাস্তবায়নের বিপরীতে, কার্নেলে অন্তর্ভুক্তির জন্য প্রস্তাবিত প্যাচগুলিতে, র্যান্ডমাইজেশন প্রাথমিক পর্যায়ে নয় (cpu_current_top_of_stack), কিন্তু pt_regs কাঠামো সেট করার পরে, যা এলোমেলো অফসেট নির্ধারণ করতে ptrace-ভিত্তিক পদ্ধতি ব্যবহার করা অসম্ভব করে তোলে। একটি দীর্ঘ-চলমান সিস্টেম কলের সময়।

উত্স: opennet.ru