Pojišťovna GEICO zveřejnila předběžnou verzi nástroje TuxTape, který umožňuje nasazení vlastní infrastruktury pro vytváření, sestavování a doručování live-patchů pro jádro Linux. Live-patchy umožňují aplikovat opravy na jádro Linux za chodu, bez restartu a zastavení systému. Kód projektu je napsán v jazyce Rust a šíří se pod licencí Apache 2.0.
Live-patchy odstraňující zranitelnosti poskytují pro své distribuce společnosti jako Red Hat, Oracle, Canonical a SUSE, avšak jejich nízkoúrovňový nástroj pro práci s patchemi je pouze zdrojový a samotné patche se formují za zavřenými dveřmi. Distribuce Gentoo a Debian se pokusily vyvinout otevřené projekty elivepatch a linux-livepatching, ale první již 6 let stagnuje a druhý se zastavil na fázi vytvoření testovacího prototypu.
TuxTape se zaměřuje na organizaci práce vlastní systém pro vytváření a doručování live-patchů, nezávislý na třetích stranách a přizpůsobitelný pro jakákoliv jádra Linux, nikoli pouze pro balíčky s jádrem konkrétních distribucí. TuxTape může vytvářet live-patchy kompatibilní s nástrojem kpatch vyvinutým společností Red Hat (kromě kpatch existují podobné nástroje: kGraft od SUSE, Ksplice od Oracle a univerzální livepatch). Patche se vytvářejí ve formě načitatelných modulů jádra, které nahrazují funkce v jádře, přičemž používají subsystém ftrace pro přesměrování na nové funkce zahrnuté v modulu.
TuxTape dokáže sledovat informace o opravách zranitelností v jádru Linux, zveřejňované v mailing listu linux-cve-announce a v Git repozitáři, klasifikovat zranitelnosti podle míry nebezpečnosti, určovat použitelnost pro spravovaná jádra Linux a generovat live-patchy na základě běžných patchů pro LTS větve jádra. Použitelnost původních patchů se hodnotí prostřednictvím profilování sestavení jádra. Patche s nezahrnutými zranitelnostmi cílového jádra jsou ignorovány.
TuxTape zahrnuje systém pro sledování nových zranitelností v jádře, stavitel databáze patchů a zranitelností, server pro uchovávání metadat, systém pro řízení sestavení jádra, sestavovač jádra, generátor patchů, archiv patchů, klienta pro přijímání patchů pro koncové hostitele a interaktivní rozhraní pro správu tvorby live-patchů.
Vývoj se nachází ve fázi experimentálního prototypu. Pro počáteční testování byly navrženy: tuxtape-cve-parser pro analýzu informací o zranitelnostech a vytvoření databáze s opravami; tuxtape-server s implementací gRPC rozhraní pro služby generující opravy; tuxtape-kernel-builder pro sestavení jádra v dané konfiguraci a vytvoření profilu sestavení; tuxtape-dashboard – konzolové rozhraní pro revizi a vytváření live-oprav na základě původních oprav získaných z tuxtape-server.
Zdroj: opennet.ru
