{"id":181666,"date":"2026-05-22T18:25:08","date_gmt":"2026-05-22T16:25:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti"},"modified":"2026-05-22T18:25:08","modified_gmt":"2026-05-22T16:25:08","slug":"iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","title":{"rendered":"Zero-copy fjernes fra AF_ALG i Linux af sikkerhedsm\u00e6ssige \u00e5rsager","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I Linux-kryptografi-systemet er der en plan om at fjerne underst\u00f8ttelse zero-copy<\/strong> fra gr\u00e6nsefladen AF_ALG<\/strong> for algoritmestyperne SKCIPHER<\/strong> og AEAD<\/strong>. \u00c6ndringen er allerede i cryptodev-tr\u00e6et og forventes at blive sendt til fusionsvinduet Linux 7.2<\/strong>, som skal \u00e5bne i juni. \u00c5rsagen er stigende bekymringer omkring sikkerheden ved zero-copy-mekanismer i kernen, is\u00e6r efter nylige s\u00e5rbarheder i Linux' kryptografiske kode.<\/p>\n

<\/p>\n

AF_ALG<\/strong> \u2014 det er gr\u00e6nsefladen<\/a> til Linux' kryptografiske API. Gennem dette kan programmer f\u00e5 adgang til implementeringer af cipher, hashes, og AEAD-algoritmer i kernen som sockets. Linux-dokumentationen beskriver specifikt for AF_ALG zero-copy-tilstand gennem splice() og vmsplice(), hvor kernen fors\u00f8ger at undg\u00e5 un\u00f8dvendig kopiering af data til kernen.<\/p>\n

<\/noindex><\/noindex><\/p>\n

<\/p>\n

Problemet er, at gevinsten i ydeevne ved AF_ALG ikke er s\u00e5 betydelig, mens risiciene er for store. Forfatteren af \u00e6ndringen, Eric Biggers, der arbejder med Linux' kryptografi-system hos Google, at<\/a>, bem\u00e6rker, at zero-copy giver brugeromr\u00e5det mulighed for at udf\u00f8re kryptografiske operationer direkte p\u00e5 siderne i page cache af filer, s\u00e5som bin\u00e6rfiler som su, og skaber ogs\u00e5 betingelser for TOCTOU-s\u00e5rbarheder, hvor hukommelsen kan \u00e6ndres samtidigt med operationer.<\/p>\n

<\/noindex><\/p>\n

Med andre ord, mekanismen, der er nyttig i netv\u00e6rks- eller fil-IO, virker i AF_ALG som en for farlig optimering. If\u00f8lge udvikleren bevares AF_ALG nu prim\u00e6rt for tilbagekompatibilitet med et lille antal programmer, som iwd, der endnu ikke er blevet overf\u00f8rt til kryptografi i brugeromr\u00e5det. AF_ALG var oprindeligt designet til adgang til hardware-cryptoacceleration, men viste sig i praksis at v\u00e6re et mindre effektivt interface til denne opgave.<\/p>\n

Det er vigtigt at bem\u00e6rke, at dette ikke handler om en fuldst\u00e6ndig fjernelse af splice() eller sendfile() for AF_ALG. \u00c6ndringen beskrives som en \"bl\u00f8d brydning\" af kompatibilitet: Overf\u00f8rsel af data til AF_ALG-anmodninger via splice() og sendfile() vil fortsat fungere, men kernen vil nu lave en intern stabil kopi af dataene f\u00f8r kryptografiske operationer. Ydeevnen kan i visse tilf\u00e6lde falde, men bruger-API'en brydes ikke formelt.<\/p>\n

Det understreges separat, at zero-copy i \u00f8jeblikket fjernes fra skcipher<\/strong> og aead<\/strong>. Underst\u00f8ttelsen for typen hash<\/strong> vil blive behandlet separat.<\/p>\n

<\/p>\n

Konteksten for \u00e6ndringen er ubehagelig. I slutningen af april blev der afd\u00e6kket en s\u00e5rbarhed Copy Fail<\/a><\/strong> (CVE-2026-31431<\/strong>) i algif_aead, som netop relaterer sig til brugerens kryptointerface AF_ALG. Forskere viste, at kombinationen af AF_ALG, splice() og AEAD-behandlingsspecifikationer gjorde det muligt for en ikke-privilegeret bruger at beskadige page cache, herunder sider, der var relateret til setuid-bin\u00e6re filer, og opn\u00e5 privilegier som root.<\/p>\n

<\/noindex>
\n<\/p>\n

Fremkomsten Copy Fail<\/a> var relateret til optimeringen i 2017, der overf\u00f8rte AEAD-operationer til 'in-place' behandling; ved overf\u00f8rsel af filer via splice() i AF_ALG arbejdede kernen ikke med en kopi, men med henvisninger til sider i page cache. Som et resultat kunne dele af dataene, der blev betragtet som kun indg\u00e5ende, ende i det skrivbare scatterlist.<\/p>\n

<\/noindex><\/p>\n

Fjernelse af zero-copy fra AF_ALG er ikke en punktl\u00f8sning for kun \u00e9n s\u00e5rbarhed. Det er snarere et fors\u00f8g p\u00e5 at fjerne en hel klasse af risikable scenarier fra det sj\u00e6ldent brugte UAPI, hvor gevinsten ved optimering ikke opvejer kompleksiteten og de potentielle konsekvenser. For almindelige brugere vil \u00e6ndringen sandsynligvis g\u00e5 ubem\u00e6rket hen; for sj\u00e6ldne programmer, der aktivt bruger AF_ALG via splice() eller sendfile(), kan der v\u00e6re en nedgang i ydeevne p\u00e5 grund af den ekstra kopi.<\/p>\n

Kilde: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0438 Linux \u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 zero-copy \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 AF_ALG \u0434\u043b\u044f \u0442\u0438\u043f\u043e\u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u0432 SKCIPHER \u0438 AEAD. \u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0443\u0436\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0434\u0435\u0440\u0435\u0432\u0435 cryptodev \u0438 \u043e\u0436\u0438\u0434\u0430\u0435\u0442\u0441\u044f \u043a \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0435 \u0432 \u043e\u043a\u043d\u043e \u0441\u043b\u0438\u044f\u043d\u0438\u044f Linux 7.2, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044c\u0441\u044f \u0432 \u0438\u044e\u043d\u0435. \u041f\u043e\u0432\u043e\u0434\u043e\u043c \u0441\u0442\u0430\u043b\u0438 \u0440\u0430\u0441\u0442\u0443\u0449\u0438\u0435 \u043e\u043f\u0430\u0441\u0435\u043d\u0438\u044f \u0432\u043e\u043a\u0440\u0443\u0433 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 zero-copy-\u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u043e\u0432 \u0432 \u044f\u0434\u0440\u0435, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u043d\u0435\u0434\u0430\u0432\u043d\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u043a\u043e\u0434\u0435 Linux. AF_ALG […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-181666","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Zero-copy fjernes fra AF_ALG i Linux af sikkerhedsm\u00e6ssige \u00e5rsager | ProHoster","description":"I Linuxs kryptografiske subsystem forberedes fjernelse af st\u00f8tte til zero-copy fra AF_ALG-gr\u00e6nsefladen for algoritmetyperne SKCIPHER og AEAD.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/news\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u0437 AF_ALG \u0432 Linux \u0443\u0431\u0438\u0440\u0430\u044e\u0442 zero-copy \u0438\u0437 \u0441\u043e\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 | ProHoster","og:description":"\u0412 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0438 Linux \u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 zero-copy \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 AF_ALG \u0434\u043b\u044f \u0442\u0438\u043f\u043e\u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u0432 SKCIPHER \u0438 AEAD.","og:url":"https:\/\/prohoster.info\/da\/blog\/news\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-22T16:25:08+00:00","article:modified_time":"2026-05-22T16:25:08+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/181666","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=181666"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/181666\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=181666"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=181666"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=181666"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}