Die Versicherungsgesellschaft GEICO hat eine Vorabversion des TuxTape-Toolkits veröffentlicht, mit dem eine eigene Infrastruktur zur Erstellung, Zusammenstellung und Bereitstellung von Live-Patches für den Linux-Kernel eingerichtet werden kann. Live-Patches ermöglichen es, Korrekturen für den Linux-Kernel im laufenden Betrieb anzuwenden, ohne das System neu zu starten oder anzuhalten. Der Code des Projekts ist in der Programmiersprache Rust geschrieben und wird unter der Apache 2.0-Lizenz vertrieben.
Live-Patches zur Behebung von Sicherheitsanfälligkeiten bieten Unternehmen wie Red Hat, Oracle, Canonical und SUSE für ihre Distributionen an, jedoch ist ihr niedrigstufiges Werkzeug für Patch-Verwaltungen nur begrenzt offen, und die eigentlichen Patches werden hinter verschlossenen Türen entwickelt. Die Distributionen Gentoo und Debian haben versucht, die offenen Projekte elivepatch und linux-livepatching voranzutreiben, wobei das erste seit sechs Jahren aufgegeben wurde und das zweite in der Entwicklungsphase eines Testprototyps ins Stocken geraten ist.
TuxTape zielt darauf ab, eine eigene Systemlösung zur Erstellung und Bereitstellung von Live-Patches zu organisieren, die unabhängig von Drittanbieterdiensten ist und sich für alle Linux-Kernel anpassen lässt, nicht nur für spezifische Distributionen. TuxTape kann Live-Patches erstellen, die mit dem von Red Hat entwickelten Werkzeug kpatch kompatibel sind (neben kpatch gibt es ähnliche Werkzeuge wie kGraft von SUSE, Ksplice von Oracle und das universelle livepatch). Die Patches werden als ladbare Kernel-Module erstellt, die Funktionen im Kernel ersetzen, indem sie das ftrace-Subsystem verwenden, um zu neuen Funktionen umzuleiten, die im Modul enthalten sind.
TuxTape kann Informationen über Sicherheitspatches im Linux-Kernel verfolgen, die in der Mailingliste linux-cve-announce und im Git-Repository veröffentlicht werden. Es bewertet die Schwachstellen nach Schweregrad, bestimmt die Anwendbarkeit auf die betreuten Linux-Kernel und generiert Live-Patches basierend auf Standard-Patches für LTS-Kernel-Zweige. Die Anwendbarkeit der ursprünglichen Patches wird durch das Profiling der Kernel-Builds bewertet. Patches, die Schwachstellen aufweisen, die den Zielkernel nicht betreffen, werden ignoriert.
TuxTape umfasst ein System zur Verfolgung neuer Sicherheitsanfälligkeiten im Kernel, einen Patch- und Sicherheitsanfälligkeiten-Datenbank-Builder, der Server zur Speicherung von Metadaten, ein Kernel-Build-Dispatcher, einen Kernel-Compiler, einen Patch-Generator, ein Patch-Archiv, einen Client zum Abrufen von Patches für Endhosts und eine interaktive Schnittstelle zur Verwaltung der Erstellung von Live-Patches.
Die Entwicklung befindet sich in der experimentellen Prototyp-Phase. Für erste Tests wurden angeboten: tuxtape-cve-parser zur Analyse von Sicherheitsinformationen und Erstellung einer Datenbank mit Patches; tuxtape-server mit der Implementierung der gRPC-Schnittstelle für die Patch-generierenden Dienste; tuxtape-kernel-builder für den Kernel-Bau in einer bestimmten Konfiguration und die Erstellung eines Buildprofils; tuxtape-dashboard – ein Konsoleninterface zur Überprüfung und Erstellung von Live-Patches basierend auf den originalen Patches, die vom tuxtape-server erhalten wurden.
Quelle: opennet.ru
