{"id":181666,"date":"2026-05-22T18:25:08","date_gmt":"2026-05-22T16:25:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti"},"modified":"2026-05-22T18:25:08","modified_gmt":"2026-05-22T16:25:08","slug":"iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","title":{"rendered":"Zero-Copy wird aus Sicherheitsgr\u00fcnden aus AF_ALG in Linux entfernt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Im Linux-Kryptographiesystem wird die Unterst\u00fctzung f\u00fcr Zero-Copy<\/strong> aus der Benutzeroberfl\u00e4che AF_ALG<\/strong> f\u00fcr Algorithmustypen SKCIPHER<\/strong> und AEAD verwendet.<\/strong>. Die \u00c4nderung befindet sich bereits im cryptodev-Tree und wird voraussichtlich in das Merge-Fenster Linux 7.2<\/strong>, das im Juni er\u00f6ffnet werden soll, zur Abstimmung gebracht. Ursache sind wachsende Bedenken hinsichtlich der Sicherheit von Zero-Copy-Mechanismen im Kernel, insbesondere nach den j\u00fcngsten Schwachstellen im kryptografischen Code von Linux.<\/p>\n

<\/p>\n

AF_ALG<\/strong> \u2014 ist Benutzeroberfl\u00e4che<\/a> f\u00fcr die kryptografische API des Linux-Kernels. \u00dcber diese k\u00f6nnen Programme auf die Implementierungen von Verschl\u00fcsselungen, Hashes und AEAD-Algorithmen im Kernel wie auf Sockets zugreifen. Die Linux-Dokumentation beschreibt separat den Zero-Copy-Modus f\u00fcr AF_ALG \u00fcber splice() und vmsplice(), bei dem der Kernel versucht, unn\u00f6tige Datenkopien in den Kernspeicher zu vermeiden.<\/p>\n

<\/noindex><\/noindex><\/p>\n

<\/p>\n

Das Problem ist, dass sich bei AF_ALG der Leistungsgewinn als nicht so wichtig herausgestellt hat, w\u00e4hrend die Risiken zu gro\u00df sind. Der Autor der \u00c4nderung, der Entwickler des Linux-Kryptographiesystems Eric Biggers von Google, erw\u00e4hnt wurde<\/a>, dass Zero-Copy es dem Benutzerbereich erm\u00f6glicht, kryptografische Operationen direkt \u00fcber die Seiten des Page-Caches von Dateien, wie zum Beispiel der Bin\u00e4rdatei von su, auszuf\u00fchren, und gleichzeitig Bedingungen f\u00fcr TOCTOU-Sicherheitsanf\u00e4lligkeiten schafft, bei denen der Speicher gleichzeitig mit der Operation auf ihm ver\u00e4ndert werden kann.<\/p>\n

<\/noindex><\/p>\n

Mit anderen Worten, der Mechanismus, der n\u00fctzlich f\u00fcr Netzwerk- oder Datei-Eingabe\/Ausgabe ist, erscheint in AF_ALG als eine zu riskante Optimierung. Laut dem Entwickler wird AF_ALG derzeit haupts\u00e4chlich zur Aufrechterhaltung der Abw\u00e4rtskompatibilit\u00e4t mit einer kleinen Anzahl von Programmen, wie iwd, die noch nicht auf kryptografische Operationen im Benutzerraum umgestellt wurden, beibehalten. Urspr\u00fcnglich war AF_ALG auch f\u00fcr den Zugriff auf Hardware-Krypto-Beschleuniger gedacht, hat sich aber in der Praxis als nicht sehr effizienter Schnittstelle f\u00fcr diese Aufgabe erwiesen.<\/p>\n

Es ist wichtig zu beachten, dass es sich nicht um eine vollst\u00e4ndige Entfernung von splice() oder sendfile() f\u00fcr AF_ALG handelt. Die \u00c4nderung wird als \u201eweiche Brechung\u201c der Kompatibilit\u00e4t beschrieben: Das \u00dcbertragen von Daten in AF_ALG-Anfragen \u00fcber splice() und sendfile() wird weiterhin funktionieren, jedoch wird der Kernel nun eine interne stabile Kopie der Daten vor der kryptografischen Operation anfertigen. Die Leistung kann in einigen F\u00e4llen sinken, w\u00e4hrend die Benutzer-API formal nicht beeintr\u00e4chtigt wird.<\/p>\n

Es wird gesondert betont, dass zero-copy vorerst aus skcipher<\/strong> und aead<\/strong>. Die Unterst\u00fctzung f\u00fcr den Typ hash<\/strong> wird separat behandelt.<\/p>\n

<\/p>\n

Der Kontext der \u00c4nderung ist unangenehm. Ende April wurde eine Schwachstelle Copy Fail<\/a><\/strong> (CVE-2026-31431<\/strong>) in algif_aead aufgedeckt, also genau in der Benutzer-Krypto-Schnittstelle AF_ALG. Die Forscher zeigten, dass die Verbindung von AF_ALG, splice() und Besonderheiten der AEAD-Verarbeitung es einem nicht privilegierten Benutzer erm\u00f6glichte, den Page-Cache zu besch\u00e4digen, einschlie\u00dflich der Seiten, die mit setuid-Bin\u00e4rdateien verbunden sind, und somit einen Privilegienaufstieg zu root zu erlangen.<\/p>\n

<\/noindex>
\n<\/p>\n

Das Auftreten Copy Fail<\/a> hing mit der Optimierung von 2017 zusammen, die AEAD-Operationen auf die Verarbeitung \u201evor Ort\u201c umstellte; beim \u00dcbertragen einer Datei \u00fcber splice() arbeitete der Kernel nicht mit einer Kopie, sondern mit Verweisen auf die Seiten des Page Cache. Infolgedessen konnte ein Teil der Daten, die nur als Eingaben betrachtet wurden, im beschriebenen Scatterlist erscheinen.<\/p>\n

<\/noindex><\/p>\n

Die Entfernung von Zero-Copy aus AF_ALG ist kein punktuelles Patch f\u00fcr eine einzige Schwachstelle. Vielmehr ist es ein Versuch, eine ganze Reihe riskanter Szenarien aus dem wenig genutzten UAPI zu beseitigen, bei denen der Nutzen der Optimierung den Aufwand und die potenziellen Folgen nicht rechtfertigt. F\u00fcr die meisten Benutzer wird die \u00c4nderung wahrscheinlich unbemerkt bleiben; f\u00fcr seltene Anwendungen, die AF_ALG \u00fcber splice() oder sendfile() stark nutzen, k\u00f6nnte die Leistung aufgrund der zus\u00e4tzlichen Kopierarbeiten beeintr\u00e4chtigt werden.<\/p>\n

Quelle: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0438 Linux \u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 zero-copy \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 AF_ALG \u0434\u043b\u044f \u0442\u0438\u043f\u043e\u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u0432 SKCIPHER \u0438 AEAD. \u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0443\u0436\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0434\u0435\u0440\u0435\u0432\u0435 cryptodev \u0438 \u043e\u0436\u0438\u0434\u0430\u0435\u0442\u0441\u044f \u043a \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0435 \u0432 \u043e\u043a\u043d\u043e \u0441\u043b\u0438\u044f\u043d\u0438\u044f Linux 7.2, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044c\u0441\u044f \u0432 \u0438\u044e\u043d\u0435. \u041f\u043e\u0432\u043e\u0434\u043e\u043c \u0441\u0442\u0430\u043b\u0438 \u0440\u0430\u0441\u0442\u0443\u0449\u0438\u0435 \u043e\u043f\u0430\u0441\u0435\u043d\u0438\u044f \u0432\u043e\u043a\u0440\u0443\u0433 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 zero-copy-\u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u043e\u0432 \u0432 \u044f\u0434\u0440\u0435, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u043d\u0435\u0434\u0430\u0432\u043d\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u043a\u043e\u0434\u0435 Linux. AF_ALG […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-181666","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Zero-Copy wird aus AF_ALG in Linux aus Sicherheitsgr\u00fcnden entfernt | ProHoster","description":"Im Linux-Kryptografie-Subsystem wird die Unterst\u00fctzung von Zero-Copy aus der AF_ALG-Schnittstelle f\u00fcr die Algorithmustypen SKCIPHER und AEAD entfernt. Die \u00c4nderung befindet sich bereits im Cryptodev-Baum und wird voraussichtlich im Merge-Fenster f\u00fcr Linux 7.2, das im Juni ge\u00f6ffnet werden sollte, eingereicht. Anlass sind die wachsenden Bedenken hinsichtlich der Sicherheit von Zero-Copy-Mechanismen im Kernel, insbesondere nach den j\u00fcngsten Sicherheitsanf\u00e4lligkeiten im kryptografischen Code von Linux. AF_ALG","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u0437 AF_ALG \u0432 Linux \u0443\u0431\u0438\u0440\u0430\u044e\u0442 zero-copy \u0438\u0437 \u0441\u043e\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 | ProHoster","og:description":"\u0412 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0438 Linux \u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 zero-copy \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 AF_ALG \u0434\u043b\u044f \u0442\u0438\u043f\u043e\u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u0432 SKCIPHER \u0438 AEAD. \u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0443\u0436\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0434\u0435\u0440\u0435\u0432\u0435 cryptodev \u0438 \u043e\u0436\u0438\u0434\u0430\u0435\u0442\u0441\u044f \u043a \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0435 \u0432 \u043e\u043a\u043d\u043e \u0441\u043b\u0438\u044f\u043d\u0438\u044f Linux 7.2, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044c\u0441\u044f \u0432 \u0438\u044e\u043d\u0435. \u041f\u043e\u0432\u043e\u0434\u043e\u043c \u0441\u0442\u0430\u043b\u0438 \u0440\u0430\u0441\u0442\u0443\u0449\u0438\u0435 \u043e\u043f\u0430\u0441\u0435\u043d\u0438\u044f \u0432\u043e\u043a\u0440\u0443\u0433 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 zero-copy-\u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u043e\u0432 \u0432 \u044f\u0434\u0440\u0435, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u043d\u0435\u0434\u0430\u0432\u043d\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u043a\u043e\u0434\u0435 Linux. AF_ALG","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-22T16:25:08+00:00","article:modified_time":"2026-05-22T16:25:08+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/181666","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=181666"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/181666\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=181666"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=181666"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=181666"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}