{"id":99808,"date":"2021-04-15T10:22:45","date_gmt":"2021-04-15T08:22:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/predstavleny-patchi-dlya-randomizaczii-adresov-steka-yadra-linux-pri-sistemnyh-vyzovah"},"modified":"2021-04-15T10:22:45","modified_gmt":"2021-04-15T08:22:45","slug":"predstavleny-patchi-dlya-randomizaczii-adresov-steka-yadra-linux-pri-sistemnyh-vyzovah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/predstavleny-patchi-dlya-randomizaczii-adresov-steka-yadra-linux-pri-sistemnyh-vyzovah","title":{"rendered":"Patches zur Randomisierung von Adressen des Linux-Kernel-Stacks bei Systemaufrufen wurden vorgestellt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Kees Cook, ehemaliger Hauptsystemadministrator von kernel.org und Leiter des Ubuntu Security Teams, der derzeit bei Google an der Sicherung von Android und ChromeOS arbeitet, hat eine Sammlung von Patches ver\u00f6ffentlicht, die eine Randomisierung der Stack-Verschiebungen beim Umgang mit Systemaufrufen implementieren. Diese Patches erh\u00f6hen die Sicherheit des Kernels, indem sie die Anordnung des Stacks \u00e4ndern, was Angriffe auf den Stack erheblich komplizierter und weniger erfolgreich macht. Die urspr\u00fcngliche Implementierung unterst\u00fctzt ARM64- und x86\/x86_64-Prozessoren. <\/p>\n
Die urspr\u00fcngliche Idee des Patches stammt aus dem PaX RANDKSTACK Projekt. Im Jahr 2019 versuchte Elena Reshetova, eine Ingenieurin bei Intel, eine Umsetzung dieser Idee zu schaffen, die f\u00fcr die Integration in den Hauptkern von Linux geeignet ist. Sp\u00e4ter \u00fcbernahm Kis Cook die Initiative und pr\u00e4sentierte eine f\u00fcr die Hauptversion des Kernels geeignete Umsetzung. Die Patches sollen in die Version 5.13 aufgenommen werden. Der Modus wird standardm\u00e4\u00dfig deaktiviert sein. Zur Aktivierung werden die Kernel-Befehlszeilenparameter \u201erandomize_kstack_offset=on\/off\u201c und die Einstellung CONFIG_RANDOMIZE_KSTACK_OFFSET_DEFAULT angeboten. Die Kosten f\u00fcr das Aktivieren des Modus werden auf etwa 1 % der Leistungsf\u00e4higkeit gesch\u00e4tzt. <\/p>\n
Das Wesentliche des vorgeschlagenen Schutzes liegt in der Wahl einer zuf\u00e4lligen Stack-Verschiebung bei jedem Systemaufruf, was die Bestimmung der Stack-Anordnung im Speicher erschwert, selbst wenn Informationen \u00fcber Adressen vorliegen, da sich beim n\u00e4chsten Systemaufruf die Basisadresse des Stacks \u00e4ndert. Im Gegensatz zur Implementierung von PaX RANDKSTACK erfolgt die Randomisierung in den f\u00fcr den Kernel vorgesehenen Patches nicht in der fr\u00fchen Phase (cpu_current_top_of_stack), sondern nach der Festlegung der pt_regs-Struktur, was die Verwendung von ptrace-basierten Methoden zur Bestimmung der randomisierten Verschiebung w\u00e4hrend eines l\u00e4ngeren Systemaufrufs unm\u00f6glich macht. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"