{"id":181666,"date":"2026-05-22T18:25:08","date_gmt":"2026-05-22T16:25:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti"},"modified":"2026-05-22T18:25:08","modified_gmt":"2026-05-22T16:25:08","slug":"iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","title":{"rendered":"Se elimina zero-copy de AF_ALG en Linux por razones de seguridad.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

En el subsistema de criptograf\u00eda de Linux, se prepara la eliminaci\u00f3n del soporte zero-copy<\/strong> del interfaz AF_ALG<\/strong> para tipos de algoritmos SKCIPHER<\/strong> y AEAD<\/strong>. El cambio ya est\u00e1 en el \u00e1rbol de cryptodev y se espera que se env\u00ede en la ventana de fusi\u00f3n Linux 7.2<\/strong>, que deber\u00eda abrirse en junio. La raz\u00f3n son las crecientes preocupaciones sobre la seguridad de los mecanismos zero-copy en el n\u00facleo, especialmente despu\u00e9s de las recientes vulnerabilidades en el c\u00f3digo criptogr\u00e1fico de Linux.<\/p>\n

<\/p>\n

AF_ALG<\/strong> \u2014 es interfaz de usuario<\/a> al API criptogr\u00e1fico del n\u00facleo de Linux. A trav\u00e9s de \u00e9l, los programas pueden acceder a implementaciones de cifrados, hashes y algoritmos AEAD en el n\u00facleo como si fueran sockets. La documentaci\u00f3n de Linux describe por separado para AF_ALG el modo zero-copy a trav\u00e9s de splice() y vmsplice(), donde el n\u00facleo intenta evitar la copia innecesaria de datos a la memoria del n\u00facleo.<\/p>\n

<\/noindex><\/noindex><\/p>\n

<\/p>\n

El problema es que, en el caso de AF_ALG, esta ganancia en rendimiento result\u00f3 no ser tan importante, y los riesgos son demasiado grandes. El autor del cambio, el desarrollador del subsistema criptogr\u00e1fico de Linux, Eric Biggers de Google, especific\u00e9<\/a>, se\u00f1ala que zero-copy permite que el espacio de usuario ejecute operaciones criptogr\u00e1ficas directamente sobre las p\u00e1ginas del cach\u00e9 de archivos, por ejemplo, el binario su, y adem\u00e1s crea condiciones para vulnerabilidades TOCTOU, cuando la memoria puede ser modificada simult\u00e1neamente con la operaci\u00f3n sobre ella.<\/p>\n

<\/noindex><\/p>\n

En otras palabras, un mecanismo \u00fatil en la entrada\/salida de red o de archivos, en AF_ALG parece ser una optimizaci\u00f3n demasiado peligrosa. El propio AF_ALG, seg\u00fan el desarrollador, actualmente se conserva principalmente por compatibilidad con un peque\u00f1o conjunto de programas, como iwd, que a\u00fan no se han trasladado a la criptograf\u00eda en el espacio de usuario. Originalmente, AF_ALG se pens\u00f3 tambi\u00e9n para el acceso a aceleradores criptogr\u00e1ficos de hardware, pero en la pr\u00e1ctica result\u00f3 no ser un interfaz muy eficiente para esta tarea.<\/p>\n

Es importante se\u00f1alar que no se trata de una eliminaci\u00f3n completa de splice() o sendfile() para AF_ALG. El cambio se describe como una \"ruptura suave\" de la compatibilidad: la transmisi\u00f3n de datos en las solicitudes AF_ALG a trav\u00e9s de splice() y sendfile() seguir\u00e1 funcionando, pero ahora el n\u00facleo har\u00e1 una copia estable interna de los datos antes de la operaci\u00f3n criptogr\u00e1fica. El rendimiento en algunos casos puede disminuir, pero la API de usuario formalmente no se rompe.<\/p>\n

Se subraya por separado que, por ahora, zero-copy se est\u00e1 eliminando de skcipher<\/strong> y aead<\/strong>. El soporte para el tipo hash<\/strong> ser\u00e1 considerado por separado.<\/p>\n

<\/p>\n

El contexto del cambio es desagradable. A finales de abril se revel\u00f3 una vulnerabilidad Copy Fail<\/a><\/strong> (CVE-2026-31431<\/strong>) en algif_aead, es decir, precisamente en la interfaz criptogr\u00e1fica de usuario AF_ALG. Los investigadores mostraron que la combinaci\u00f3n de AF_ALG, splice() y las particularidades del procesamiento AEAD permit\u00eda a un usuario no privilegiado da\u00f1ar el cach\u00e9 de p\u00e1ginas, incluidas las p\u00e1ginas correspondientes a binarios setuid, y obtener un aumento de privilegios hasta root.<\/p>\n

<\/noindex>
\n<\/p>\n

La aparici\u00f3n Copy Fail<\/a> estuvo relacionada con la optimizaci\u00f3n de 2017, que llev\u00f3 las operaciones AEAD a un procesamiento 'in situ'; al transferir archivos a trav\u00e9s de splice() en AF_ALG, el n\u00facleo no trabajaba con una copia, sino con referencias a las p\u00e1ginas del cach\u00e9 de p\u00e1ginas. Como resultado, parte de los datos que se consideraban solo de entrada podr\u00edan terminar en un scatterlist escribible.<\/p>\n

<\/noindex><\/p>\n

La eliminaci\u00f3n de zero-copy de AF_ALG no es una soluci\u00f3n puntual para una sola vulnerabilidad. M\u00e1s bien, es un intento de eliminar toda una clase de escenarios arriesgados de un UAPI poco utilizado, donde las ventajas de la optimizaci\u00f3n no justifican la complejidad y las posibles consecuencias. Para los usuarios comunes, el cambio probablemente pasar\u00e1 desapercibido; sin embargo, para programas raros que utilizan activamente AF_ALG a trav\u00e9s de splice() o sendfile(), es posible que haya una ca\u00edda en el rendimiento debido a la copia adicional.<\/p>\n

Fuente: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0438 Linux \u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 zero-copy \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 AF_ALG \u0434\u043b\u044f \u0442\u0438\u043f\u043e\u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u0432 SKCIPHER \u0438 AEAD. \u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0443\u0436\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0434\u0435\u0440\u0435\u0432\u0435 cryptodev \u0438 \u043e\u0436\u0438\u0434\u0430\u0435\u0442\u0441\u044f \u043a \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0435 \u0432 \u043e\u043a\u043d\u043e \u0441\u043b\u0438\u044f\u043d\u0438\u044f Linux 7.2, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044c\u0441\u044f \u0432 \u0438\u044e\u043d\u0435. \u041f\u043e\u0432\u043e\u0434\u043e\u043c \u0441\u0442\u0430\u043b\u0438 \u0440\u0430\u0441\u0442\u0443\u0449\u0438\u0435 \u043e\u043f\u0430\u0441\u0435\u043d\u0438\u044f \u0432\u043e\u043a\u0440\u0443\u0433 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 zero-copy-\u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u043e\u0432 \u0432 \u044f\u0434\u0440\u0435, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u043d\u0435\u0434\u0430\u0432\u043d\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u043a\u043e\u0434\u0435 Linux. AF_ALG […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-181666","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Se elimina zero-copy de AF_ALG en Linux por razones de seguridad | ProHoster","description":"En la subsistema de criptograf\u00eda de Linux se est\u00e1 preparando la eliminaci\u00f3n del soporte de zero-copy de la interfaz AF_ALG para los tipos de algoritmos SKCIPHER y AEAD.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u0437 AF_ALG \u0432 Linux \u0443\u0431\u0438\u0440\u0430\u044e\u0442 zero-copy \u0438\u0437 \u0441\u043e\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 | ProHoster","og:description":"\u0412 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0438 Linux \u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 zero-copy \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 AF_ALG \u0434\u043b\u044f \u0442\u0438\u043f\u043e\u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u0432 SKCIPHER \u0438 AEAD.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-22T16:25:08+00:00","article:modified_time":"2026-05-22T16:25:08+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/181666","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=181666"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/181666\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=181666"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=181666"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=181666"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}