NixOS-i cryptsetup-suspend tööriista portimise käigus ilmus viga LUKS (Linux Unified Key Setup) kettašifreerimise alamsüsteemis, mille tõttu alates Linuxi tuumast 6.9 (probleemne commit), mis ilmus 2024. aasta maikuus, ei toiminud šifreerimisvõtmete puhastamine RAM-ist, kui süsteem läks ooteolekusse.
Cryptsetup-suspend tööriista kasutatakse Debiani süsteemis LUKS-partitsioonide automaatseks lukustamiseks enne uinakurežiimi sisenemist. Eeldatakse, et kui sülearvuti, mis on viidud uinakurežiimi, varastatakse, ei saa ründaja andmetele ligi, kuna unest väljumisel tuleb sisestada parool juurdepääsu taastamiseks krüpteeritud andmetele. Linuxi tuuma vea tõttu ei puhastatud LUKS-partitsiooni lukustamise käigus käsuga "cryptsetup luksSuspend" võtmeid RAM-ist ning need jäid nähtavaks kaudu /proc/keys, mis võimaldas ründajal need välja võtta näiteks "külmrestartimise" meetodil ja kasutada neid andmetele juurdepääsu saamiseks.
Võtmete puhastamise puudumine tuvastati võistlusseisundi silumise käigus, mille tõttu tekkisid probleemid uinakurežiimi üleminekul. Viga ilmnes pärast 6.9 põhituuma refaktoreerimist, mille tulemusena siduti võtmed väljakutsujate töörühmaga ja need pidid olema kustutatavad töö lõpetamisel, kuid tegelikult jäid mälu.
Käesolev patš ei ole tuuma poolt vastu võetud, kuna selles avastati puudus — patš kehtib ainult füüsiliste salvestusseadmete jaoks, kuid ei toimi virtuaalsete loop-seadmete korral. Probleemi kõrvaldamiseks tuuma poolel pakkusid cryptsetup tööriista arendajad võtmete puhastamise mööduteed. See muudatus on juba vastu võetud ja lisatakse cryptsetup versioonis 2.8.7.
Lisaks sellele on NixOS-i jaoks loodud oma teostus skriptidest krüpteeritud ketaste lukustamiseks enne uinakurežiimi, milles kasutatakse 2015. aastal vastuvõtmata vanast patšist tuumas, mis sunnib võtmeid mälu puhastama enne uinakurežiimi sisenemist.
Allikas: opennet.ru
