NixOS-i cryptsetup-suspend tööriista portimise käigus tuvastati LUKS-i (Linux Unified Key Setup) ketta krüpteerimise alamsüsteemis viga, mille tõttu alates Linuxi kerneli 6.9 (probleemne commit) väljaandmisest, mis toimus 2024. aasta mais, lakkas töötamast krüpteerimisvõtmete puhastamine juhuslikust mälust süsteemi magamisse minekul.
Tööriista cryptsetup-suspend kasutatakse Debianil LUKS-partitsioonide automaatseks lukustamiseks enne magamisse minekut. Eeldatakse, et sülearvuti magamisse viimise korral, kui see varastatakse, ei suuda pahatahtlik isik andmetele ligi pääseda, kuna uneolekust väljumisel on vaja parooli, et taastada juurdepääs krüpteeritud andmetele. Linuxi kerneli vea tõttu ei puhastatud LUKS-partitsiooni lukustamisel käsuga „cryptsetup luksSuspend” võtmeid juhuslikust mälust, mis jäi nähtavaks läbi /proc/keys, võimaldades ründajal neid näiteks „külma taaskäivitamise” meetodi kaudu hankida ja kasutada andmetele juurdepääsuks.
Lukkude puhastamise puudumine tuvastati konkurentsitingimuse silumise käigus, mille tõttu tekkisid probleemid ooterežiimi üleminekuga. Viga ilmnes pärast 6.9 versiooni tuumaloomingulist ümberkorraldamist, mille käigus seoti võtmed kutsuva niidi külge ja need pidid olema kustutatud pärast selle lõpetamist, kuid tegelikult jäid nad mälu. Linuxi tuumale on ettepanek olnud ühekordne patch, mis kõrvaldab tehtud vea.
Käesolev patch ei ole tuumas vastu võetud, kuna selles tuvastati puudus — patch toimib ainult füüsilistele kõvaketastele, kuid ei tööta virtuaalsete loop-seadmete jaoks. Probleemi parandamise asemel töötas cryptsetup'i arendajate tiim välja lahenduse võtmete puhastamiseks. See muudatus on juba vastu võetud ja sisaldub cryptsetup 2.8.7 väljaandes.
Lisaks sellele on NixOS-i jaoks loodud oma skriptide teostus, et blokeerida krüptitud kettaid enne ooterežiimi üleminekut, kus kasutatakse 2015. aastal vastu võtmata vanemat patch’i, mis sunniviisiliselt puhastab võtmed mälust enne unerežiimi üleminekut.
Allikas: opennet.ru
