{"id":99808,"date":"2021-04-15T10:22:45","date_gmt":"2021-04-15T08:22:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/predstavleny-patchi-dlya-randomizaczii-adresov-steka-yadra-linux-pri-sistemnyh-vyzovah"},"modified":"2021-04-15T10:22:45","modified_gmt":"2021-04-15T08:22:45","slug":"predstavleny-patchi-dlya-randomizaczii-adresov-steka-yadra-linux-pri-sistemnyh-vyzovah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/predstavleny-patchi-dlya-randomizaczii-adresov-steka-yadra-linux-pri-sistemnyh-vyzovah","title":{"rendered":"Des correctifs pour la randomisation des adresses de la pile du noyau Linux lors des appels syst\u00e8me ont \u00e9t\u00e9 pr\u00e9sent\u00e9s","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Kees Cook, ancien administrateur syst\u00e8me en chef de kernel.org et leader de l'\u00e9quipe de s\u00e9curit\u00e9 d'Ubuntu, maintenant employ\u00e9 chez Google, travaillant \u00e0 la protection d'Android et de ChromeOS, a publi\u00e9 un ensemble de correctifs impl\u00e9mentant la randomisation des d\u00e9calages dans la pile du noyau lors du traitement des appels syst\u00e8me. Ces correctifs augmentent la s\u00e9curit\u00e9 du noyau en modifiant l'emplacement de la pile, rendant les attaques sur la pile nettement plus complexes et moins r\u00e9ussies. L'impl\u00e9mentation initiale prend en charge les processeurs ARM64 et x86\/x86_64. <\/p>\n
L'id\u00e9e originale du patch appartient au projet PaX RANDKSTACK. En 2019, Elena Reshetova, une ing\u00e9nieure de la soci\u00e9t\u00e9 Intel, a tent\u00e9 de cr\u00e9er une impl\u00e9mentation de cette id\u00e9e, adapt\u00e9e \u00e0 l'int\u00e9gration dans le noyau Linux principal. Par la suite, l'initiative a \u00e9t\u00e9 reprise par Kyst Cook, qui a pr\u00e9sent\u00e9 une implementation adapt\u00e9e \u00e0 la version principale du noyau. Les patches doivent \u00eatre inclus dans la version 5.13. Le mode sera d\u00e9sactiv\u00e9 par d\u00e9faut. Pour l'activer, des param\u00e8tres de ligne de commande du noyau tels que \u00ab randomize_kstack_offset=on\/off \u00bb et la configuration CONFIG_RANDOMIZE_KSTACK_OFFSET_DEFAULT sont propos\u00e9s. Les frais g\u00e9n\u00e9raux associ\u00e9s \u00e0 l'activation de ce mode sont estim\u00e9s \u00e0 environ 1 % de perte de performance. <\/p>\n
L'essence de la protection propos\u00e9e r\u00e9side dans le choix d'un d\u00e9calage al\u00e9atoire de la pile \u00e0 chaque appel syst\u00e8me, ce qui complique la d\u00e9termination de la disposition de la pile en m\u00e9moire, m\u00eame en obtenant des donn\u00e9es sur les adresses, car lors du prochain appel syst\u00e8me, l'adresse de base de la pile changera. Contrairement \u00e0 l'impl\u00e9mentation de PaX RANDKSTACK, dans les correctifs propos\u00e9s pour inclusion dans le noyau, la randomisation est effectu\u00e9e non pas \u00e0 un stade initial (cpu_current_top_of_stack), mais apr\u00e8s l'\u00e9tablissement de la structure pt_regs, ce qui rend impossible l'utilisation de m\u00e9thodes bas\u00e9es sur ptrace pour d\u00e9terminer le d\u00e9calage randomis\u00e9 lors de l'ex\u00e9cution d'appels syst\u00e8me de longue dur\u00e9e. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"