કર્નલ નબળાઈઓ સામે રક્ષણ આપવા માટે LKRG 1.0.0 રિલીઝ Linux

ઓપનવોલ પ્રોજેક્ટે LKRG 1.0.0 કર્નલ મોડ્યુલ બહાર પાડ્યું છે (Linux કર્નલ રનટાઇમ ગાર્ડ (કર્નલ રનટાઇમ ગાર્ડ) કર્નલ સ્ટ્રક્ચર્સની અખંડિતતા ચકાસવા અને કર્નલ નબળાઈઓનો ઉપયોગ કરવાના પ્રયાસોને શોધવા માટે રચાયેલ છે. સંસ્કરણ 1.0.0 નું પ્રકાશન પ્રોજેક્ટની પરિપક્વતા દર્શાવે છે. પ્રોજેક્ટનો કોડ GPLv2 લાઇસન્સ હેઠળ વિતરિત કરવામાં આવ્યો છે.

આ મોડ્યુલ બંને માટે યોગ્ય છે હુમલાઓથી રક્ષણ, કર્નલમાં પહેલાથી જ જાણીતી નબળાઈઓનો ઉપયોગ કરીને Linux, અગાઉની અજાણી નબળાઈઓનો ઉપયોગ કરતા શોષણનો સામનો કરવા માટે, સિવાય કે તેઓ LKRG ને બાયપાસ કરવા માટે ખાસ પગલાંનો ઉપયોગ કરે. સુરક્ષા ચાલી રહેલ કર્નલમાં અનધિકૃત ફેરફારો શોધવા (અખંડિતતા તપાસ) અને વપરાશકર્તા પ્રક્રિયા વિશેષાધિકારોમાં ફેરફારોનું નિરીક્ષણ (શોષણ શોધ) પર આધારિત છે.

મેમરી અને કર્નલ ડેટા સ્ટ્રક્ચર્સના સૌથી મહત્વપૂર્ણ ક્ષેત્રો, જેમ કે IDT (ઇન્ટરપ્ટ ડિસ્ક્રીપ્ટર ટેબલ), MSR, સિસ્ટમ કોલ ટેબલ, બધી પ્રક્રિયાઓ અને કાર્યો, ઇન્ટરપ્ટ હેન્ડલર્સ, લોડેડ મોડ્યુલ્સની યાદી, મોડ્યુલ્સ અને પ્રોસેસ એટ્રિબ્યુટ્સના ".text" વિભાગની સામગ્રી માટે ગણતરી કરાયેલ હેશની સરખામણીના આધારે ઇન્ટિગ્રિટી ચેક કરવામાં આવે છે. ચેક પ્રક્રિયા સમયાંતરે ટાઈમર દ્વારા સક્રિય થાય છે અથવા જ્યારે કર્નલમાં ચોક્કસ ઘટનાઓ બને છે, ઉદાહરણ તરીકે, જ્યારે setuid, setreuid, fork, exit, execve અને do_init_module સિસ્ટમ કોલ્સ એક્ઝિક્યુટ કરવામાં આવે છે.

કર્નલ સંસાધનોની ઍક્સેસ આપે તે પહેલાં (ઉદાહરણ તરીકે, ફાઇલ ખોલતા પહેલા) શક્ય શોષણની ઓળખ અને હુમલાઓને અવરોધિત કરવામાં આવે છે, પરંતુ પ્રક્રિયાને અનધિકૃત વિશેષાધિકારો પ્રાપ્ત થયા પછી (ઉદાહરણ તરીકે, UID બદલવું). જ્યારે પ્રક્રિયાઓનું અનધિકૃત વર્તન શોધી કાઢવામાં આવે છે, ત્યારે તેમને બળજબરીથી સમાપ્ત કરવામાં આવે છે, જે ઘણા શોષણોને અવરોધિત કરવા માટે પૂરતું છે. મોડ્યુલનો ઓવરહેડ ખર્ચ 2-2.5% હોવાનો અંદાજ છે.

સપોર્ટેડ આર્કિટેક્ચર્સમાં x86-64, AArch64 (ARM64), ARM32, અને x86નો સમાવેશ થાય છે. LKRG 1.0.0 નું પરીક્ષણ RHEL ના કર્નલ 3.10 થી શરૂ કરીને, વિવિધ વિતરણોમાંથી કર્નલ સાથે કરવામાં આવ્યું છે.CentOS 7 અને 6.17-rc4 સાથે સમાપ્ત થાય છે જે રીપોઝીટરીમાંથી આવે છે જ્યાં Fedora 44 રિલીઝ માટે તૈયાર થઈ રહ્યું છે. પેકેજો ALT વિતરણો માટે ઉપલબ્ધ છે. Linux, કમાન Linux, Astra Linux, જેન્ટુ, ગુઇક્સ, નિક્સોસ, Rocky Linux, વ્હોનિક્સ, યોક્ટો અને ઓપનબીએમસી. માટે એકત્રિત Rocky Linux પેકેજોનો ઉપયોગ RHEL 8/9 અને ડેરિવેટિવ વિતરણોમાં થઈ શકે છે જેમ કે AlmaLinux ૮/૯, અને વ્હોનિક્સ માટે પેકેજો Debian и Ubuntu.

નવા સંસ્કરણમાં ફેરફારો પૈકી:

• કર્નલો સાથે સુસંગતતા સુનિશ્ચિત થયેલ છે Linux 6.17-rc4 રિલીઝ થવા સુધી.
• 6.13 થી કર્નલ સાથે ઉપયોગમાં લેવાતી વખતે, override_creds() અને revert_creds() પર રિમોટ કોલ્સનું ઇન્ટરસેપ્શન બંધ કરવામાં આવ્યું છે, જેના કારણે ક્રેડિટ પોઇન્ટરને ફરીથી વ્યાખ્યાયિત કરતા હુમલાઓની શોધ મર્યાદિત થઈ ગઈ છે. કર્નલમાં અન્યત્ર ક્રેડિટ પોઇન્ટરને ફરીથી લખવા માટે ચેક ઉમેરીને મર્યાદાઓને સરભર કરવાના પ્રયાસો કરવામાં આવ્યા છે.
• અખંડિતતા ચકાસાયેલ ન હોય તેવા ઓળખપત્રોનું વધુ પડતું ટ્રેકિંગ બંધ કર્યું. આ ફેરફારથી કોડ બેઝમાં આશરે 1500 લાઇનનો ઘટાડો થયો.
• કર્નલમાં જે દેખાય છે તેના માટે સપોર્ટ ઉમેર્યો Linux O_TMPFILE (ovl_tmpfile) વિકલ્પનો ઉપયોગ કરીને OverlayFS ફાઇલ સિસ્ટમમાં કામચલાઉ ફાઇલો બનાવવા માટે 6.10 પદ્ધતિ. કર્નલ 6.10-6.12 સાથે સિસ્ટમો પર આઇસોલેટેડ કન્ટેનરનો ઉપયોગ કરતી વખતે થતી ખોટી હકારાત્મકતાને રોકવા માટે આ સપોર્ટ જરૂરી છે.
• x86_64 સિસ્ટમો માટે, IBT (પરોક્ષ શાખા ટ્રેકિંગ) સૂચનાઓનો ઉપયોગ કરીને એક્ઝિક્યુટેબલ કોડને સુરક્ષિત કરવા માટે Intel CET (કંટ્રોલ-ફ્લો એન્ફોર્સમેન્ટ ટેકનોલોજી) માટે સપોર્ટ ઉમેરવામાં આવ્યો છે, તેમજ મેમરીમાં સંગ્રહિત કાર્યો માટે પોઇન્ટરને બદલતા શોષણના પરિણામે સામાન્ય એક્ઝિક્યુશન ઓર્ડર (કંટ્રોલ ફ્લો) ના ઉલ્લંઘનને રોકવા માટે kCFI (કર્નલ કંટ્રોલ ફ્લો ઇન્ટિગ્રિટી) સોફ્ટવેર પ્રોટેક્શન ઉમેરવામાં આવ્યું છે.
• ઘણા હેન્ડલર્સને કનેક્ટ કરવા માટે, ક્રેટપ્રોબ્સને બદલે, kprobes મિકેનિઝમનો ઉપયોગ થાય છે, જે હૂક ઇન્સ્ટોલેશન કોડને સરળ બનાવે છે અને ઉચ્ચ પ્રદર્શન પ્રાપ્ત કરવાની મંજૂરી આપે છે.
• કર્નલ (પ્રતિ-કાર્ય શેડો ડેટા) માં પ્રક્રિયા-વિશિષ્ટ ડેટા લોક (લોક) નું સંચાલન ફરીથી કરવામાં આવ્યું છે. બિનજરૂરી લોકને દૂર કરીને, આવા ડેટાને ઍક્સેસ કરવાની કામગીરીમાં વધારો કરવાનું શક્ય બન્યું.
• જાતિની સ્થિતિ, અખંડિતતા તપાસ સમસ્યાઓ અને ખોટા હકારાત્મક પરિણામોનું કારણ બનેલી ભૂલો સુધારી.
• ક્લૅંગનો ઉપયોગ કરીને બિલ્ડીંગ માટે સુધારેલ સપોર્ટ.

સોર્સ: opennet.ru