Osiguravajuća kompanija GEICO objavila je preliminarnu verziju alata TuxTape, koji omogućuje postavljanje vlastite infrastrukture za kreiranje, izradu i distribuciju live-patch-ova za Linux kernel. Live-patch-ovi omogućuju primjenu ispravki na Linux kernelu u stvarnom vremenu, bez ponovnog pokretanja i zaustavljanja sustava. Kod projekta napisan je na jeziku Rust i distribuira se pod licencom Apache 2.0.
Live-patch-ovi za ispravljanje ranjivosti pružaju za svoje distribucije kompanije kao što su Red Hat, Oracle, Canonical i SUSE, ali im je otvorena samo niskonivo alata za rad s patch-ovima, dok se sami patch-ovi formiraju iza zatvorenih vrata. Distribucije Gentoo i Debian pokušavale su razvijati otvorene projekte elivepatch i linux-livepatching, ali je prvi već 6 godina napušten, dok je drugi zakočio u fazi izrade testnog prototipa.
TuxTape je usmjeren na organiziranje rada vlastitog sustava za izradu i distribuciju live-patch-ova, neovisnog o vanjskim dobavljačima i prilagodljivog za sve Linux jezgre, a ne samo za pakete s kernelom određenih distribucija. TuxTape može kreirati live-patch-ove kompatibilne s alatom kpatch, koji je razvila kompanija Red Hat (pored kpatch-a postoje slični alati: kGraft od SUSE, Ksplice od Oraclea i univerzalni livepatch). Patch-ovi se formiraju u obliku učitavih modula jezgre, koji zamjenjuju funkcije u jezgri, koristeći podsustav ftrace za preusmjeravanje na nove funkcije uključene u modul.
TuxTape može pratiti informacije o ispravljanju ranjivosti u Linux kernelu, objavljene na mailing listi linux-cve-announce i u Git repozitoriju, rangirati ranjivosti po stepenu opasnosti, utvrditi primjenjivost na održavane jezgre Linux i generirati live-patch-ove na temelju uobičajenih patch-ova za LTS grane jezgre. Primjenjivost izvornih patch-ova procjenjuje se profiliranjem izgradnji jezgre. Patch-ovi s ranjivostima koje ne utječu na ciljni kernel se ignoriraju.
TuxTape uključuje sustav za praćenje novih ranjivosti u jezgru, graditelja Baze podataka patch-ova i ranjivosti, server za pohranu metapodataka, sustav za raspoređivanje izgradnje jezgre, graditelj jezgre, generator patch-ova, arhivu patch-ova, klijent za primanje patch-ova za krajnje hostove i interaktivno sučelje za upravljanje stvaranjem live-patch-ova.
Razvoj je u fazi eksperimentalnog prototipa. Za početno testiranje predloženi su: tuxtape-cve-parser za analizu informacija o ranjivostima i izgradnju baze podataka s ispravcima; tuxtape-server s implementacijom gRPC sučelja za usluge koje generiraju ispravke; tuxtape-kernel-builder za izgradnju jezgre u zadanoj konfiguraciji i formiranje profila izgradnje; tuxtape-dashboard — konzolno sučelje za recenziranje i stvaranje live-ispravaka na temelju izvornih ispravaka dobivenih iz tuxtape-servera.
Izvor: opennet.ru
