{"id":181666,"date":"2026-05-22T18:25:08","date_gmt":"2026-05-22T16:25:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti"},"modified":"2026-05-22T18:25:08","modified_gmt":"2026-05-22T16:25:08","slug":"iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","title":{"rendered":"Az AF_ALG elt\u00e1vol\u00edtja a zero-copy funkci\u00f3t a biztons\u00e1gi megfontol\u00e1sok miatt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A Linux titkos\u00edt\u00e1si alrendszer\u00e9ben elt\u00e1vol\u00edtj\u00e1k a t\u00e1mogat\u00e1st zero-copy<\/strong> a fel\u00fcletr\u0151l AF_ALG<\/strong> algoritmus t\u00edpusokhoz SKCIPHER<\/strong> \u00e9s AEAD<\/strong>. A v\u00e1ltoztat\u00e1s m\u00e1r a cryptodev f\u00e1ban van, \u00e9s v\u00e1rhat\u00f3an a k\u00f6vetkez\u0151 egyes\u00edt\u00e9si ablakban ker\u00fcl elk\u00fcld\u00e9sre Linux 7.2<\/strong>, amely j\u00faniusban ker\u00fcl megnyit\u00e1sra. A d\u00f6nt\u00e9st a zero-copy mechanizmusok k\u00f6r\u00fcli n\u00f6vekv\u0151 biztons\u00e1gi aggodalmak indokolt\u00e1k, k\u00fcl\u00f6n\u00f6sen a Linux titkos\u00edt\u00e1si k\u00f3dj\u00e1ban megjelen\u0151 legut\u00f3bbi sebezhet\u0151s\u00e9gek ut\u00e1n.<\/p>\n

<\/p>\n

AF_ALG<\/strong> \u2014 ez felhaszn\u00e1l\u00f3i fel\u00fclet<\/a> a Linux kernel titkos\u00edt\u00f3 API-j\u00e1hoz. Ezen kereszt\u00fcl a programok hozz\u00e1f\u00e9rhetnek a titkos\u00edt\u00e1si, hash \u00e9s AEAD algoritmusok kernelbeli megval\u00f3s\u00edt\u00e1saihoz, mint socketekhez. A Linux dokument\u00e1ci\u00f3 k\u00fcl\u00f6n le\u00edrja az AF_ALG zero-copy \u00fczemm\u00f3dj\u00e1t a splice() \u00e9s vmsplice() funkci\u00f3kon kereszt\u00fcl, amely lehet\u0151v\u00e9 teszi, hogy a kernel minimaliz\u00e1lja az adatok f\u00f6l\u00f6sleges m\u00e1sol\u00e1s\u00e1t a kernel mem\u00f3ri\u00e1j\u00e1ba.<\/p>\n

<\/noindex><\/noindex><\/p>\n

<\/p>\n

A probl\u00e9ma az, hogy az AF_ALG eset\u00e9ben ez a teljes\u00edtm\u00e9nyjavul\u00e1s nem volt annyira l\u00e9nyeges, m\u00edg a kock\u00e1zatok t\u00fal magasak. A v\u00e1ltoztat\u00e1s szerz\u0151je, a Linux titkos\u00edt\u00e1si alrendszer\u00e9nek fejleszt\u0151je, Eric Biggers a Google-t\u00f3l, megjegyezte<\/a>, hogy a zero-copy lehet\u0151v\u00e9 teszi a felhaszn\u00e1l\u00f3i t\u00e9rb\u0151l val\u00f3 titkos\u00edt\u00e1si m\u0171veletek k\u00f6zvetlen v\u00e9grehajt\u00e1s\u00e1t az oldal cache f\u00e1jljaim, p\u00e9ld\u00e1ul a su bin\u00e1risan, valamint TOCTOU sebezhet\u0151s\u00e9geket teremt, amikor a mem\u00f3ria p\u00e1rhuzamosan m\u00f3dosulhat a rajta v\u00e9grehajtott m\u0171velet sor\u00e1n.<\/p>\n

<\/noindex><\/p>\n

M\u00e1s szavakkal, a mechanizmus, amely hasznos a h\u00e1l\u00f3zati vagy f\u00e1jlbeviteln\u00e9l, az AF_ALG eset\u00e9ben t\u00fal vesz\u00e9lyes optimaliz\u00e1l\u00e1snak t\u0171nik. Maga az AF_ALG a fejleszt\u0151 szavai szerint most els\u0151sorban a visszafel\u00e9 kompatibilit\u00e1s \u00e9rdek\u00e9ben marad fenn egy kis programk\u00e9szlet sz\u00e1m\u00e1ra, p\u00e9ld\u00e1ul az iwd sz\u00e1m\u00e1ra, amelyek m\u00e9g nem lettek \u00e1thelyezve a felhaszn\u00e1l\u00f3i t\u00e9rbeni titkos\u00edt\u00e1sra. Eredetileg az AF_ALG-t a hardveres titkos\u00edt\u00f3 gyors\u00edt\u00f3khoz val\u00f3 hozz\u00e1f\u00e9r\u00e9sre tervezt\u00e9k, de a gyakorlatban nem bizonyult t\u00fal hat\u00e9kony interf\u00e9sznek erre a feladatra.<\/p>\n

Fontos megjegyezni, hogy nem a splice() vagy a sendfile() teljes elt\u00e1vol\u00edt\u00e1s\u00e1r\u00f3l van sz\u00f3 az AF_ALG sz\u00e1m\u00e1ra. A v\u00e1ltoztat\u00e1st \"laza t\u00f6r\u00e9snek\" \u00edrj\u00e1k le: az AF_ALG k\u00e9r\u00e9sekbe val\u00f3 adat\u00e1tvitel a splice() \u00e9s a sendfile() haszn\u00e1lat\u00e1val tov\u00e1bbra is m\u0171k\u00f6dni fog, de a kernel most m\u00e1r bels\u0151 stabil m\u00e1solatot k\u00e9sz\u00edt az adatokb\u00f3l a titkos\u00edt\u00e1si m\u0171velet el\u0151tt. A teljes\u00edtm\u00e9ny egyes esetekben cs\u00f6kkenhet, viszont a felhaszn\u00e1l\u00f3i API form\u00e1lisan tov\u00e1bbra is m\u0171k\u00f6d\u0151k\u00e9pes marad.<\/p>\n

K\u00fcl\u00f6n kiemelik, hogy az AF_ALG-b\u00f3l a zero-copy el fog t\u0171nni skcipher<\/strong> \u00e9s aead<\/strong>. T\u00e1mogat\u00e1s a t\u00edpus sz\u00e1m\u00e1ra hash<\/strong> k\u00fcl\u00f6n fogj\u00e1k megvizsg\u00e1lni.<\/p>\n

<\/p>\n

A m\u00f3dos\u00edt\u00e1s h\u00e1ttere kellemetlen. \u00c1prilis v\u00e9g\u00e9n egy sebezhet\u0151s\u00e9g ker\u00fclt napvil\u00e1gra. M\u00e1sol\u00e1si hiba<\/a><\/strong> (CVE-2026-31431<\/strong>) az algif_aead-ben, vagyis pontosan a felhaszn\u00e1l\u00f3i kriptogr\u00e1fiai interf\u00e9szen, az AF_ALG-on. A kutat\u00f3k kimutatt\u00e1k, hogy az AF_ALG, a splice() \u00e9s az AEAD-feldolgoz\u00e1s saj\u00e1toss\u00e1gai kombin\u00e1ci\u00f3j\u00e1val nem privilegiz\u00e1lt felhaszn\u00e1l\u00f3k tudt\u00e1k megsemmis\u00edteni a page cache-t, bele\u00e9rtve a setuid bin\u00e1risoknak megfelel\u0151 oldalakat, ezzel emelve a privil\u00e9giumokat root szintre.<\/p>\n

<\/noindex>
\n<\/p>\n

Megjelen\u00e9s M\u00e1sol\u00e1si hiba<\/a> kapcsolatban \u00e1llt a 2017-es optimaliz\u00e1l\u00e1ssal, amely az AEAD-m\u0171veleteket \"helyben\" val\u00f3 feldolgoz\u00e1sra ford\u00edtotta; a f\u00e1jl splice() \u00e1tvitele az AF_ALG-on kereszt\u00fcl a kernelt nem m\u00e1solatokkal, hanem a page cache oldalaira mutat\u00f3 hivatkoz\u00e1sokkal m\u0171k\u00f6dtette. Ennek k\u00f6vetkezt\u00e9ben egyes, csak bemeneti adatk\u00e9nt kezelt adatok a fel\u00edrand\u00f3 scatterlistbe ker\u00fclhettek.<\/p>\n

<\/noindex><\/p>\n

A zero-copy elt\u00e1vol\u00edt\u00e1sa az AF_ALG-b\u00f3l nem egyetlen sebezhet\u0151s\u00e9g pontos jav\u00edt\u00e1sa. Ink\u00e1bb egy oszt\u00e1lynyi kock\u00e1zatos forgat\u00f3k\u00f6nyv elt\u00e1vol\u00edt\u00e1s\u00e1ra tett k\u00eds\u00e9rlet a ritk\u00e1n haszn\u00e1lt UAPI-b\u00f3l, ahol az optimaliz\u00e1ci\u00f3 el\u0151nyei nem indokolj\u00e1k a bonyolults\u00e1got \u00e9s a potenci\u00e1lis k\u00f6vetkezm\u00e9nyeket. A szok\u00e1sos felhaszn\u00e1l\u00f3k sz\u00e1m\u00e1ra a v\u00e1ltoztat\u00e1s val\u00f3sz\u00edn\u0171leg \u00e9szrev\u00e9tlen marad; a ritk\u00e1n haszn\u00e1lt programok eset\u00e9ben, amelyek akt\u00edvan haszn\u00e1lj\u00e1k az AF_ALG-ot splice() vagy sendfile() r\u00e9v\u00e9n, a teljes\u00edtm\u00e9ny cs\u00f6kkenhet a tov\u00e1bbi m\u00e1sol\u00e1s miatt.<\/p>\n

Forr\u00e1s: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0438 Linux \u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 zero-copy \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 AF_ALG \u0434\u043b\u044f \u0442\u0438\u043f\u043e\u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u0432 SKCIPHER \u0438 AEAD. \u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0443\u0436\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0434\u0435\u0440\u0435\u0432\u0435 cryptodev \u0438 \u043e\u0436\u0438\u0434\u0430\u0435\u0442\u0441\u044f \u043a \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0435 \u0432 \u043e\u043a\u043d\u043e \u0441\u043b\u0438\u044f\u043d\u0438\u044f Linux 7.2, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044c\u0441\u044f \u0432 \u0438\u044e\u043d\u0435. \u041f\u043e\u0432\u043e\u0434\u043e\u043c \u0441\u0442\u0430\u043b\u0438 \u0440\u0430\u0441\u0442\u0443\u0449\u0438\u0435 \u043e\u043f\u0430\u0441\u0435\u043d\u0438\u044f \u0432\u043e\u043a\u0440\u0443\u0433 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 zero-copy-\u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u043e\u0432 \u0432 \u044f\u0434\u0440\u0435, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u043d\u0435\u0434\u0430\u0432\u043d\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u043a\u043e\u0434\u0435 Linux. AF_ALG […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-181666","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47A Linuxb\u00f3l elt\u00e1vol\u00edtj\u00e1k a zero-copy-t az AF_ALG-b\u00f3l a biztons\u00e1gi megfontol\u00e1sok miatt | ProHoster","description":"A Linux kriptogr\u00e1fiai alrendszer\u00e9ben k\u00e9sz\u00fcl a zero-copy t\u00e1mogat\u00e1s elt\u00e1vol\u00edt\u00e1sa az AF_ALG interf\u00e9szb\u0151l az SKCIPHER \u00e9s AEAD algoritmus t\u00edpusaihoz.","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/news\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u0437 AF_ALG \u0432 Linux \u0443\u0431\u0438\u0440\u0430\u044e\u0442 zero-copy \u0438\u0437 \u0441\u043e\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 | ProHoster","og:description":"\u0412 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0438 Linux \u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 zero-copy \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 AF_ALG \u0434\u043b\u044f \u0442\u0438\u043f\u043e\u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u0432 SKCIPHER \u0438 AEAD.","og:url":"https:\/\/prohoster.info\/hu\/blog\/news\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-22T16:25:08+00:00","article:modified_time":"2026-05-22T16:25:08+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/181666","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=181666"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/181666\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=181666"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=181666"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=181666"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}