La compagnia assicurativa GEICO ha pubblicato una versione preliminare dello strumento TuxTape, che consente di creare la propria infrastruttura per la generazione, compilazione e consegna di live patch per il kernel Linux. I live patch permettono di applicare correzioni al kernel Linux on-the-fly, senza riavviare o fermare il sistema. Il codice del progetto è scritto in Rust e distribuito sotto la licenza Apache 2.0.
Le patch per la risoluzione delle vulnerabilità sono fornite per le loro distribuzioni da aziende come Red Hat, Oracle, Canonical e SUSE, ma il loro strumento di basso livello per la gestione delle patch è aperto, mentre le patch stesse sono formate dietro porte chiuse. Le distribuzioni Gentoo e Debian hanno tentato di sviluppare progetti aperti elivepatch e linux-livepatching, ma il primo è abbandonato da 6 anni, mentre il secondo è rimasto bloccato nella fase di creazione di un prototipo di test.
TuxTape è progettato per organizzare il funzionamento di un proprio sistema di creazione e consegna dei live patch, indipendente dai fornitori terzi e adattabile a qualsiasi kernel Linux, non solo a pacchetti con kernel di specifiche distribuzioni. TuxTape può generare live patch compatibili con lo strumento kpatch, sviluppato da Red Hat (oltre al kpatch, ci sono strumenti simili: kGraft di SUSE, Ksplice di Oracle e livepatch universale). Le patch sono formate come moduli del kernel caricabili, che sostituiscono le funzioni nel kernel, utilizzando il sottosistema ftrace per reindirizzare a nuove funzioni incluse nel modulo.
TuxTape può monitorare le informazioni sulle correzioni delle vulnerabilità nel kernel Linux, pubblicate nella mailing list linux-cve-announce e nel repository Git, classificare le vulnerabilità in base al grado di pericolo, determinare l'applicabilità ai kernel Linux mantenuti e generare live patch basati su normali patch per i rami LTS del kernel. L'applicabilità delle patch originali viene valutata attraverso la profilazione delle compilazioni del kernel. Le patch con vulnerabilità che non interessano il kernel target vengono ignorate.
TuxTape include un sistema per il monitoraggio di nuove vulnerabilità nel kernel, un costruttore di database di patch e vulnerabilità. server per la memorizzazione dei metadati, il sistema di dispatching per la compilazione del kernel, il compilatore del kernel, il generatore di patch, l'archivio delle patch, un client per il recupero delle patch per gli host finali e un'interfaccia interattiva per la gestione della creazione di patch live.
Lo sviluppo è attualmente nella fase di prototipo sperimentale. Per i test iniziali sono proposti: tuxtape-cve-parser per l'analisi delle informazioni sulle vulnerabilità e la creazione di un database con le patch; tuxtape-server con l'implementazione dell'interfaccia gRPC per i servizi che generano patch; tuxtape-kernel-builder per la compilazione del kernel con una configurazione specificata e la creazione di un profilo di compilazione; tuxtape-dashboard — un'interfaccia console per la revisione e la creazione di patch live basate su patch originali ottenute da tuxtape-server.
Fonte: opennet.ru
