La compagnia assicurativa GEICO ha pubblicato una versione preliminare dello strumento TuxTape, che consente di implementare una propria infrastruttura per la creazione, l'assemblaggio e la distribuzione di live patch per il kernel Linux. I live patch permettono di applicare correzioni al kernel Linux al volo, senza riavviare e fermare il sistema. Il codice del progetto è scritto in Rust ed è distribuito sotto la licenza Apache 2.0.
I live patch che risolvono vulnerabilità sono forniti da aziende come Red Hat, Oracle, Canonical e SUSE per le loro distribuzioni, ma l'unico strumento a disposizione è quello di basso livello per lavorare con i patch, mentre i patch stessi vengono creati dietro porte chiuse. Le distribuzioni Gentoo e Debian hanno tentato di sviluppare progetti aperti elivepatch e linux-livepatching, ma il primo è abbandonato da sei anni, mentre il secondo si è fermato alla fase di creazione di un prototipo di test.
TuxTape è progettato per organizzare un sistema autonomo per la creazione e distribuzione di live patch, indipendente dai fornitori esterni e adattabile a qualsiasi kernel Linux, non solo ai pacchetti con kernel di specifiche distribuzioni. TuxTape può generare live patch compatibili con lo strumento kpatch sviluppato da Red Hat (oltre a kpatch esistono strumenti simili: kGraft di SUSE, Ksplice di Oracle e il livepatch universale). I patch sono generati come moduli del kernel caricabili, che sostituiscono le funzioni nel kernel utilizzando il sottosistema ftrace per indirizzare alle nuove funzioni incluse nel modulo.
TuxTape può monitorare le informazioni sulle vulnerabilità nel kernel Linux, pubblicate nella mailing list linux-cve-announce e nel repository Git, classificare le vulnerabilità in base al livello di gravità, determinare l'applicabilità ai kernel Linux supportati e generare live patch basati su normali patch per i rami LTS del kernel. L'applicabilità delle patch originali viene valutata tramite il profilo delle compilazioni del kernel. I patch con vulnerabilità che non colpiscono il kernel target vengono ignorati.
TuxTape comprende un sistema per il monitoraggio delle nuove vulnerabilità nel kernel, un costruttore di DB di patch e vulnerabilità, un server per la memorizzazione dei metadati, un sistema di gestione delle compilazioni del kernel, un assemblatore del kernel, un generatore di patch, un archivio di patch, un client per ricevere patch per host finali e un'interfaccia interattiva per gestire la creazione di live patch.
Lo sviluppo è attualmente in fase di prototipo sperimentale. Per la fase di test iniziale sono stati proposti: tuxtape-cve-parser per analizzare le informazioni sulle vulnerabilità e costruire un database con i patch; tuxtape-server con implementazione dell'interfaccia gRPC per i servizi che generano patch; tuxtape-kernel-builder per assemblare il kernel in una configurazione specifica e generare un profilo di compilazione; tuxtape-dashboard — un'interfaccia a riga di comando per rivedere e creare live patch basate su patch originali ottenuti da tuxtape-server.
Fonte: opennet.ru
