{"id":181666,"date":"2026-05-22T18:25:08","date_gmt":"2026-05-22T16:25:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti"},"modified":"2026-05-22T18:25:08","modified_gmt":"2026-05-22T16:25:08","slug":"iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","title":{"rendered":"In Linux, zero-copy is removed from AF_ALG for security reasons","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

The Linux cryptography subsystem is preparing to remove support zero-copy<\/strong> from the interface AF_ALG<\/strong> for algorithm types SKCIPHER<\/strong> e AEAD<\/strong>. The change is already in the cryptodev tree and is expected to be sent for merging during the upcoming window Linux 7.2<\/strong>, which is scheduled to open in June. This action is prompted by growing security concerns surrounding zero-copy mechanisms in the kernel, especially following recent vulnerabilities in the Linux cryptographic code.<\/p>\n

<\/p>\n

AF_ALG<\/strong> \u2014 rappresenta user interface<\/a> to the Linux kernel cryptographic API. Through it, programs can access implementations of ciphers, hashes, and AEAD algorithms in the kernel as sockets. The Linux documentation separately describes the zero-copy mode for AF_ALG through splice() and vmsplice(), where the kernel tries to avoid unnecessary data copying into kernel memory.<\/p>\n

<\/noindex><\/noindex><\/p>\n

<\/p>\n

The issue is that for AF_ALG, this performance gain has proven less significant, while the risks are too high. The author of the change, Linux cryptographic subsystem developer Eric Bigger from Google, ha indicato<\/a>, che il zero-copy consente allo spazio utente di eseguire operazioni crittografiche direttamente sulle pagine della cache dei file, come ad esempio l'eseguibile su, e crea anche condizioni per vulnerabilit\u00e0 TOCTOU, dove la memoria pu\u00f2 essere modificata contemporaneamente all'operazione che la riguardano.<\/p>\n

<\/noindex><\/p>\n

In altre parole, il meccanismo, utile nell'input\/output di rete o file, in AF_ALG appare come un'ottimizzazione troppo rischiosa. Lo stesso AF_ALG, secondo lo sviluppatore, \u00e8 attualmente conservato principalmente per la retrocompatibilit\u00e0 con un piccolo set di programmi, come iwd, che non sono ancora stati portati alla crittografia nello spazio utente. Inizialmente, AF_ALG era pensato anche per accedere agli acceleratori crittografici hardware, ma si \u00e8 dimostrato non un'interfaccia molto efficace per questo compito.<\/p>\n

\u00c8 importante notare che non si tratta di una rimozione totale di splice() o sendfile() per AF_ALG. La modifica \u00e8 descritta come un \u00absoft break\u00bb della compatibilit\u00e0: il passaggio dei dati nelle richieste AF_ALG tramite splice() e sendfile() continuer\u00e0 a funzionare, ma il kernel adesso creer\u00e0 una copia interna stabile dei dati prima dell'operazione crittografica. Le prestazioni potrebbero diminuire in alcuni casi, ma l'API utente formalmente non si guasta.<\/p>\n

Si sottolinea inoltre che nel frattempo il zero-copy viene rimosso da skcipher<\/strong> e aead<\/strong>. Il supporto per il tipo hash<\/strong> sar\u00e0 esaminato separatamente.<\/p>\n

<\/p>\n

Il contesto della modifica \u00e8 sgradevole. A fine aprile \u00e8 stata svelata una vulnerabilit\u00e0 Copy Fail<\/a><\/strong> (CVE-2026-31431<\/strong>) in algif_aead, ossia proprio nell'interfaccia crittografica utente di AF_ALG. I ricercatori hanno dimostrato che la combinazione di AF_ALG, splice() e le peculiarit\u00e0 del trattamento AEAD permetteva a un utente non privilegiato di danneggiare la cache delle pagine, inclusa quella delle pagine corrispondenti ai binari setuid, ottenendo cos\u00ec un'elevazione dei privilegi a root.<\/p>\n

<\/noindex>
\n<\/p>\n

Il sorgere Copy Fail<\/a> era legato all'ottimizzazione del 2017, che ha trasferito le operazioni AEAD alla gestione \"in situ\"; durante il trasferimento di un file tramite splice() in AF_ALG, il kernel lavorava non con una copia, ma con riferimenti alle pagine della cache. Di conseguenza, parte dei dati ritenuti solo in ingresso poteva trovarsi nel scatterlist in scrittura.<\/p>\n

<\/noindex><\/p>\n

La rimozione dello zero-copy da AF_ALG non \u00e8 una correzione mirata a una sola vulnerabilit\u00e0. Piuttosto, si tratta di un tentativo di eliminare un'intera classe di scenari rischiosi da un UAPI poco utilizzato, dove il guadagno dall'ottimizzazione non giustifica la complessit\u00e0 e le potenziali conseguenze. Per gli utenti comuni, questa modifica rimarr\u00e0 probabilmente invisibile; per alcuni rari software che utilizzano attivamente AF_ALG tramite splice() o sendfile(), potrebbe verificarsi una diminuzione delle prestazioni a causa della copia aggiuntiva.<\/p>\n

Fonte: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0438 Linux \u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 zero-copy \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 AF_ALG \u0434\u043b\u044f \u0442\u0438\u043f\u043e\u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u0432 SKCIPHER \u0438 AEAD. \u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0443\u0436\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0434\u0435\u0440\u0435\u0432\u0435 cryptodev \u0438 \u043e\u0436\u0438\u0434\u0430\u0435\u0442\u0441\u044f \u043a \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0435 \u0432 \u043e\u043a\u043d\u043e \u0441\u043b\u0438\u044f\u043d\u0438\u044f Linux 7.2, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044c\u0441\u044f \u0432 \u0438\u044e\u043d\u0435. \u041f\u043e\u0432\u043e\u0434\u043e\u043c \u0441\u0442\u0430\u043b\u0438 \u0440\u0430\u0441\u0442\u0443\u0449\u0438\u0435 \u043e\u043f\u0430\u0441\u0435\u043d\u0438\u044f \u0432\u043e\u043a\u0440\u0443\u0433 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 zero-copy-\u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u043e\u0432 \u0432 \u044f\u0434\u0440\u0435, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u043d\u0435\u0434\u0430\u0432\u043d\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u043a\u043e\u0434\u0435 Linux. AF_ALG […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-181666","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Zero-copy rimosso da AF_ALG in Linux per motivi di sicurezza | ProHoster","description":"Nel sottosistema di crittografia di Linux \u00e8 in fase di rimozione del supporto per zero-copy nell'interfaccia AF_ALG per i tipi di algoritmi SKCIPHER e AEAD. La modifica \u00e8 gi\u00e0 presente nell'albero cryptodev e si prevede che venga inviata nella finestra di fusione di Linux 7.2, che dovrebbe aprirsi a giugno. Ci\u00f2 \u00e8 dovuto all'aumento delle preoccupazioni sulla sicurezza dei meccanismi zero-copy nel kernel, specialmente dopo le recenti vulnerabilit\u00e0 nel codice crittografico di Linux.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u0437 AF_ALG \u0432 Linux \u0443\u0431\u0438\u0440\u0430\u044e\u0442 zero-copy \u0438\u0437 \u0441\u043e\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 | ProHoster","og:description":"\u0412 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0438 Linux \u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 zero-copy \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 AF_ALG \u0434\u043b\u044f \u0442\u0438\u043f\u043e\u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u0432 SKCIPHER \u0438 AEAD. \u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0443\u0436\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0434\u0435\u0440\u0435\u0432\u0435 cryptodev \u0438 \u043e\u0436\u0438\u0434\u0430\u0435\u0442\u0441\u044f \u043a \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0435 \u0432 \u043e\u043a\u043d\u043e \u0441\u043b\u0438\u044f\u043d\u0438\u044f Linux 7.2, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044c\u0441\u044f \u0432 \u0438\u044e\u043d\u0435. \u041f\u043e\u0432\u043e\u0434\u043e\u043c \u0441\u0442\u0430\u043b\u0438 \u0440\u0430\u0441\u0442\u0443\u0449\u0438\u0435 \u043e\u043f\u0430\u0441\u0435\u043d\u0438\u044f \u0432\u043e\u043a\u0440\u0443\u0433 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 zero-copy-\u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u043e\u0432 \u0432 \u044f\u0434\u0440\u0435, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u043d\u0435\u0434\u0430\u0432\u043d\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u043a\u043e\u0434\u0435 Linux. AF_ALG","og:url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-22T16:25:08+00:00","article:modified_time":"2026-05-22T16:25:08+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/181666","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=181666"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/181666\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=181666"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=181666"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=181666"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}