시스템 호출을 위해 Linux 커널 스택 주소를 무작위화하기 위해 도입된 패치

kernel.org의 전 최고 시스템 관리자이자 Ubuntu 보안 팀의 리더이자 현재 Google에서 Android 및 ChromeOS 보안 작업을 하고 있는 Kees Cook은 시스템 호출을 처리할 때 커널 스택의 오프셋을 무작위로 지정하는 패치 세트를 게시했습니다. 패치는 스택 배치를 변경하여 커널 보안을 향상시켜 스택에 대한 공격을 훨씬 더 어렵게 만들고 덜 성공하게 만듭니다. 초기 구현에서는 ARM64 및 x86/x86_64 프로세서를 지원합니다.

패치의 원래 아이디어는 PaX RANDKSTACK 프로젝트에 속합니다. 2019년에 Intel의 엔지니어인 Elena Reshetova는 기본 Linux 커널에 포함하기에 적합한 이 아이디어를 구현하려고 시도했습니다. 나중에 커널의 메인 버전에 적합한 구현을 제시한 Kees Cook이 주도권을 잡았습니다. 패치는 5.13 릴리스의 일부로 포함될 예정입니다. 이 모드는 기본적으로 비활성화됩니다. 이를 활성화하기 위해 커널 명령줄 매개변수 “randomize_kstack_offset=on/off”와 CONFIG_RANDOMIZE_KSTACK_OFFSET_DEFAULT 설정이 제안됩니다. 모드 활성화에 따른 오버헤드는 약 1%의 성능 손실로 추정됩니다.

제안된 보호의 핵심은 각 시스템 호출에 대해 임의의 스택 오프셋을 선택하는 것입니다. 이는 주소 데이터를 수신한 후에도 다음 시스템 호출이 스택의 기본 주소를 변경하므로 메모리의 스택 레이아웃을 결정하기 어렵게 만듭니다. PaX RANDKSTACK 구현과 달리 커널에 포함되도록 제안된 패치에서는 초기 단계(cpu_current_top_of_stack)가 아닌 pt_regs 구조를 설정한 후에 무작위화가 수행되므로 ptrace 기반 방법을 사용하여 무작위 오프셋을 결정할 수 없습니다. 장기 실행 시스템 호출 중.

출처 : opennet.ru