Linux 커널을 위한 라이브 패치 인프라를 배포하기 위한 TuxTape 프로젝트

보험 회사 GEICO는 Linux 커널을 위한 라이브 패치를 만들고, 조립하고, 제공하기 위한 자체 인프라를 구축할 수 있는 툴킷인 TuxTape의 예비 릴리스를 발표했습니다. 라이브 패치를 사용하면 시스템을 재부팅하거나 중지하지 않고도 Linux 커널에 수정 사항을 적용할 수 있습니다. 이 프로젝트 코드는 Rust로 작성되었으며 Apache 2.0 라이선스에 따라 배포됩니다.

Red Hat, Oracle, Canonical, SUSE 등의 회사에서는 취약점 수정이 포함된 라이브 패치를 배포판에 제공하지만, 패치 작업을 위한 저수준 도구만 공개되어 있으며 패치 자체는 비공개적으로 생성됩니다. 젠투와 데비안 배포판에서는 오픈소스 프로젝트인 elivepatch와 linux-livepatching을 개발하려 했지만, 첫 번째 프로젝트는 6년 동안 중단되었고, 두 번째 프로젝트는 테스트 프로토타입을 만드는 단계에서 중단되었습니다.

TuxTape는 타사 공급업체에 의존하지 않고 모든 Linux 커널에 적용 가능하며 배포판별 커널 패키지에만 국한되지 않는 라이브 패치를 만들고 제공하기 위한 자체 시스템을 제공하는 것을 목표로 합니다. TuxTape는 Red Hat에서 개발한 kpatch 툴킷과 호환되는 라이브 패치를 생성할 수 있습니다(kpatch 외에 비슷한 툴로는 SUSE의 kGraft, Oracle의 Ksplice, Universal LivePatch가 있습니다). 패치는 ftrace 서브시스템을 사용하여 모듈에 포함된 새로운 기능으로 리디렉션하여 커널의 기능을 대체하는 로드 가능한 커널 모듈로 구성됩니다.

TuxTape는 linux-cve-announce 메일링 목록과 Git 저장소에 게시된 Linux 커널 취약점 수정에 대한 정보를 추적하고, 취약점을 심각도에 따라 순위를 매기고, 지원되는 Linux 커널에 대한 적용 여부를 확인하고, LTS 커널 분기에 대한 정기 패치를 기반으로 라이브 패치를 생성할 수 있습니다. 소스 패치의 적용 가능성은 커널 빌드를 프로파일링하여 평가합니다. 대상 커널에 영향을 미치지 않는 취약점이 있는 패치는 무시됩니다.

TuxTape에는 새로운 커널 취약점을 추적하는 시스템, 패치 및 취약점 데이터베이스 빌더, 메타데이터를 저장하는 서버, 커널 빌드 디스패치 시스템, 커널 빌더, 패치 생성기, 패치 아카이브, 최종 호스트를 위한 패치를 수신하는 클라이언트, 라이브 패치 생성을 관리하기 위한 대화형 인터페이스가 포함되어 있습니다.

개발은 현재 실험적 프로토타입 단계에 있습니다. 초기 테스트를 위해 다음이 제안됩니다. 취약점에 대한 정보를 구문 분석하고 패치가 포함된 데이터베이스를 구축하기 위한 tuxtape-cve-parser; 패치 생성 서비스를 위한 gRPC 인터페이스 구현을 갖춘 tuxtape-server 지정된 구성에서 커널을 빌드하고 빌드 프로필을 생성하는 tuxtape-kernel-builder tuxtape-dashboard는 tuxtape-server에서 수신한 소스 패치를 기반으로 라이브 패치를 검토하고 생성하기 위한 콘솔 인터페이스입니다.

출처 : opennet.ru