Patches ແນະນໍາເພື່ອ Randomize ທີ່ຢູ່ stack kernel Linux ສໍາລັບການໂທລະບົບ

Kees Cook, ອະດີດຫົວຫນ້າຜູ້ບໍລິຫານລະບົບຂອງ kernel.org ແລະຜູ້ນໍາຂອງທີມງານຄວາມປອດໄພ Ubuntu, ປະຈຸບັນເຮັດວຽກຢູ່ Google ກ່ຽວກັບການຮັກສາຄວາມປອດໄພຂອງ Android ແລະ ChromeOS, ເຜີຍແຜ່ຊຸດຂອງ patches ເພື່ອ randomize offsets ໃນ stack kernel ໃນເວລາທີ່ການປະມວນຜົນການໂທລະບົບ. Patches ປັບປຸງຄວາມປອດໄພຂອງ kernel ໂດຍການປ່ຽນແປງການຈັດວາງ stack, ເຮັດໃຫ້ການໂຈມຕີໃນ stack ມີຄວາມຫຍຸ້ງຍາກຫຼາຍແລະສົບຜົນສໍາເລັດຫນ້ອຍ. ການປະຕິບັດເບື້ອງຕົ້ນສະຫນັບສະຫນູນໂປເຊດເຊີ ARM64 ແລະ x86/x86_64.

ແນວຄວາມຄິດຕົ້ນສະບັບສໍາລັບ patch ເປັນຂອງໂຄງການ PaX RANDKSTACK. ໃນປີ 2019, Elena Reshetova, ວິສະວະກອນຈາກ Intel, ໄດ້ພະຍາຍາມສ້າງການຈັດຕັ້ງປະຕິບັດແນວຄວາມຄິດນີ້ທີ່ເຫມາະສົມສໍາລັບການລວມຢູ່ໃນ Linux kernel ຕົ້ນຕໍ. ຕໍ່ມາ, ການລິເລີ່ມໄດ້ຖືກປະຕິບັດໂດຍ Kees Cook, ຜູ້ທີ່ນໍາສະເຫນີການປະຕິບັດທີ່ເຫມາະສົມກັບສະບັບຕົ້ນຕໍຂອງແກ່ນ. The patches ໄດ້ຖືກວາງແຜນທີ່ຈະລວມເປັນສ່ວນຫນຶ່ງຂອງການປ່ອຍ 5.13. ໂໝດຈະຖືກປິດໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນ. ເພື່ອເປີດໃຊ້ມັນ, ພາລາມິເຕີແຖວຄໍາສັ່ງ kernel “randomize_kstack_offset=on/off” ແລະການຕັ້ງຄ່າ CONFIG_RANDOMIZE_KSTACK_OFFSET_DEFAULT ຖືກສະເໜີໃຫ້. ຄ່າໃຊ້ຈ່າຍເກີນຂອງການເປີດໃຊ້ໂຫມດແມ່ນຄາດວ່າຈະມີການສູນເສຍປະສິດທິພາບປະມານ 1%.

ໂດຍເນື້ອແທ້ແລ້ວຂອງການປົກປ້ອງທີ່ສະເຫນີແມ່ນການເລືອກ stack ແບບສຸ່ມສໍາລັບການເອີ້ນລະບົບແຕ່ລະຄົນ, ເຊິ່ງເຮັດໃຫ້ມັນຍາກທີ່ຈະກໍານົດຮູບແບບ stack ໃນຫນ່ວຍຄວາມຈໍາ, ເຖິງແມ່ນວ່າຫຼັງຈາກໄດ້ຮັບຂໍ້ມູນທີ່ຢູ່, ນັບຕັ້ງແຕ່ການໂທລະບົບຕໍ່ໄປຈະປ່ຽນທີ່ຢູ່ຖານຂອງ stack. ບໍ່ຄືກັບການປະຕິບັດ PaX RANDKSTACK, ໃນ patches ທີ່ສະເຫນີສໍາລັບການລວມຢູ່ໃນ kernel, ການສຸ່ມແມ່ນປະຕິບັດບໍ່ໄດ້ຢູ່ໃນຂັ້ນຕອນທໍາອິດ (cpu_current_top_of_stack), ແຕ່ຫຼັງຈາກກໍານົດໂຄງສ້າງ pt_regs, ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະໃຊ້ວິທີການທີ່ອີງໃສ່ ptrace ເພື່ອກໍານົດການຊົດເຊີຍແບບສຸ່ມ. ໃນລະຫວ່າງການໂທລະບົບທີ່ຍາວນານ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru