प्याचहरू प्रणाली कलहरूको लागि लिनक्स कर्नेल स्ट्याक ठेगानाहरू अनियमित गर्न पेश गरियो

Kees Cook, kernel.org का पूर्व प्रमुख प्रणाली प्रशासक र Ubuntu सुरक्षा टोलीका नेता, अहिले Google मा Android र ChromeOS सुरक्षित गर्न काम गर्दै, प्रणाली कलहरू प्रशोधन गर्दा कर्नेल स्ट्याकमा अफसेटहरू अनियमित गर्न प्याचहरूको सेट प्रकाशित गरे। प्याचहरूले स्ट्याक प्लेसमेन्ट परिवर्तन गरेर कर्नेल सुरक्षा सुधार गर्दछ, स्ट्याकमा आक्रमणहरू धेरै गाह्रो र कम सफल बनाउँछ। प्रारम्भिक कार्यान्वयनले ARM64 र x86/x86_64 प्रोसेसरहरूलाई समर्थन गर्दछ।

प्याचको लागि मूल विचार PaX RANDKSTACK परियोजनासँग सम्बन्धित छ। 2019 मा, इन्टेलका इन्जिनियर एलेना रेशेटोभाले मुख्य लिनक्स कर्नेलमा समावेश गर्न उपयुक्त यो विचारको कार्यान्वयन सिर्जना गर्ने प्रयास गरिन्। पछि, पहल Kees कुक द्वारा लिइएको थियो, जसले कर्नेलको मुख्य संस्करणको लागि उपयुक्त कार्यान्वयन प्रस्तुत गर्यो। प्याचहरू 5.13 रिलीजको भागको रूपमा समावेश गर्ने योजना बनाइएको छ। पूर्वनिर्धारित रूपमा मोड असक्षम हुनेछ। यसलाई सक्षम गर्न, कर्नेल आदेश रेखा प्यारामिटर "randomize_kstack_offset=on/off" र CONFIG_RANDOMIZE_KSTACK_OFFSET_DEFAULT सेटिङ प्रस्तावित छन्। मोड सक्षम गर्ने ओभरहेड लगभग 1% कार्यसम्पादन हानिमा अनुमान गरिएको छ।

प्रस्तावित सुरक्षाको सार भनेको प्रत्येक प्रणाली कलको लागि अनियमित स्ट्याक अफसेट छनोट गर्नु हो, जसले ठेगाना डाटा प्राप्त गरेपछि पनि मेमोरीमा स्ट्याक लेआउट निर्धारण गर्न गाह्रो बनाउँछ, किनकि अर्को प्रणाली कलले स्ट्याकको आधार ठेगाना परिवर्तन गर्नेछ। PaX RANDKSTACK कार्यान्वयनको विपरीत, कर्नेलमा समावेश गर्नका लागि प्रस्तावित प्याचहरूमा, अनियमितता प्रारम्भिक चरणमा (cpu_current_top_of_stack) मा होइन, तर pt_regs संरचना सेट गरेपछि गरिन्छ, जसले अनियमित अफसेट निर्धारण गर्न ptrace-आधारित विधिहरू प्रयोग गर्न असम्भव बनाउँछ। लामो समय चलिरहेको प्रणाली कलको समयमा।

स्रोत: opennet.ru