Verzekeringsmaatschappij GEICO heeft een voorlopige versie van het TuxTape-instrument gepresenteerd, waarmee een eigen infrastructuur kan worden opgezet voor het maken, bouwen en leveren van live-patches voor de Linux-kernel. Live-patches maken het mogelijk om correcties aan de Linux-kernel toe te passen zonder opnieuw op te starten en zonder het systeem te stoppen. De code van het project is geschreven in Rust en wordt verspreid onder de Apache 2.0-licentie.
Live-patches met het verhelpen van kwetsbaarheden worden aangeboden door bedrijven zoals Red Hat, Oracle, Canonical en SUSE voor hun distributies, maar het basisinstrumentarium is open-source, terwijl de daadwerkelijke patches achter gesloten deuren worden ontwikkeld. De distributies Gentoo en Debian hebben geprobeerd om open-source projecten zoals elivepatch en linux-livepatching te ontwikkelen, maar de eerste bevindt zich al 6 jaar in een verwaarloosde staat, terwijl de tweede is vertraagd in de ontwikkeling van een testprototype.
TuxTape is gericht op het opzetten van een eigen systeem voor het maken en leveren van live-patches dat onafhankelijk is van externe leveranciers en kan worden aangepast voor elke Linux-kernel, niet alleen voor pakketten met de kernel van specifieke distributies. TuxTape kan live-patches genereren die compatibel zijn met het kpatch-instrument dat door Red Hat is ontwikkeld (naast kpatch zijn er vergelijkbare tools: kGraft van SUSE, Ksplice van Oracle en de universele livepatch). Patches worden gevormd als laadbaren kernelmodules die functies in de kernel vervangen door gebruik te maken van het ftrace-systeem om door te verwijzen naar nieuwe functies die in de module zijn opgenomen.
TuxTape kan informatie over het verhelpen van kwetsbaarheden in de Linux-kernel volgen, gepubliceerd op de linux-cve-announce mailinglijst en in de Git-repository, kwetsbaarheden rangschikken op gevaarlijkheid, de toepasbaarheid op beheerde Linux-kernels bepalen en live-patches genereren op basis van standaard patches voor de LTS-takken van de kernel. De toepasbaarheid van de originele patches wordt beoordeeld via het profileringssysteem van kernel builds. Patches met kwetsbaarheden die het doelkernel niet raken, worden genegeerd.
TuxTape omvat een systeem voor het volgen van nieuwe kwetsbaarheden in de kernel, een patch- en kwetsbaarhedendatabase bouwer, server voor het opslaan van metadata, een kernel build-dispatchersysteem, een kernel compiler, een patchgenerator, een patcharchief, een client voor het ontvangen van patches voor eindhosts en een interactieve interface voor het beheren van de formatie van live-patches.
De ontwikkeling bevindt zich in de fase van een experimenteel prototype. Voor de initiĆ«le tests zijn voorgesteld: tuxtape-cve-parser voor het analyseren van informatie over kwetsbaarheden en het opbouwen van een database met patches; tuxtape-server met de implementatie van een gRPC-interface voor diensten die patches genereren; tuxtape-kernel-builder voor het bouwen van de kernel in de opgegeven configuratie en het creĆ«ren van een buildprofiel; tuxtape-dashboard ā een console-interface voor het beoordelen en creĆ«ren van live-patches op basis van oorspronkelijke patches verkregen uit tuxtape-server.
Bron: opennet.ru
