Kees Cook, voormalig hoofd-systeembeheerder van kernel.org en leider van het Ubuntu Security Team, nu werkzaam bij Google aan de beveiliging van Android en ChromeOS, heeft een set patches gepubliceerd voor de implementatie van staprandomisatie bij systeemaanroepen. De patches verhogen de beveiliging van de kernel door de locatie van de stack te wijzigen, wat aanvallen op de stack aanzienlijk moeilijker en minder succesvol maakt. De eerste implementatie ondersteunt ARM64- en x86/x86_64-processoren.
Het oorspronkelijke idee voor de patch komt van het PaX RANDKSTACK-project. In 2019 probeerde Elena Reshetova, een ingenieur van Intel, een bruikbare implementatie van dit idee te maken voor opname in de hoofdversie van de Linux-kernel. Later nam Kees Cook het initiatief over en presenteerde hij een implementatie die geschikt was voor de hoofdversie van de kernel. De patches worden verwacht in release 5.13. De modus is standaard uitgeschakeld. Voor inschakeling zijn de kernelcommandoregelparameter 'randomize_kstack_offset=on/off' en de instelling CONFIG_RANDOMIZE_KSTACK_OFFSET_DEFAULT voorgesteld. De overhead bij het inschakelen van de modus wordt geschat op ongeveer 1% prestatieverlies.
De kern van de voorgestelde bescherming is het kiezen van een willekeurig offset voor de stack bij elke systeemaanroep, wat het bepalen van de lay-out van de stack in het geheugen bemoeilijkt, zelfs als men gegevens over de adressen heeft, omdat het basisadres van de stack bij de volgende systeemaanroep zal veranderen. In tegenstelling tot de implementatie van PaX RANDKSTACK, wordt in de patches die voor opname in de kernel zijn voorgesteld, de randomisatie niet in de beginfase (cpu_current_top_of_stack) uitgevoerd, maar na het instellen van de pt_regs-structuur, wat het gebruik van ptrace-gebaseerde methoden om het gerandomiseerde offset in een langlopende systeemaanroep te bepalen, onmogelijk maakt.
Bron: opennet.ru
