{"id":181666,"date":"2026-05-22T18:25:08","date_gmt":"2026-05-22T16:25:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti"},"modified":"2026-05-22T18:25:08","modified_gmt":"2026-05-22T16:25:08","slug":"iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","title":{"rendered":"In Linux wordt de zero-copy van AF_ALG verwijderd om veiligheidsredenen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In het Linux-cryptografie subsysteem wordt de ondersteuning verwijderd zero-copy<\/strong> uit de interface AF_ALG<\/strong> voor algoritmetypen SKCIPHER<\/strong> en AEAD<\/strong>. De wijziging is al opgenomen in de cryptodev-branch en wordt verwacht te worden verzonden in het samenvoegvenster Linux 7.2<\/strong>, dat in juni moet openen. De aanleiding zijn de toenemende zorgen over de veiligheid van zero-copy-mechanismen in de kernel, vooral na recente kwetsbaarheden in de cryptografische code van Linux.<\/p>\n

<\/p>\n

AF_ALG<\/strong> is gebruikersinterface<\/a> naar de cryptografische API van de Linux-kernel. Via deze interface kunnen programma's toegang krijgen tot implementaties van encryptie, hashes en AEAD-algoritmen in de kernel als sockets. De Linux-documentatie beschrijft apart voor AF_ALG de zero-copy-modus via splice() en vmsplice(), waarbij de kernel probeert onnodig kopi\u00ebren van gegevens naar de kernelgeheugen te vermijden.<\/p>\n

<\/noindex><\/noindex><\/p>\n

<\/p>\n

Het probleem is dat deze prestatiewinst in het geval van AF_ALG niet zo belangrijk bleek te zijn, terwijl de risico's te groot zijn. De auteur van de wijziging, de ontwikkelaar van de cryptografische subsysteem van Linux, Eric Biggers van Google, vermeldde<\/a>, dat zero-copy het gebruikersruimte mogelijk maakt om cryptografische operaties rechtstreeks op de pagina's van de page cache van bestanden uit te voeren, zoals de binaire su, en ook omstandigheden cre\u00ebert voor TOCTOU-kwetsbaarheden, waarbij het geheugen gelijktijdig kan worden gewijzigd met de bewerking erop.<\/p>\n

<\/noindex><\/p>\n

Met andere woorden, een mechanisme dat nuttig is voor netwerk- of bestandinvoer\/output, lijkt te veel een gevaarlijke optimalisatie te zijn in AF_ALG. AF_ALG zelf wordt nu voornamelijk behouden voor de achterwaartse compatibiliteit met een klein aantal programma's, zoals iwd, die nog niet zijn overgeschakeld naar cryptografie in de gebruikersruimte. Aanvankelijk was AF_ALG bedoeld voor toegang tot hardware cryptosnellingsversnellers, maar bleek in de praktijk niet de meest effectieve interface voor deze taak.<\/p>\n

Belangrijk is dat het niet gaat om een volledige verwijdering van splice() of sendfile() voor AF_ALG. De wijziging wordt beschreven als een \"zachte breuk\" in de compatibiliteit: het doorgeven van gegevens in AF_ALG-verzoeken via splice() en sendfile() blijft werken, maar de kernel zal nu een interne stabiele kopie van de gegevens maken voorafgaand aan de cryptografische operatie. De prestatie kan in sommige gevallen afnemen, maar de gebruikers-API wordt formeel niet gebroken.<\/p>\n

Daarnaast wordt benadrukt dat zero-copy voorlopig wordt verwijderd uit skcipher<\/strong> en aead<\/strong>. Ondersteuning voor het type hash<\/strong> zal afzonderlijk worden overwogen.<\/p>\n

<\/p>\n

De context van de wijziging is ongewenst. Eind april werd een kwetsbaarheid onthuld Kopie fout<\/a><\/strong> (CVE-2026-31431<\/strong>) in algif_aead, dat wil zeggen precies in de gebruikerscryptointerface AF_ALG. Onderzoekers toonden aan dat de combinatie van AF_ALG, splice() en de kenmerken van AEAD-verwerking een niet-geprivilegieerde gebruiker in staat stelde om de page cache te beschadigen, inclusief pagina's die overeenkomen met setuid-binaries, en verhoogde privileges tot root te verkrijgen.<\/p>\n

<\/noindex>
\n<\/p>\n

Het verschijnen Kopie fout<\/a> was gerelateerd aan de optimalisatie van 2017, die AEAD-operaties op 'in-place' verwerking overbracht; bij het verzenden van een bestand via splice() in AF_ALG werkte de kernel niet met een kopie, maar met verwijzingen naar pagina's in de page cache. Als gevolg hiervan konden delen van gegevens die alleen als invoer werden beschouwd, terechtkomen in de schrijvende scatterlist.<\/p>\n

<\/noindex><\/p>\n

Het verwijderen van zero-copy uit AF_ALG is geen eenmalige oplossing voor slechts \u00e9\u00e9n kwetsbaarheid. Het is eerder een poging om een hele klasse risicovolle scenario's uit de nauwelijks gebruikte UAPI te verwijderen, waar de winst van optimalisatie de complexiteit en potenti\u00eble gevolgen niet rechtvaardigt. Voor gewone gebruikers zal de wijziging waarschijnlijk onopgemerkt blijven; voor zeldzame programma's die AF_ALG actief gebruiken via splice() of sendfile() kan er prestatieverlies optreden door extra kopie\u00ebn.<\/p>\n

Bron: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0438 Linux \u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 zero-copy \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 AF_ALG \u0434\u043b\u044f \u0442\u0438\u043f\u043e\u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u0432 SKCIPHER \u0438 AEAD. \u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0443\u0436\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0434\u0435\u0440\u0435\u0432\u0435 cryptodev \u0438 \u043e\u0436\u0438\u0434\u0430\u0435\u0442\u0441\u044f \u043a \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0435 \u0432 \u043e\u043a\u043d\u043e \u0441\u043b\u0438\u044f\u043d\u0438\u044f Linux 7.2, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044c\u0441\u044f \u0432 \u0438\u044e\u043d\u0435. \u041f\u043e\u0432\u043e\u0434\u043e\u043c \u0441\u0442\u0430\u043b\u0438 \u0440\u0430\u0441\u0442\u0443\u0449\u0438\u0435 \u043e\u043f\u0430\u0441\u0435\u043d\u0438\u044f \u0432\u043e\u043a\u0440\u0443\u0433 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 zero-copy-\u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u043e\u0432 \u0432 \u044f\u0434\u0440\u0435, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u043d\u0435\u0434\u0430\u0432\u043d\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u043a\u043e\u0434\u0435 Linux. AF_ALG […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-181666","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Zero-copy wordt uit AF_ALG in Linux verwijderd om veiligheidsredenen | ProHoster","description":"In de Linux-cryptografie subsystem wordt gewerkt aan het verwijderen van de ondersteuning voor zero-copy uit de AF_ALG-interface voor SKCIPHER en AEAD algoritme types.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/news\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u0437 AF_ALG \u0432 Linux \u0443\u0431\u0438\u0440\u0430\u044e\u0442 zero-copy \u0438\u0437 \u0441\u043e\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 | ProHoster","og:description":"\u0412 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0438 Linux \u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 zero-copy \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 AF_ALG \u0434\u043b\u044f \u0442\u0438\u043f\u043e\u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u0432 SKCIPHER \u0438 AEAD.","og:url":"https:\/\/prohoster.info\/nl\/blog\/news\/iz-af_alg-v-linux-ubirayut-zero-copy-iz-soobrazhenij-bezopasnosti","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-22T16:25:08+00:00","article:modified_time":"2026-05-22T16:25:08+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/181666","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=181666"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/181666\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=181666"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=181666"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=181666"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}