ਸਿਸਟਮ ਕਾਲਾਂ ਲਈ ਲੀਨਕਸ ਕਰਨਲ ਸਟੈਕ ਐਡਰੈੱਸ ਨੂੰ ਰੈਂਡਮਾਈਜ਼ ਕਰਨ ਲਈ ਪੇਸ਼ ਕੀਤੇ ਗਏ ਪੈਚ

Kees Cook, kernel.org ਦੇ ਸਾਬਕਾ ਮੁੱਖ ਸਿਸਟਮ ਪ੍ਰਸ਼ਾਸਕ ਅਤੇ Ubuntu ਸੁਰੱਖਿਆ ਟੀਮ ਦੇ ਆਗੂ, ਜੋ ਹੁਣ Android ਅਤੇ ChromeOS ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ 'ਤੇ Google 'ਤੇ ਕੰਮ ਕਰ ਰਹੇ ਹਨ, ਨੇ ਸਿਸਟਮ ਕਾਲਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਨ ਵੇਲੇ ਕਰਨਲ ਸਟੈਕ ਵਿੱਚ ਔਫਸੈਟਾਂ ਨੂੰ ਬੇਤਰਤੀਬ ਕਰਨ ਲਈ ਪੈਚਾਂ ਦਾ ਇੱਕ ਸੈੱਟ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ ਹੈ। ਪੈਚ ਸਟੈਕ ਪਲੇਸਮੈਂਟ ਨੂੰ ਬਦਲ ਕੇ ਕਰਨਲ ਸੁਰੱਖਿਆ ਨੂੰ ਬਿਹਤਰ ਬਣਾਉਂਦੇ ਹਨ, ਸਟੈਕ 'ਤੇ ਹਮਲੇ ਵਧੇਰੇ ਮੁਸ਼ਕਲ ਅਤੇ ਘੱਟ ਸਫਲ ਬਣਾਉਂਦੇ ਹਨ। ਸ਼ੁਰੂਆਤੀ ਲਾਗੂਕਰਨ ARM64 ਅਤੇ x86/x86_64 ਪ੍ਰੋਸੈਸਰਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ।

ਪੈਚ ਲਈ ਮੂਲ ਵਿਚਾਰ PaX RANDKSTACK ਪ੍ਰੋਜੈਕਟ ਨਾਲ ਸਬੰਧਤ ਹੈ। 2019 ਵਿੱਚ, ਇੰਟੇਲ ਦੀ ਇੱਕ ਇੰਜੀਨੀਅਰ ਏਲੇਨਾ ਰੇਸ਼ੇਤੋਵਾ ਨੇ ਮੁੱਖ ਲੀਨਕਸ ਕਰਨਲ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰਨ ਲਈ ਢੁਕਵੇਂ ਇਸ ਵਿਚਾਰ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ। ਬਾਅਦ ਵਿੱਚ, ਕੀਸ ਕੁੱਕ ਦੁਆਰਾ ਪਹਿਲਕਦਮੀ ਕੀਤੀ ਗਈ, ਜਿਸ ਨੇ ਕਰਨਲ ਦੇ ਮੁੱਖ ਸੰਸਕਰਣ ਲਈ ਢੁਕਵਾਂ ਇੱਕ ਅਮਲ ਪੇਸ਼ ਕੀਤਾ। ਪੈਚਾਂ ਨੂੰ 5.13 ਰੀਲੀਜ਼ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਸ਼ਾਮਲ ਕਰਨ ਦੀ ਯੋਜਨਾ ਹੈ। ਮੋਡ ਮੂਲ ਰੂਪ ਵਿੱਚ ਅਸਮਰੱਥ ਹੋ ਜਾਵੇਗਾ। ਇਸਨੂੰ ਯੋਗ ਕਰਨ ਲਈ, ਕਰਨਲ ਕਮਾਂਡ ਲਾਈਨ ਪੈਰਾਮੀਟਰ “randomize_kstack_offset=on/off” ਅਤੇ CONFIG_RANDOMIZE_KSTACK_OFFSET_DEFAULT ਸੈਟਿੰਗ ਪ੍ਰਸਤਾਵਿਤ ਹਨ। ਮੋਡ ਨੂੰ ਸਮਰੱਥ ਕਰਨ ਦੇ ਓਵਰਹੈੱਡ ਦਾ ਅਨੁਮਾਨ ਲਗਭਗ 1% ਪ੍ਰਦਰਸ਼ਨ ਨੁਕਸਾਨ ਹੈ।

ਪ੍ਰਸਤਾਵਿਤ ਸੁਰੱਖਿਆ ਦਾ ਸਾਰ ਹਰੇਕ ਸਿਸਟਮ ਕਾਲ ਲਈ ਇੱਕ ਬੇਤਰਤੀਬ ਸਟੈਕ ਆਫਸੈੱਟ ਚੁਣਨਾ ਹੈ, ਜੋ ਕਿ ਐਡਰੈੱਸ ਡੇਟਾ ਪ੍ਰਾਪਤ ਕਰਨ ਤੋਂ ਬਾਅਦ ਵੀ, ਮੈਮੋਰੀ ਵਿੱਚ ਸਟੈਕ ਲੇਆਉਟ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨਾ ਮੁਸ਼ਕਲ ਬਣਾਉਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਅਗਲੀ ਸਿਸਟਮ ਕਾਲ ਸਟੈਕ ਦਾ ਅਧਾਰ ਪਤਾ ਬਦਲ ਦੇਵੇਗੀ। PaX RANDKSTACK ਲਾਗੂ ਕਰਨ ਦੇ ਉਲਟ, ਕਰਨਲ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰਨ ਲਈ ਪ੍ਰਸਤਾਵਿਤ ਪੈਚਾਂ ਵਿੱਚ, ਰੈਂਡਮਾਈਜ਼ੇਸ਼ਨ ਸ਼ੁਰੂਆਤੀ ਪੜਾਅ (cpu_current_top_of_stack) 'ਤੇ ਨਹੀਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਪਰ pt_regs ਢਾਂਚੇ ਨੂੰ ਸੈੱਟ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਜੋ ਕਿ ਬੇਤਰਤੀਬੇ ਆਫਸੈੱਟ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ptrace- ਅਧਾਰਿਤ ਢੰਗਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਅਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ। ਲੰਬੇ ਸਮੇਂ ਤੋਂ ਚੱਲ ਰਹੀ ਸਿਸਟਮ ਕਾਲ ਦੌਰਾਨ।

ਸਰੋਤ: opennet.ru