Poisťovňa GEICO zverejnila predbežnú verziu nástroja TuxTape, ktorý umožňuje vytvoriť vlastnú infraštruktúru na vytváranie, zostavovanie a dodávanie live-patchov pre jadro Linux. Live-patchy umožňujú aplikovanie opráv na jadro Linux za behu, bez reštartu a zastavenia systému. Kód projektu je napísaný v jazyku Rust a je distribuovaný pod licenciou Apache 2.0.
Live-patchy na odstraňovanie zraniteľností poskytujú pre svoje distribúcie také spoločnosti ako Red Hat, Oracle, Canonical a SUSE, no otvorený je len ich nízkoúrovňový nástroj na prácu s patchmi, zatiaľ čo samotné patche sú vytvárané za zatvorenými dverami. Distribúcie Gentoo a Debian sa pokúsili vyvinúť otvorené projekty elivepatch a linux-livepatching, no prvý je už 6 rokov opustený a druhý sa zastavil na fáze vytvárania testovacieho prototypu.
TuxTape je zameraný na organizáciu práce vlastného systému na vytváranie a dodávanie live-patchov, nezávislého od tretích dodávateľov a prispôsobiteľného pre všetky jadra Linux, nielen pre balíky so špecifickými jadrami distribúcií. TuxTape môže vytvárať live-patchy kompatibilné s nástrojom kpatch vyvinutým spoločnosťou Red Hat (okrem kpatch existujú podobné nástroje: kGraft od SUSE, Ksplice od Oracle a univerzálny livepatch). Patche sú vytvárané vo forme načítateľných modulov jadra, ktoré nahrádzajú funkcie v jadre, pričom používajú subsystém ftrace na presmerovanie na nové funkcie zahrnuté v module.
TuxTape môže sledovať informácie o opravách zraniteľností v jadre Linux, publikované na mailing liste linux-cve-announce a v Git-repozitári, triediť zraniteľnosti podľa stupňa nebezpečenstva, určovať aplikovateľnosť na spravované jadra Linux a generovať live-patchy na základe bežných patchov k LTS-vetvám jadra. Aplikovateľnosť pôvodných patchov sa hodnotí prostredníctvom profilovania zostáv jadra. Patche so zraniteľnosťami, ktoré sa netýkajú cieľového jadra, sú ignorované.
TuxTape obsahuje systém na sledovanie nových zraniteľností v jadre, tvorcu databázy patchov a zraniteľností, server na ukladanie metadát, systém riadenia zostavy jadra, zostavovač jadra, generátor záplath, archív záplat, klient na získavanie záplat pre koncové hosty a interaktívne rozhranie na správu live-záplat.
Vývoj je v štádiu experimentálneho prototypu. Na počiatočné testovanie sú navrhnuté: tuxtape-cve-parser na analýzu informácií o zraniteľnostiach a na vytvorenie databázy so záplatami; tuxtape-server s implementáciou rozhrania gRPC pre služby generujúce záplaty; tuxtape-kernel-builder na zostavenie jadra v stanovenej konfigurácii a na vytvorenie profilu zostavenia; tuxtape-dashboard — konzolové rozhranie na recenzovanie a vytváranie live-záplat na základe zdrojových záplat získaných z tuxtape-server.
Zdroj: opennet.ru
