Support technique
Documentation
Connexion
Nous contacter
Les nouvelles fonctionnalités du noyau Linux qui devraient vous intéresser
Joao Correia
4 juillet 2023 - Évangéliste technique
Voici quelques-unes des caractéristiques relatives à la sécurité qui font leur apparition dans les versions récentes (et même encore à l'essai) du noyau Linux. Elles sont destinées à accroître la sécurité inhérente des systèmes Linux de base (lire : sans réglage spécial de la sécurité) et seront sans aucun doute utilisées pour mettre en œuvre de nouvelles façons d'effectuer des tâches et des processus existants.
Examinons quelques-unes des plus remarquables, en nous concentrant sur leurs implications pour la sécurité des systèmes.
Technologie d'application du contrôle des flux (CET) Pile d'ombre
L'une des prochaines fonctionnalités du noyau Linux est la technologie d'application du flux de contrôle (CET). Pile d'ombre. Il s'agit d'une pile secondaire qui valide la pile d'appels réelle, ce qui permet de détecter toute modification malveillante potentielle.
La pile d'ombre utilise le matériel pour fournir sa fonctionnalité et assurer la sécurité - le processeur est responsable de la maintenance de la pile d'ombre directement, et il n'est pas possible de la modifier à partir du code de l'utilisateur. Récemment, Intel a soumis une série de correctifs pour étendre la prise en charge de la pile d'ombre à ses dernières familles de processeurs. Les correctifs sont suffisamment génériques pour prendre en charge le matériel d'autres fournisseurs, comme AMD, sur l'architecture x64.
Le principal avantage de Shadow Stack est sa capacité à détecter les attaques qui s'appuient sur la programmation orientée retour (ROP), c'est-à-dire les attaques qui abusent du retour de fonctions spécifiques vers des fonctions appelantes. En tant que telle, cette fonctionnalité renforcera la sécurité des systèmes contre ce type de menace qui existe depuis plus d'une décennie.
Cependant, la pile Shadow a rencontré des problèmes de dernière minute, ce qui signifie que son inclusion dans le noyau principal est probablement retardée à partir de la version 6.4. Une fois ces problèmes résolus, les logiciels qui manipulent la pile ou les pointeurs de fonction devront probablement être adaptés pour fonctionner dans les versions plus récentes du noyau qui prennent en charge la pile d'ombres.
Durcissement IO_uring
IO_uring est une interface Linux haute performance utilisée pour les opérations d'E/S asynchrones. Malgré ses améliorations significatives dans les opérations liées aux E/S, Google a trouvé (et montré) que IO_uring souffre de "graves vulnérabilités". En conséquence, Google a interdit son utilisation sur les serveurs de production, Chrome OS et d'autres produits jusqu'à ce qu'une méthode appropriée de mise en bac à sable soit trouvée.
Une fois qu'une solution aura été trouvée, elle aura probablement un impact important sur le noyau, en améliorant la sécurité des opérations d'E/S dans l'ensemble du système. Étant donné que IO_uring est largement adopté pour ses avantages en termes de performances, toute modification de la sécurité sera ressentie dans de multiples charges de travail et environnements et pourrait nécessiter un remaniement du code.
Aucune estimation n'a encore été rendue publique quant à la date d'apparition de ce changement de sécurité.
Niveaux de confiance virtuels (VTL) Contexte
Les systèmes Linux déployés sous la plateforme de virtualisation HyperV de Microsoft (présente chez certains fournisseurs de services en nuage, par exemple) ont désormais la possibilité de prendre en charge les " niveaux de confiance virtuels " du " Virtual Secure Mode ".Niveaux de confiance virtuels". Cela permet d'avoir différents niveaux de confiance pour différentes machines virtuelles. Grâce au nouveau paramètre HYPER_VTL_MODE du noyau, il est possible de spécifier le niveau de confiance souhaité pour le système. Cela pourrait être utile pour demander moins de confiance pour les systèmes faisant face à Internet, par exemple, ce qui obligerait l'hyperviseur à resserrer les capacités exposées à ces systèmes invités Linux.
Cette fonctionnalité a été fusionnée et est disponible à partir de la version 6.4 du noyau.
Fonctionnalités de sécurité supplémentaires dans le noyau Linux 6.3
Plusieurs nouvelles fonctionnalités relatives à la sécurité ont été introduites dans le noyau Linux 6.3. Par exemple, le noyau prend désormais en charge la fonction automatique IBRS (Indirect Branch Restricted Speculation) d'AMD pour l'atténuation des effets de Spectre. Cette fonction offre une alternative moins gourmande en performances que l'exécution spéculative retpoline, ce qui rend les anciens processeurs AMD plus sûrs et plus rapides.
Le noyau Linux 6.3 comprend également de nouveaux pilotes de gestion de l'énergie pour les architectures ARM et RISC-V, améliorant ainsi leur sécurité et leurs performances. Pour les systèmes de fichiers, Linux 6.3 apporte la prise en charge du chiffrement basé sur AES-SHA2 pour NFS, ce qui rendra les opérations de fichiers plus sûres.
En outre, le noyau est désormais doté d'un support Linux en mode utilisateur pour le code Rust, un langage à mémoire sécurisée. Il s'agit d'une étape vers l'objectif d'intégrer les premiers modules Rust dans le noyau Linux, ce qui renforcera la sécurité grâce aux propriétés de sécurité de la mémoire de Rust.
Réflexions finales
Ce ne sont là que quelques-uns des changements à venir ou récemment introduits, qui soulignent l'engagement de la communauté Linux à améliorer la sécurité des systèmes tout en maintenant la flexibilité et les performances reconnues du noyau. Ces changements peuvent avoir un impact profond sur les utilisateurs et les développeurs, en améliorant le paysage de la sécurité pour les systèmes Linux dans le monde entier.
