Aktualizacje bezpieczeństwa dla jądra Linux bez potrzeby restartowania systemu
Jeff Arnold z MIT wysłał na LKML wiadomość “A system for rebootless kernel security updates” w której poinformował o powstaniu mechanizmu Ksplice pozwalającego na nałożenie na działające jądro łatki poprawiającej błąd związany z bezpieczeństwem bez potrzeby restartowania całego systemu.
Mechanizm Ksplice jest przydatny wszędzie tam, gdzie od systemu wymagane jest nieprzerwane działanie a może być wystawiony na atak włamywacza. Zasada działania Ksplice w uproszczeniu wygląda mniej więcej tak: należy dostarczyć źródła uruchomionego jądra oraz łatkę poprawiającą błąd w bezpieczeństwie – następnie kompilowane są dwa jądra wraz z modułami, dzięki analizie zmian jakie wprowadziła łatka jest generowana binarna poprawka dla funkcji narażonej na atak. Ksplice zatrzymuje na chwilę działanie systemu, podmienia odpowiednią funkcję w pamięci na nową wersję i wznawia działanie systemu.
Niestety ten mechanizm nie sprawdza się w 100% przypadków – jest skuteczny tylko wtedy, gdy poprawka zmienia kod a nie struktury danych. Mimo tej wady, jak policzył Jeff, można za jego pomocą uodpornić jądro na dużą część problemów związanych z bezpieczeństwem jakie są znajdowane. Zostało przebadanych 50 problemów związanych z bezpieczeństwem Linuksa na architekturach x86_{32,64} znalezionych od maja 2005 roku do grudnia 2007 i na tej podstawie stwierdzono, że 84% z udostępnionych poprawek można zaaplikować na działające jądro bez konieczności restartowania całego systemu.
Repozytorium znajduje się pod adresem http://web.mit.edu/ksplice/ksplice.git
Poniżej linki do kodu źródłowego oraz binarek
http://web.mit.edu/ksplice/dist/ksplice-src.tar.gz
http://web.mit.edu/ksplice/dist/ksplice-bin-i386.tar.gz
http://web.mit.edu/ksplice/dist/ksplice-bin-x86_64.tar.gz
myślę że mógłbyś się przyjrzeć windowsowi xp 😉 poza instalacją sterowników trzeba (dla świętego spokoju) zresetować komputer. poza tą sytuacją to są to bardzo rzadkie przypadki 😉
Każda instalacja czegokolwiek kończyła się "zrestartuj komputer". Nie mówiąc już, że po instalacji uaktualnień restartuje sam… Napisałeś magisterke, wychodzisz coś zjeść, wracasz a tam nic nie ma :]
i znowu mijasz sie z prawda. Windows po instalacji poprawek nie restartuje sie sam chyba, ze to tak skonfigurujesz. Mozesz to skonfigurowac mniej wiecej tak:
– informuj o dostepnych poprawkach
– informuj i automatycznie sciagnij
– informuj, automatycznie sciagnij i zainstaluj w okreslonym dniu (np, kazda sobota), poinformuj o potrzebie restartu.
– wszysto co powyzej plus automatyczny restart bez pytania.
Poza tym nie eszystkie poprawki potrzebuja restartu.
@Ku8a: zgadza się, choć praca ze ściągniętymi łatami na Windows XP jest denerwująca – nie możesz jej szybko dokończyć bo co chwila system prosi o restart. Ponadto specjalny kreator zaleca włączenie wszystkiego z automatu – łącznie z restartem, takie ustawienia skutkują tym iż 90% zwykłych userów tak to ustawia, a potem płaczą bo pracy sobie nie zapisali. Linux nie domaga się na siłę restartu. Mac OS X przy próbie restartu (nawet ręcznego), wtedy gdy jakiś program wyświetli dialoga z pytaniem czy zapisać plik i nie chce się zamknąć, przerwie zamykanie systemu. Jak zwykle spaścić musieli tylko w Windows … mogą bo są monopolistami i tak 95% ludzi ich kupi. W Linuksie możesz praktycznie każdy sprzęt zainstalować bez restartu, a jak widać z artykułu teraz można nawet spaczować jądro w runtime.
—
Akurat w praktyce Windows wypada najgorzej na tle wymszania restartów i nie ma co go bronić. Oczywiście MS powoli coś z tym robi, ale robił by szybciej gdyby nie był monopolistą.
Konieczność restartów jest denerwująca z innego powodu. Niektóre aktualizacje załączają się, gdy wyłączamy system i nie wiem, jak to wyłączyć. Zwłaszcza denerwujące dla właścicieli laptopów.
@mario: ja nie bronie Windowsa tylko mowie jak jest. Jesli ktos (z obojetnie jakich powodow) mowi nieprawde to staram sie to wyjasnic. Windows ma swoje wady, ale wymyslanie jakis nieistniejacych bzdur to robienie ludziom wody z mozgu, ze zacytuje klasykow krytyki Microsoftu;-) Mnie samego irytuje sytuacja kiedy pierwszy komentarz do artykulu o Linuxowym mechanizmie kslice dotyczy tego jak bedziewny jest Windows.. skoro juz jednak kogos bardziej interesuja niedorobki Windowsa to niech chociaz pisze prawde, a nie za pomoca zupelnie nieprawdziwych informacji probuje z Windy zrobic jakis przedpotopowy system, ktorym nie jest:
"Hotpatching
Hotpatching, also known as “in-memory patching,” is designed to reduce server downtime when you install updates onto computers that are running 32-bit versions of Windows Server 2003 with Service Pack 1 (SP1). The goal is to enable the installation of software updates without having to restart your servers."
Co do Twojego komentarza o wymuszaniu przez Windowsa restartu na sile…"Re-Prompt for restart with scheduled installations: Specifies the amount of time for Automatic Updates to wait before prompting again with a scheduled restart" Ustaw sobie jak chcesz i masz spokoj.
Masz rację, ale daruj sobie zbędny trud. Większość 'linuksiażuff' o Windows wie mniej, niż przeciętny użytkownik tego systemu. Co nie przeszkadza im w komentowaniu i wyśmiewaniu systemu, użytkowników.
To chyba ty nie masz pojęcia o windozie, bo pamiętam, że po instalacji sterowników się restartował np. xp. Zwykle nawet nie raczył spytać, czy mu wolno…
To nieprawada co piszesz o instalacji programow. A jesli chodzi o mechanizm 'nakladania latki poprawiajacej blad zwiazany z bezpieczenstwem bez potrzeby…' to widzialem juz cos podobnego dawno temu w Determina VPS na Windowsy.
trzeba jednak przyznać, że windows wymaga częściej restartów niż Linux, chociażby ze względu na semantykę blokowania plików. Co mnie bardzo wkurza zwłaszcza po update'ach Win 2003 Server.
Zamiast siać FUD sprawdź jak to jest naprawdę. Nie pamietam już programu który by wywoływał restart systemu po instalacji w xp. Dawno temu owszem bywało. Teraz to rzadkość.
Właściwie wszystkie pakiety ochronne potrzebują restartu (antywirusy, firewalle etc), znakomita część sterowników (zwłaszcza do kart graficznych). większość "zwykłych" programów już restartowania nie potrzebuje.
Ha, właśnie mi się przypominało jak mi w pracy Internet Explorer sam wymusił restart z jakiegoś kretyńskiego powodu. O ile pamiętam wchodziłem sobie do jednego z serwisów internetowych, i na twarz dostałem informację że Internet Explorer musi zainstalować nowszą wersję bodajże VBA aby umożliwić poprawne wyświetlanie strony. Zero zapytania czy ja na pewno chcę obejrzeć tę stronę, czy mam czas na zrestartowanie komputera, czy nie robię czegoś ważnego na komputerze. Nic, tylko okienko z jednym przyciskiem OK. Nacisnełem oczywiście krzyżyk zamykający okienko, co w najmniejszym stopniu nie powstrzymało programu przed przymusowym restartem całego komputera. Choć znałem wcześniej sporo nieczystych zagrywek chłopaków z Redmond, to jednak w tym przypadku pamiętam że jeszcze 10 minut siedziałem z rozdziawioną gębą nie mogąc uwierzyć w szczyt debilizmu w wykonaniu małomiękkich.
Szczerze mówiąc troszkę mnie to bawi :], bo nawet na Amidze można było zainstalować sterowniki, i inne ważne dla jądra systemu elementy bez potrzeby tych śmiesznych resetów :]
Takie sprawy jak włączanie i wyłączanie cache procesora dla przykładu :]
Zmiana trybów graficznych, a nawet praca na kilku jednocześnie ekranach :]
Dziwi mnie tak wolny rozwój tego wszystkiego :], ale staram się nie marudzić, w końcu mam to za darmo, co mam wybrzydzać 😀
Czekam na HURD, aby zobaczyć, jak ten sobie poradzi :], szczególnie interesuje mnie Debian/HURD.
http://www.debian.org/ports/hurd/
Nie wiem czy wiesz, ale w Linuksie też da się zainstalować sterowniki bez restartu – odpowiedzią są moduły. Kod w modułach możesz wymieniać bez potrzeby restartu systemu. Ksplice potrafi wymienić kod działającego jądra.
"Dziwi mnie tak wolny rozwój tego wszystkiego :]"
Ehmmm… sprawdzałeś diffstaty pomiędzy wersjami Linuksa? Jeśli to nazywasz wolnym rozwojem, to chciałbym zobaczyć to, co nazywasz szybkim rozwojem.
Patrzac na diffstaty widzisz _zmiany_, nie _rozwoj_. Jesli system rozwija sie metoda '100 krokow do przodu, 99 krokow do tylu' – a tak jest w przypadku Linuksa – to diffstatow jest faktycznie masa. Popatrz zamiast tego, jak zmienia sie rzeczywista funkcjonalnosc. W takim na przyklad Solarisie, mimo wielokrotnie mniejszej ilosci zmian liczonej liniami kodu, funkcjonalnosci przybywa szybciej i dystans miedzy tymi dwoma systemami caly czas sie powieksza.
Nie czytam wszystkich newsów, a komentarze przeważnie tylko pod tym co sam napiszę (staram się czytać wszystkie), więc nie znam tutejszej trollowej fauny. Ale trasza zdążyłem już zapamiętać 😉
@optimizationkit: To proste – wystarczy popatrzec na ilosc zmian, i porownac to ze zmiana funkcjonalnosci. Zmiany funkcjonalnosci sa niewielkie, ilosc zmian – potezna.
A ja dalej mam Amisię (600, żeby była jasność, może nienajlepsza, ale jest)… 🙂 Wprawdzie siedzi większość czasu w szafie, ale okazyjnie ją odpalam żeby pograć w coś fajnego ;-).
Jeśli chodzi o hurda to obawiam się, że możemy nie dożyć 😉
Jeśli chodzi o restarty to najbardziej podobała mi się mina kolegi który nie mógł pojąc jak odinstalowałem Fx pół godziny temu, i teraz kompiluje nową wersję, skoro on wyłączył Fx niecałe 30 sekund temu i teraz nie może włączyć bo go nie ma.
Śmieszne jest to co napisałeś. Powodzenia z hurd, może za 10 lat obsłuży połowę sprzętu twojego komputera. Mnie za to bawi takie idiotyczne podejście do tematu.
Coś mi mówi że w >2.6.24 zostało "zrobione coś" co pozwala na wiele rzeczy bez restartu. Cyba pogrzebię bardziej szczegółowo po changelogach żeby się upewnić…
Nie bardzo kapuje po co te wszystkie karkolomne
manipulacje, rekompilacja dwoch drzew, analiza
roznic binarek a i tak skutecznosc nie gwarantowana
skoro mozna sobie dokompilowac i zaladowac modul
z poprawiona funkcja (tez nie zawsze dziala).
1. Nie wszystko jest w modułach.
2. Nawet jeżeli chodzi o moduły – jak chcesz podmienić __działający__ moduł?! W chwili obecnej musisz moduł odładowac i załadować na nowo.
Nie zrekompilujesz modułu, jeśli błąd jest np. w VFS. Możesz sobie co najwyżej całe jądro przekompilować i przeładować (tylko że przeładowanie jądra == restart ;-)).
Tak, ale i tak musisz wszystkie usługi od nowa odpalić.
"Some machines have BIOSes that are either extremely slow to reboot,
or that cannot reliably perform a reboot. In which case kexec
may be the only alternative to reboot in a reliable and timely manner."
To jest to samo co reboot tylko krócej. A tu mowa o poprawianiu bez przeładowania kernela i odpalania wszystkiego od zera.
Ale to nie Ty będziesz robić te karkołomne manipulacje, a ten kto zajmuje się kernelem danej dystrybucji. Ty dostaniesz tylko jakiś pakiet do update'u.
Faktycznie "należy dostarczyć źródła uruchomionego jądra" czy
ja dobrze rozumiem, wymaga sie ode mnie jedynie wyslania
kilkudziesieciu megabajtow zrodel? Czy moze wystarczy sam .config
i gorace modly o to, zeby wersje kompilatora, bibliotek
i reszty srodowiska moje i tego ktosia byly jak najbardziej
zbiezne?.. Faktycznie, latwiza.
Źle rozumiesz. Źródła posiada ten kto zarządza dystrybucją! Ty jako użytkownik optymalnie dostaniesz jakiś formularz do kliknięcia czy akceptujesz poprawkę czy nie i ona się uruchomi.
Zrozumcie, że ten cały system nie jest przeznaczony dla użytkownika końcowego! Ilu z was musiało kompilować własnego kernela, żeby cieszyć się Linuksem? Tak jak kompilacja jądra nie jest dla szarych zjadaczy, tak i ten system budowania aktualizacji nie jest. Jako analogię można zastosować patche, które wychodzą do gier. Czy instalując patcha do NeverWinter Nights trzeba posiadać źródła całej gry? 🙂
Chyba przesadzasz troszkę z kompilacją własnego kernela. To prosta sprawa i każdy użytkownik np. Gentoo jest na nią skazany. Kernel wydaje się straszny i skomplikowany jedynie z perspektywy użytkownika pakietowego systemu, w którym jest dystrybucyjne jajko zrobione przez developerów.
Z punktu widzenia kompilacji trudniej jest stworzyć działające Iksy i OOo, niż jajko 😉
> To stwierdzenie mogloby sie znalezc w newsie, oraz
> stwierdzenie, ze mechanizm ten ma jakas racje bytu
> gdy uzywa sie waniliowego kernela.
A co za różnica jakiego kernela? Kernel nie musi być waniliowy, ważne żeby ktoś miał nad daną wersją kontrolę np. ludzie paczkujący Ubuntu.
Ręczna zabawa wchodzi w grę jedynie gdy sobie sam kompilujesz jądro.
(co jak ktoś wyżej zwrócił uwagę nie jest jakieś specjalne trudne, ale większość osób to nie powinno dotyczyć)
> Generalnie, to binarne patche raczej ze swiatem closed
> source mi sie kojarza, ale widze, ze i linuch windowsieje,
> znaczy sie, normalnieje.
No tak. W końcu z 10 najpopularnijszych dystrybucji ile nie jest opartych na binarnych pakietach?
Z distro watch:
1 Ubuntu – binarne!
2 PCLinuxOS – binarne!
3 openSUSE – binarne!
4 Fedora – binarne!
5 Mint – binarne!
6 Mandriva – binarne!
7 Sabayon – mieszane? Oparte na Gentoo, ale z binarnymi paczkami.
8 Debian – binarne!
9 Damn Small – binarne!
10 FreeBSD – nieLinux, ale raczej mieszane. 🙂
Wniosek: Większość osób nie interesują patche na kod źródłowy, więc równie dobrze mogłyby wychodzić binarne odpowiedniki, bez potrzeby ściagania całej paczki od nowa. W przypadku kernela mamy teraz dodatkowy pretekst, bo taki binarny patch pozwala na ominięcie niechcianego restartu systemu.
> No tak. W końcu z 10 najpopularnijszych dystrybucji ile nie > jest opartych na binarnych pakietach?
Dziekuje za oswiecenie. Jednoczesnie przypominam, ze uzylem
slowa patch a nie pakiet.
> Wniosek: Większość osób nie interesują patche na kod
> źródłowy, więc równie dobrze mogłyby wychodzić binarne
> odpowiedniki, bez potrzeby ściagania całej paczki od nowa.
Brawo! To wlasnie mialem na mysli piszac o normalnieniu
linucha. W zasadzie to nawet nie obrazilbym sie gdyby
pojawily sie binarne patche na poszczegolne pakiety,
co by oszczedzilo mi i pasmo i czas sciagania.
> W przypadku kernela mamy teraz dodatkowy pretekst, bo taki
> binarny patch pozwala na ominięcie niechcianego restartu
> systemu.
O, a tu juz poprawnie uzyles slowa patch a nie pakiet 🙂
"W zasadzie to nawet nie obrazilbym sie gdyby
pojawily sie binarne patche na poszczegolne pakiety,
co by oszczedzilo mi i pasmo i czas sciagania."
W Fedorze to się nazywa presto – jest w użyciu już od wersji 7 (albo 6) o ile dobrze pamiętam, ale nie ma jeszcze oficjalnego wsparcia z powodu braku integracji z systemem budowania pakietów. Możliwe, że w F10 będzie już włączone.
Nie wpłynie to na bezpieczeństwo? W kernelu wprowadzono, że parę rzeczy jest umieszczanych pod losowym adresem. Wszystko dla bezpieczeństwa. Teraz wystarczyłoby zaaplikować specjalnego patcha na działającego kernela i mamy zainstalowany rootkit. Oczywiście, że trzeba uzyskać na to odpowiednie prawa, a normalny amin raczej sprawdzi do czego jest ta łatka. Zresztą, nie wpływa to na bezpieczeństwo znacząco, bo i tak bo uruchomieniu maszyny, może ona wystartować z nowym jajkiem. Co o tym myślicie?
Myslimy, ze rootkity i tak od dawna tak sie wpieprzaly
w dzialajacy kernel.
A normalny admin nie da rady zweryfikowac patcha
w postaci zrodel nie wspominajac o patchu binarnym.
Do Ku8a:
Kolega nie kłamie. Ostatnie aktualizacje WindowsXP, któe ustawione były na "Informuj, ale nie ściągaj i nie instaluj" skończyły się restartem. "coś" się poprzestawiało i ściągnął i zainstalował i zrestartował…
To "coś" to aktualizacja poprzednia, która ustawienia automatycznych aktualizacji postawiłą w stan domyślny bez informowania mnie o tym…
XP to akurat pół biedy (jednak to system amatorski do zabawy na desktopy) ale co ja mam powiedzieć gdy muszę restartować serwery na windows 2003 server na których działają krytyczne aplikacje?
Tak, poszukaj sobie testu DNS. Pierwsze miejsce Gentoo, drugie Fedora (oba na kernelach poniżej 2.6.23!!), trzecie miejsce freebsd 7, ale dość daleko za Linuksami. Najniżej jest xp, trochę lepiej wypada win2003 (tylko jakąś 1/10 lepiej…). Solaris za freebsd, a openbsd najgorzej ze wszystkich (poza windowsami oczywiście).
This page appears to get a great deal of visitors. How do you promote it? It gives a nice unique twist on things. I guess having something real or substantial to say is the most important thing.
You made some valid points in this post. I’ve done a lot of searching on the topic and think many people will agree with your article. Thanks, Pendleton Fire Departments
Thanks for the tips shared using your blog. Yet another thing I would like to mention is that fat loss is not exactly about going on a fad diet and trying to reduce as much weight that you can in a set period of time. The most effective way to shed weight is by acquiring it little by little and using some basic ideas which can make it easier to make the most from a attempt to lose fat. You may recognize and be following a few of these tips, although reinforcing information never damages.
Howdy just wanted to give you a quick heads up. The text in your content seem to be running off the screen in Internet explorer. I’m not sure if this is a formatting issue or something to do with browser compatibility but I thought I’d post to let you know. The design and style look great though! Hope you get the problem solved soon. Thanks
While I tend to agree with the post I sincerely believe that car insurance has become too complex for the average car insurance policy holder. Just like any important purchase however you must perform due diligence and research the insurance companies before you purchase.
This is absolutely a excellent article. My only issue is I am experiencing an issue with your RSS feed . For some reason I am unable to subscribe to it. Is there anybody have an identical RSS issue? If somebody else is having a similar issue please contact me Swigart1202@gmail.com.
I loved as much as you’ll receive carried out right here. The sketch is tasteful, your authored material stylish. nonetheless, you command get got an impatience over that you wish be delivering the following. unwell unquestionably come further formerly again as exactly the same nearly very often inside case you shield this increase.
Once I initially commented I clicked the -Notify me when new feedback are added- checkbox and now each time a remark is added I get four emails with the same comment. Is there any approach you’ll be able to remove me from that service? Thanks!
A recent development inside Wii homebrew scene provides enabled the capability to help extract these virtual console games as. WAD files and thanks to some software, install them onto other Wii consoles without going through the Wii shop channel and without paying.
Excellent journal! I really like how it is smooth on my eyes and also the information are well scripted. I am wondering how I might be informed whenever a newborn mail has been successful. I have signed to your rss feed which must perform the trick! By!
This web site is known as a walk-through for those the information it suited you about it and also do not realize of which to ask. Peek right, and that you will unquestionably find this.
This web site is often a walk-through you discover the internet you wanted in regards to this combined with did not be familiar with what individuals to question. View on this site, and you will then clearly locate the application.
Highly rated post. I learn something totally new on different blogs everyday. Deciding on one . stimulating to learn the paper content material from other writers and study just a little something from their website. I’d like to use sure of this content material on my blog you’re mind. Natually I’ll give a hyperlink here we’re at your web-site. Admire your sharing.
Great site you have here but I was wanting to know if you knew of any forums that cover the same topics talked about in this article? I’d really love to be a part of group where I can get responses from other experienced individuals that share the same interest. If you have any recommendations, please let me know. Kudos! coach outlet online
Great site here. Lots of blogs like yours cover subjects that just aren’t covered by magazines. I don’t know how we got by 10 years ago with just magazines and newspapers.
I’m also writing to make you be aware of of the awesome discovery my friend’s child experienced reading through your webblog. She discovered such a lot of things, not to mention what it’s like to have a very effective giving mindset to let men and women just thoroughly grasp various multifaceted topics. You undoubtedly exceeded our own expected results. Many thanks for producing the precious, trustworthy, educational and in addition cool tips about your topic to Sandra.
I would like to express some appreciation to you for bailing me out of such a situation. After scouting through the search engines and seeing solutions which were not beneficial, I figured my entire life was over. Existing minus the approaches to the issues you have solved by way of your entire blog post is a critical case, and ones that might have negatively affected my career if I hadn’t encountered your web page. Your main natural talent and kindness in taking care of a lot of things was very helpful. I am not sure what I would have done if I had not discovered such a stuff like this. It’s possible to at this moment relish my future. Thanks a lot so much for the skilled and result oriented help. I won’t hesitate to recommend your site to anyone who should have guidance on this matter.
I¡¯m delighted that I have noticed this weblog. Lastly anything not a junk, which we undergo extremely frequently. The web site is lovingly serviced and stored up to date. So it should be, thank you for sharing this with us.
You ought to really think about working on creating this blog into a significant authority in this market. You evidently have a grasp handle of the matters everyone is trying to find on this website anyways and you could certainly even earn a buck or two off of some advertisements. I might discover following current topics and elevating the quantity of write ups you put up and I guarantee you’d start seeing some amazing focused visitors within the close to future. Only a thought, good luck in no matter you do!
How do you fancy becoming your own boss, picking your personal working hours and meeting new persons each and every day? Would you like to make beneficial cash and have the satisfaction of helping men and women discover a thing new? It is easy to see why countless folks from every walk of life desire to be a driving instructor.
I tried to apply at a french company but they said that the value of the house really needs to be more than 100 thousand euros to get a none french resident to apply for.
This one is an inspiration personally to uncover out much more related to this subject. I must confess your knowledge extended my sentiments in addition to I am going to proper now take your feed to remain updated on each coming blog posts you would possibly probably create. You are worthy of thanks for a job perfectly performed!
Having just been looking for useful blog posts for the research project I’ve been working on when I happened to find yours. Thanks for this useful content! — Erma Valdez
I was wondering if you will be enthusiastic about becoming a guest poster on my website? In exchange you could set a link to your blog? Please reply whenever you get a chance and I am going to send you my MSN – thanks.
This is actually a fabulous amazingly really helpful browse through in my opinion, Really have to disclose you might be One out of the top the blogosphere Document ever before seen.Nice offering this enlightening piece of content.
I really like your blog.. very nice colors & theme. Did you make this website yourself or did you hire someone to do it for you? Plz reply as I’m looking to design my own blog and would like to know where u got this from. appreciate it Also, please check out my page http://photos.avirontoulonnais.com/index.php?showimage=24
Dodaj komentarz