Abo
  • Services:
Anzeige
Linux 4.0 bringt Live-Patching mit.
Linux 4.0 bringt Live-Patching mit. (Bild: Liam Quinn/CC BY-SA 2.0)

Betriebssysteme: Linux 4.0 patcht sich selbst

Linux 4.0 bringt Live-Patching mit.
Linux 4.0 bringt Live-Patching mit. (Bild: Liam Quinn/CC BY-SA 2.0)

Sich selbst im laufenden Betrieb reparieren, das ist ab der jetzt erschienenen Version des Linux-Kernels 4.0 möglich - zumindest rudimentär. Die Funktion ist allerdings noch umstritten. Außerdem gibt es Abhilfe bei Rowhammer-Angriffen.

Mit etwa 9.000 Änderungen sind die Neuerungen in Linux 4.0 vergleichsweise gering, im vergangenen Kernel 3.19 waren es noch 11.400. Mit der Schnittstelle für Suses Kgraft und Red Hats Kpatch lassen sich in Linux 4.0 künftig Reparaturen im laufenden Betrieb ausführen. Das soll Downtimes verhindern. Allerdings ist das Live-Patching noch umstritten. Mit 4.0 statt 3.20 steht hingegen die Versionsnummer der aktuellen Ausgabe des Linux-Kernels fest. Linus Torvalds folgt damit seinem 2011 formulierten Plan, die Kernel-Nummern zu kürzen.

Anzeige

Live-Patching noch nicht ausgereift

Die wohl herausragende Neuerung von Linux 4.0: Es kann ohne nennenswerte Unterbrechungen bestimmte Patches einspielen. Dazu bringt der Kernel ein Framework für Suses Kgraft und Red Hats Kpatch mit, die beide bereits in den jeweiligen angepassten Linux-Kerneln der Distributionen zum Einsatz kommen.

Wie Entwickler Jiri Kosina im Kommentar zum Merge-Commit schreibt, gibt es bislang eine API für die gepatchten Kernel-Module und eine Userspace-API/ABI, um die Patches anzuwenden oder zu deaktivieren. Red Hat und Suse müssen ihre Userspace-Tools noch für den Kernel anpassen, doch einfache Sicherheitspatches lassen sich bereits integrieren.

Umstrittene Konsistenzprüfung

Streit gibt es allerdings um die Konsistenzprüfung beim Live-Patching. Ingo Molnar hat auf der Kernel-Mailingliste die Implementierung und das Design von Kpatch und Kgraft kritisiert. Sie seien "unfreiwillig ein verlängerter Arm des Security-Theaters". Bisher wird die in Kgraft umgesetzte Variante verwendet. Statt wie bei Kpatch das gesamte System anzuhalten, leitet Kgraft jeden einzelnen Prozess vom alten auf den neu gepatchten Kernel-Code um. Um diesen Vorgang zu beschleunigen, wurde wiederum das Stack-Tracing aus Kpatch eingebaut, das Kernel Stack Backtraces verwendet. Denn diese gelten unter einigen Entwicklern als zu unzuverlässig. Es habe in der Vergangenheit dort etliche Fehler gegeben. Noch vorhandene Bugs könnten erst dann auftauchen, wenn ein Live-Patch angewendet werde, argumentiert Molnar.

Molnar will stattdessen eine umfassendere Lösung: Demnach solle der aktuelle Zustand des Systems gespeichert werden. Anschließend könnte der neue Kernel mit Kexec geladen und der gespeicherte Zustand mit diesem wieder gestartet werden. Diese Idee sei nicht neu, schreibt Corbet. Einige Entwickler arbeiten seit längerem an dem Konzept der Seamless Kernel Upgrades. Der Kgraft-Entwickler Vojtech Pavlik argumentiert jedoch, dass ein solch komplexes System noch etwa zehn Jahre brauche, um umgesetzt zu werden.

Wegen der andauernden Diskussion ist es eher unwahrscheinlich, dass ein funktionierendes Konsistenzmodell bereits im nächsten Kernel 4.1 umgesetzt wird. Möglicherweise müssen Nutzer noch bis mindestens bis Ende dieses Jahres warten, bis die Funktion wirklich nutzbar ist.

Rechteeinschränkung gegen Rowhammer-Angriff

Um den jüngst bekanntgewordenen Rowhammer-Angriff unter Linux zu erschweren, haben die Kernel-Hacker die Zugriffsrechte auf die Datei /proc/PID/pagemap eingeschränkt. Künftig darf darauf nur noch mit Root-Rechten zugegriffen werden. Allerdings müsste es möglicherweise später noch eine feinere Zugriffsverwaltung geben, um mögliche Probleme zu verhindern, schreibt Torvalds dazu. Allerdings funktioniert der für den Rowhammer-Angriff veröffentlichte Testcode auch ohne Zugriff auf Pagemap. Immerhin schränkt der Patch die Möglichkeiten eines solchen Angriffs ein und wird von den Kernel-Entwicklern begrüßt.

Verbesserungen in Grafiktreibern, Netzwerk und Dateisystemen 

eye home zur Startseite
IntOverflow 14. Apr 2015

Ähm ich weiß nicht wie du das geschafft hast mit 98 Updates und einmal booten. Vor 2...

tomatentee 13. Apr 2015

Wenn ich die von mir betreuten Server rebooten muss, muss ich das 24h im Vorraus...

elgooG 13. Apr 2015

Leider ist das in der Praxis nicht immer der Fall. Fährt man einen Server herunter, hei...

Beazy 13. Apr 2015

Volle Zustimmung! Wie soll man denn (und das gilt für jedes Problem) die beste Lösung...



Anzeige

Stellenmarkt
  1. über Hays AG, München oder Bad Homburg
  2. Statistisches Bundesamt, Wiesbaden
  3. WITTUR Gruppe, Wiedenzhausen
  4. Fresenius Netcare GmbH, Bad Homburg


Anzeige
Top-Angebote
  1. (u. a. London Has Fallen, The Imitation Game, Lone Survivor, Olympus Has Fallen)
  2. (u. a. Der Hobbit 3, Der Polarexpress, Ice Age, Pan, Life of Pi)
  3. (u. a. 96 Hours Taken 3 6,97€, London Has Fallen 9,97€, Homefront 7,49€, Riddick 7,49€)

Folgen Sie uns
       


  1. 3D Xpoint

    Intels Optane-SSDs erscheinen nicht mehr 2016

  2. Webprogrammierung

    PHP 7.1 erweitert Nullen und das Nichts

  3. VSS Unity

    Virgin Galactic testet neues Raketenflugzeug

  4. Google, Apple und Mailaccounts

    Zwei-Faktor-Authentifizierung richtig nutzen

  5. Piranha Games

    Mechwarrior 5 als Einzelspielertitel angekündigt

  6. BMW Connected Drive

    Dieb wird mit vernetztem Auto gefangen

  7. Helio X23 und Helio X27

    Mediatek taktet seine 10-Kern-SoCs für Smartphones höher

  8. Betrug

    Dating-Plattformen sollen eigene Fake-Profile anlegen

  9. Onlineshopping

    Amazon startet Zwei-Faktor-Authentifizierung in Deutschland

  10. Moto Z

    Lenovo plant mindestens zwölf neue Module pro Jahr



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Digitalcharta: Operation am offenen Herzen der europäischen Demokratie
Digitalcharta
Operation am offenen Herzen der europäischen Demokratie
  1. EU-Kommission Mehrwertsteuer für digitale Medien soll sinken
  2. Vernetzte Geräte Verbraucherminister fordern Datenschutz im Haushalt
  3. Neue Richtlinie EU plant Netzsperren und Staatstrojaner

Garamantis: Vorsicht Vitrine, anfassen erwünscht!
Garamantis
Vorsicht Vitrine, anfassen erwünscht!
  1. Gentechnik Mediziner setzen einem Menschen Crispr-veränderte Zellen ein
  2. Zarm Zehn Sekunden schwerelos
  3. Mikroelektronik Wie eine Vakuumröhre - nur klein, stromsparend und schnell

Spielen mit HDR ausprobiert: In den Farbtopf gefallen
Spielen mit HDR ausprobiert
In den Farbtopf gefallen
  1. Ausgabegeräte Youtube unterstützt Videos mit High Dynamic Range
  2. HDR Wir brauchen bessere Pixel
  3. Andy Ritger Nvidia will HDR-Unterstützung unter Linux

  1. Re: dauert noch

    TechnikusDA | 15:20

  2. Re: Mythen, Märchen und andere Geschichten

    der_wahre_hannes | 15:19

  3. Re: Unbequem: Jeder Anbieter kocht seine eigene Suppe

    Truster | 15:19

  4. Re: Für Paranoiker, einfach eigenes...

    onkel hotte | 15:16

  5. Moto Z Force in Deutschland verfügbar?

    Robin R. | 15:14


  1. 15:00

  2. 14:14

  3. 13:52

  4. 12:01

  5. 11:41

  6. 10:49

  7. 10:33

  8. 10:28


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel