Kernel: Vorschau auf Linux 5.4 bringt viele Security-Funktionen

Die kommende Linux-Kernel-Version 5.4 wird neben den Lockdown-Patches auch eine bessere Integritätsprüfung des Kernels bekommen. Linux-Chef-Torvalds kümmert sich selbst um mehr Entropie und die Community sorgt wie üblich für eine Vielzahl Treiber-Updates.

Artikel veröffentlicht am , kki/
Mit Linux 5.4-rc1 stehen die Funktionen der kommenden Version fest.
Mit Linux 5.4-rc1 stehen die Funktionen der kommenden Version fest. (Bild: Brian Gratwicke, flickr.com/CC-BY 2.0)

Mit der Veröffentlichung von Linux 5.4-rc1 hat Chefentwickler Torvalds die Funktionen der kommenden Version festgelegt. Als "bemerkenswerte" Neuerung erwähnt Torvalds die Lockdown-Patches, die, wie von vielen Kernel-Entwicklern gewünscht, nun nicht mehr nur von UEFI-Secure-Boot abhängen. Die Lockdown-Patches stammen von Matthew Garrett, David Howells und weiteren Entwicklern.

Inhalt:
  1. Kernel: Vorschau auf Linux 5.4 bringt viele Security-Funktionen
  2. Verbesserungen für Devicemapper und Grafik

Sie sollen "die Grenze zwischen PID 0 und dem Kernel stärken" und sperren, falls aktiviert, den Zugang zu verschiedenen Kernel-Features. Die Patches für Kernel 5.4 setzen den Lockdown als Linux-Security-Modul um. Damit lässt sich der Lockdown über ein Regelwerk, einen "locked_down"-LSM-Hook und den Kommandozeilenparameter "lockdown" steuern. Auf ein implizites Regelwerk im Code können die Entwickler so verzichten.

Ebenfalls zum Thema Sicherheit tragen Patches für die Integrity Measurement Architecture (IMA) von Mimi Zohar bei. Diese misst und bewertet nun auch angehängte Datei-Signaturen. Sowohl das Kexec-Kernelimage als auch das Initramfs dürfen solche angehängten Signaturen verwenden. Damit die Verifizierung im Rahmen des vorhandenen IMA-Frameworks gelingt, mussten die Entwickler den für angehängte Signaturen zuständigen Verifizierungscode mehrfach überarbeiten. Diese Arbeiten würden aber auch den Weg für andere Verifizierungsmethoden freimachen, etwa per "fs-verity". Letzteres stammt von Google und liefert eine Authentifizierung einzelner Dateien auf Basis von Hashwerten. Google nutzt das System für Android.

Entropie von Anfang an

Eine für Linux 5.3 geplante Verbesserung am IO-Code für das Dateisystem Ext4 musste Torvalds kurz vor der Veröffentlichung zurücknehmen, weil der Kernel damit zur Bootzeit zu wenig Entropie erzeugte, was eine Userspace-Anwendungen viel zu lange blockiert und damit den eigentlichen Systemstart verzögert hatte.

Stellenmarkt
  1. Product Owner Online-Dienste (w/m/d)
    Dataport, verschiedene Standorte
  2. IT-Systemadministrator - Microsoft Windows Server Administration - Multi Cloud Managed Service ... (m/w/d)
    SVA System Vertrieb Alexander GmbH, Wiesbaden, Köln
Detailsuche

Es folgte eine lange Diskussion der Kernel-Entwickler, wie genau mit dem Fehler umgegangen werden soll und ob das Verhalten des Kernels in diesem Punkt geändert werden sollte oder nicht. Einen möglichen Ausweg aus dieser Diskussion hat nun Torvalds selbst präsentiert.

Über den CPU-Cycle-Counter, den die meisten Architekturen mitbringen, soll Linux künftig schon zu Beginn von selbst ausreichend Entropie erzeugen, die der Userspace dann verwenden kann. Das soll die Probleme mit dem Blockieren der Anwendungen beheben. Auf Grund der vorhergehenden Diskussionen ist aber noch nicht ganz klar, ob die Funktion so tatsächlich bestehen bleibt. Dank der neuen Entropie-Quellen hat Torvalds nun aber auch die zuvor noch entfernte Verbesserung am IO-Code für Ext4 wieder eingepflegt.

Zusätzlich dazu ist der Debugging-Helfer um Ext4 ergänzt worden, was es dem Userspace ermöglicht, Informationen über den Status des Extent-Status-Cache zu erhalten. Ebenso haben die Entwickler ein Workaround für den Umgang mit Daten vor 1970 entfernt. Einerseits kümmern sich schon länger Kernel und E2fsck um das Problem. Andererseits datieren auch nur wenige Dateien so weit zurück. Das Dateisystem F2FS übernimmt derweil die Verbesserungen an der Groß- und Kleinschreibung, die Ext4 kürzlich eingeführt hat.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Verbesserungen für Devicemapper und Grafik 
  1. 1
  2. 2
  3.  


Aktuell auf der Startseite von Golem.de
Streit mit Magnus Carlsen
Schachgroßmeister Niemann soll über 100 Mal betrogen haben

Schachweltmeister Magnus Carlsen wirft dem Großmeister Hans Niemann Betrug vor - eine neue Untersuchung stärkt die Vorwürfe.

Streit mit Magnus Carlsen: Schachgroßmeister Niemann soll über 100 Mal betrogen haben
Artikel
  1. Airpods Pro 2 im Test: Apple schaltet Lärm und Konkurrenz aus
    Airpods Pro 2 im Test
    Apple schaltet Lärm und Konkurrenz aus

    Mit sinnvollen Änderungen sind die Airpods Pro 2 das Beste, was es derzeit an ANC-Hörstöpseln gibt. Aber Apples kundenfeindliche Borniertheit nervt.
    Ein Test von Ingo Pakalski

  2. Vodafone und Telekom: Zwei Netzbetreiber melden Datenrekord auf Oktoberfest
    Vodafone und Telekom
    Zwei Netzbetreiber melden Datenrekord auf Oktoberfest

    Die Telekom liegt beim Datenvolumen klar vor Vodafone. Es gab in diesem Jahr besonders viel Roaming durch ausländische Netze.

  3. Dr. Mike Eissele: Es kann immer wieder technologische Revolutionen geben
    Dr. Mike Eissele
    "Es kann immer wieder technologische Revolutionen geben"

    Chefs von Devs Teamviewer-CTO Dr. Mike Eissele gibt einen tiefen Einblick, wie man sich auf eine Arbeitswelt ohne Bildschirme vorbereitet.
    Ein Interview von Daniel Ziegener

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Günstig wie nie: Inno3D RTX 3090 Ti 1.199€, MSI B550 Mainboard 118,10€, LG OLED 48" 799€, Samsung QLED TVs 2022 (u. a. 65" 899€, 55" 657€) • Alternate (Acer Gaming-Monitore) • MindStar (G-Skill DDR4-3600 16GB 88€, Intel Core i5 2.90 Ghz 99€) • 3 Spiele für 49€ [Werbung]
    •  /