Kernel: Vorschau auf Linux 5.4 bringt viele Security-Funktionen

Die kommende Linux-Kernel-Version 5.4 wird neben den Lockdown-Patches auch eine bessere Integritätsprüfung des Kernels bekommen. Linux-Chef-Torvalds kümmert sich selbst um mehr Entropie und die Community sorgt wie üblich für eine Vielzahl Treiber-Updates.

Artikel veröffentlicht am , kki/
Mit Linux 5.4-rc1 stehen die Funktionen der kommenden Version fest.
Mit Linux 5.4-rc1 stehen die Funktionen der kommenden Version fest. (Bild: Brian Gratwicke, flickr.com/CC-BY 2.0)

Mit der Veröffentlichung von Linux 5.4-rc1 hat Chefentwickler Torvalds die Funktionen der kommenden Version festgelegt. Als "bemerkenswerte" Neuerung erwähnt Torvalds die Lockdown-Patches, die, wie von vielen Kernel-Entwicklern gewünscht, nun nicht mehr nur von UEFI-Secure-Boot abhängen. Die Lockdown-Patches stammen von Matthew Garrett, David Howells und weiteren Entwicklern.

Inhalt:
  1. Kernel: Vorschau auf Linux 5.4 bringt viele Security-Funktionen
  2. Verbesserungen für Devicemapper und Grafik

Sie sollen "die Grenze zwischen PID 0 und dem Kernel stärken" und sperren, falls aktiviert, den Zugang zu verschiedenen Kernel-Features. Die Patches für Kernel 5.4 setzen den Lockdown als Linux-Security-Modul um. Damit lässt sich der Lockdown über ein Regelwerk, einen "locked_down"-LSM-Hook und den Kommandozeilenparameter "lockdown" steuern. Auf ein implizites Regelwerk im Code können die Entwickler so verzichten.

Ebenfalls zum Thema Sicherheit tragen Patches für die Integrity Measurement Architecture (IMA) von Mimi Zohar bei. Diese misst und bewertet nun auch angehängte Datei-Signaturen. Sowohl das Kexec-Kernelimage als auch das Initramfs dürfen solche angehängten Signaturen verwenden. Damit die Verifizierung im Rahmen des vorhandenen IMA-Frameworks gelingt, mussten die Entwickler den für angehängte Signaturen zuständigen Verifizierungscode mehrfach überarbeiten. Diese Arbeiten würden aber auch den Weg für andere Verifizierungsmethoden freimachen, etwa per "fs-verity". Letzteres stammt von Google und liefert eine Authentifizierung einzelner Dateien auf Basis von Hashwerten. Google nutzt das System für Android.

Entropie von Anfang an

Eine für Linux 5.3 geplante Verbesserung am IO-Code für das Dateisystem Ext4 musste Torvalds kurz vor der Veröffentlichung zurücknehmen, weil der Kernel damit zur Bootzeit zu wenig Entropie erzeugte, was eine Userspace-Anwendungen viel zu lange blockiert und damit den eigentlichen Systemstart verzögert hatte.

Stellenmarkt
  1. Sachbearbeiterin / Sachbearbeiter (w/m/d) im Referat SZ 33 Zertifizierung von Netzwerkkomponenten ... (m/w/d)
    Bundesamt für Sicherheit in der Informationstechnik, Freital bei Dresden
  2. Gesamtkoordinator (m/w/d) Data & Dataprocess Management
    BEKO TECHNOLOGIES GMBH, Neuss
Detailsuche

Es folgte eine lange Diskussion der Kernel-Entwickler, wie genau mit dem Fehler umgegangen werden soll und ob das Verhalten des Kernels in diesem Punkt geändert werden sollte oder nicht. Einen möglichen Ausweg aus dieser Diskussion hat nun Torvalds selbst präsentiert.

Über den CPU-Cycle-Counter, den die meisten Architekturen mitbringen, soll Linux künftig schon zu Beginn von selbst ausreichend Entropie erzeugen, die der Userspace dann verwenden kann. Das soll die Probleme mit dem Blockieren der Anwendungen beheben. Auf Grund der vorhergehenden Diskussionen ist aber noch nicht ganz klar, ob die Funktion so tatsächlich bestehen bleibt. Dank der neuen Entropie-Quellen hat Torvalds nun aber auch die zuvor noch entfernte Verbesserung am IO-Code für Ext4 wieder eingepflegt.

Zusätzlich dazu ist der Debugging-Helfer um Ext4 ergänzt worden, was es dem Userspace ermöglicht, Informationen über den Status des Extent-Status-Cache zu erhalten. Ebenso haben die Entwickler ein Workaround für den Umgang mit Daten vor 1970 entfernt. Einerseits kümmern sich schon länger Kernel und E2fsck um das Problem. Andererseits datieren auch nur wenige Dateien so weit zurück. Das Dateisystem F2FS übernimmt derweil die Verbesserungen an der Groß- und Kleinschreibung, die Ext4 kürzlich eingeführt hat.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Verbesserungen für Devicemapper und Grafik 
  1. 1
  2. 2
  3.  


Aktuell auf der Startseite von Golem.de
Pixel 6 und 6 Pro im Test
Google hat es endlich geschafft

Das Pixel 6 und Pixel 6 Pro werden endlich Googles Rang als Android-Macher gerecht: Die Smartphones bieten starke Hardware und sinnvolle Software.
Ein Test von Tobias Költzsch

Pixel 6 und 6 Pro im Test: Google hat es endlich geschafft
Artikel
  1. Apple-Software-Updates: iOS 15.1, iPadOS 15.1, WatchOS 8.1 und TVOS 15.1 verfügbar
    Apple-Software-Updates
    iOS 15.1, iPadOS 15.1, WatchOS 8.1 und TVOS 15.1 verfügbar

    Die ersten größeren Aktualisierungen für iPhone, iPad, Apple Watch und Apple TV sind da. Wer das iPhone 13 verwendet, profitiert besonders.

  2. Desktop-Betriebssystem: Apple MacOS Monterey mit neuem Safari und Fokus-Funktion
    Desktop-Betriebssystem
    Apple MacOS Monterey mit neuem Safari und Fokus-Funktion

    Apple hat die finale Version seines Mac-Betriebssystems MacOS Monterey veröffentlicht. Dabei sind ein neuer Safari-Browser und eine Konzentrationsfunktion.

  3. 20 Jahre Windows XP: Der letzte XP-Fan
    20 Jahre Windows XP
    Der letzte XP-Fan

    Windows XP wird 20 Jahre alt - und nur wenige nutzen es noch täglich. Golem.de hat einen dieser Anwender besucht.
    Ein Interview von Martin Wolf

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Bosch Professional günstiger • Punkte sammeln bei MM für Club-Mitglieder: 1.000 Punkte geschenkt • Alternate (u. a. Apacer 1TB SATA 86,90€ & Team Group 1TB PCIe 4.0 159,90€) • Echo Show 8 (1. Gen.) 64,99€ • Halloween Sale bei Gamesplanet • Smart Home von Eufy günstiger [Werbung]
    •  /