Fedora Linux 45 для включения защиты теневого стека по умолчанию в 64-разрядной версии

Shadow Stack прокладывает путь для разработчиков Fedora к включению косвенного отслеживания переходов (IBT) в будущей версии.

В грядущем дистрибутиве Fedora Linux 45 может быть включена защита Shadow Stack по умолчанию для всех приложений и библиотек x86_64, созданных с помощью GCC, Clang и Rust.

Shadow Stack — это аппаратная функция безопасности, предназначенная для предотвращения атак с перехватом потока управления, в том числе атак с использованием Return-Oriented Programming (ROP) или Jump-Oriented Programming (JOP). Это защитит большинство бинарных файлов Fedora, но незначительно снизит производительность.

Если Shadow Stack включен по умолчанию в Fedora Linux, динамический компоновщик или статические процедуры запуска автоматически активируют его для любого процесса, чьи бинарные зависимости и зависимости от разделяемых библиотек собраны с поддержкой Shadow Stack (например, помечены метаданными ELF), обеспечивая защиту процессов, когда это возможно.

Включение Shadow Stack также дает разработчикам Fedora возможность в будущем выпуске включить отслеживание косвенных ветвей (Indirect Branch Tracking, IBT), которое обеспечит полную защиту с помощью технологии контроля потока управления (Control-Flow Enforcement Technology, CET) вместе с реализацией Shadow Stack.

Разумеется, это будет работать только на компьютерах с архитектурой x86_64 (amd64), поддерживающих Shadow Stack. Это изменение незаметно, и все приложения, зависимости которых имеют разметку Shadow Stack, автоматически получат защиту при включении Shadow Stack в Fedora Linux 45.

Выход Fedora Linux 45 ожидается в конце октября или начале ноября этого года. В новой версии будет множество изменений, в том числе использование oo7 в качестве поставщика Secrets Service по умолчанию, поддержка установки Fedora на файловые системы Stratis, поддержка метаданных пакетов PURL (Package-URL) и полностью воспроизводимые сборки пакетов.

В Fedora Linux 45 также будет модернизирован live-образ: мы перейдем на «новые» скрипты настройки live-среды, предоставляемые livesys-scripts, и воспользуемся новой функциональностью dracut для поддержки автоматического включения постоянных оверлеев при записи ISO-образов на USB-накопители.

Среди других примечательных изменений в Fedora Linux 45 — поддержка по умолчанию в NetworkManager сетей, использующих преимущественно протокол IPv6, веб-приложение для функции Fedora DRM Panic, поддержка mkosi-initrd в качестве альтернативного сборщика для initrds, а также поддержка PAM для утилит chpasswd и newusers.