Depuis des années Intel a travaillé sur des correctifs Linux pour prendre en charge leur technologie Control-Flow Enforcement Technology (CET) avec le suivi indirect des branches et la prise en charge de Shadow Stack. Il est en préparation depuis des années et à travers de nombreuses révisions alors qu’ils poursuivent maintenant une nouvelle voie et se concentrent uniquement sur la fonctionnalité de l’espace utilisateur Shadow Stack.
La fonctionnalité de pile fantôme est axée sur la défense contre les attaques de programmation orientée retour (ROP). Le Shadow Stack conserve une copie de chaque CALL et lors d’un retour (RET) vérifiera l’adresse de retour stockée dans la pile normale pour vérifier qu’elle correspond au contenu du Shadow Stack, sinon cela générera une erreur.
La prise en charge d’Intel Shadow Stack est de retour pour Linux.
Intel a pris en charge le retour du CET aux systèmes Tiger Lake avec le suivi indirect des branches dans le cadre de cela pour combattre les attaques JOP/COP aussi. Bien que des correctifs IBT Linux aient été travaillés, à l’avenir, Intel se concentre uniquement sur la prise en charge de l’espace utilisateur Shadow Stack pour être mis en amont pour le noyau Linux principal. C’est le plan au moins à court terme avec les correctifs IBT qui prennent maintenant un siège arrière.
Rick Edgecombe d’Intel a noté dimanche dans une nouvelle série de correctifs :
Il s’agit d’un léger redémarrage de la série CET de l’espace utilisateur. Je vais reprendre la série de Yu-cheng. Conformément à certaines recommandations internes, j’ai réinitialisé le numéro de version et je l’appelle une nouvelle série. Espérons que cela ne crée pas de confusion.
Le nouveau plan est de mettre en amont uniquement le support Shadow Stack de l’espace utilisateur à ce stade. IBT peut suivre plus tard, mais pour l’instant, je vais me concentrer uniquement sur la partie la plus demandée et la plus largement disponible (avec la fonctionnalité sur les processeurs AMD maintenant) de CET.
Nous sommes donc maintenant sur l’ensemble de 35 correctifs proposé pour les shadow-stacks pour espace utilisateur. Non seulement cela se concentre sur l’amélioration de la sécurité avec les processeurs x86_64 modernes, mais Google envisage également d’utiliser des piles fantômes pour améliorer le traçage avec de meilleures performances et fiabilité.
Avec la nouvelle série de correctifs, un nouvel appel système pour l’allocation de la pile fantôme, des modifications pour garantir que les anciens binaires ne se cassent pas, et plus encore. Alors que les derniers processeurs AMD Ryzen de la série 5000 peuvent également prendre en charge les piles fantômes, les correctifs actuels sont spécifiquement limités aux processeurs Intel. Le plan est d’autoriser la prise en charge du processeur AMD pour les piles fantômes de l’espace utilisateur une fois que quelqu’un l’a testé-espérons-le, cela se produira avant la fusion des correctifs.
Nous verrons si cette nouvelle série Shadow Stacks for User-Space est récupérée plus rapidement que la série de correctifs CET précédente.