Confira !!
No ano passado, com a Intel, "Tiger Lake" foi a introdução da Control-Flow Enforcement Technology (CET) para ajudar a evitar ataques orientados para retorno / salto e, como parte da CET, é o suporte de hardware Indirect Branch Tracking (IBT). Houve uma série de patches trabalhando para implementar o suporte IBT da CET, mas depois de passar por 30 rodadas de revisão e não ter sido mesclado, uma nova versão foi enviada hoje.
Durante meses, trabalhou-se no suporte ao recurso Indirect Branch Tracking da Intel Control-Flow Enforcement Technology no kernel do Linux. A revisão mais recente que conheço são os patches v30 enviados em agosto passado. Mas esses patches nunca foram mesclados, nem mesmo quaisquer comentários da lista de discussão do kernel do Linux para essa revisão.
Com o trabalho atual da Intel CET / IBT parecendo ter estagnado sem ser corrigido, Peter Zijlstra da Intel postou uma nova e diferente série de patch IBT. No entanto, esta nova série está em uma fase de "solicitação de comentários" e ainda nem foi testada em processadores mais novos com hardware IBT.
O código está incompleto nesta nova tomada, mas adiciona a opção de compilação X86_IBT, habilita o suporte "-fcf-protection = branch" para o compilador e tem as alterações de objtool e outros trabalhos para adicionar a instrução ENDBR para possíveis alvos de ramificação indireta. Os pontos de entrada do kernel têm a instrução ENDBR "end branch" adicionada.
Esta nova série de patch IBT do kernel do Linux pode ser encontrada na lista de discussão do kernel . Desta vez, veremos se isso será transformado em algo que, no final das contas, será desenvolvido.
Até a próxima !!
Nenhum comentário:
Postar um comentário