Fedora 46: Shadow Stack включат по умолчанию для защиты от ROP-атак

Отложенный, но утвержденный стандарт безопасности

Комитет FESCo официально одобрил предложение по активации поддержки x86_64 Shadow Stack по умолчанию. Изначально планировалось внедрить эту функцию в релиз Fedora 45, однако решение было перенесено на Fedora 46, который ожидается весной следующего года. Это изменение направлено на повышение безопасности системных приложений и библиотек.

Как работает технология и почему это важно

Shadow Stack — это механизм защиты, использующий аппаратные возможности современных процессоров Intel и AMD. Он предназначен для предотвращения атак типа Return-Oriented Programming (ROP), которые часто используются для выполнения произвольного кода через переполнение буфера. Технология работает автоматически: динамический линковщик или процедуры начальной загрузки активируют Shadow Stack для любого процесса, если его бинарный файл и все зависимости собраны с поддержкой этой функции.

Технические детали реализации

Защита будет применяться к приложениям и библиотекам, скомпилированным с использованием следующих инструментов:

• GCC
• LLVM Clang
• Rustc

Ключевым условием активации является то, что все зависимости процесса (shared libraries) также должны быть собраны с поддержкой Shadow Stack. Это обеспечивает сквозную защиту цепочки выполнения.

Причины задержки: NVIDIA и Python

Главная причина переноса фичи с Fedora 45 на 46 — необходимость обеспечения совместимости с проприетарными драйверами NVIDIA и сборками Python. Разработчики должны решить проблемы с совместимостью драйверов NVIDIA и Python-колес (PyPi wheels) до релиза, чтобы избежать критических сбоев в работе популярных приложений. Без этого шага массовое включение защиты могло бы сделать многие пользовательские программы неработоспособными.

Итоговая таблица параметров

Источник: Phoronix ↗