「Debian Projectのサーバが不正侵入される」記事へのコメント

そろそろカーネルも…

[Flanker (22257)]

稼動中に入れ替える技術を検討しないといけない時期に来ているのかもしれませんね。 結局のところこの手の進入騒ぎって

稼働率の高いサーバの為カーネルアップグレードが遅れている
↓
ローカルアカウントを奪取してカーネルの脆弱性を利用してroot権限奪取

という感じで進入されるケースが多いように思います。 ハードウェアは二重化するわけなので、カーネルも二重化して片方ずつ入れ替える？
＃実装が凄く難しそうな気がする orz

--
腐乱化…もといFlanker

ライブパッチ

[shibata (21055)]

つっ

一方、「Pannus」プロジェクトでは、"Live Patching"を実現するソフトウェアを開発している。一般的に、ソフトウェアのアップデートを行う「パッチ」は、ソースコードに対して適用する「ソースパッチ」、実行ファイルを直接更新する「バイナリパッチ」があるが、どちらも現在起動中のプログラムを更新することはできない。つまり、更新されたプログラムは、再度起動してメモリにロードし直さなければ修正が有効にならない。サービスの停止が許されないキャリアグレードでは、プロセスを無停止のままパッチを適用できなければならない。 Pannusはメインコードの先頭にjmpアセンブラ命令を上書きし、関数の実行時に修正された新たな関数へ制御を切り替える。これにより、実行中のプロセスを関数単位で修正済み関数へ置き換えることが可能になるということだ。シングルプロセッサ、単一プロセスに対するLive Patchは既にほぼ実現できており、今後はSMP環境やマルチスレッドプロセスへの対応等を行っていくという。

引用元 [mycom.co.jp] Pannus [sourceforge.net]