Suse arbeitet an Live-Patching-Technik für den Linux-Kernel
Über das für März angekündigte kGraft sollen sich Sicherheitslücken im Linux-Kernel beheben lassen, ohne das System neu starten zu müssen.
Suse arbeitet an einem kGraft genannten Framework, über die sich Linux-Kernel zur Laufzeit verändern lassen. Über solches Live-Patching können Sicherheitslücken des Linux-Kernels behoben werden, ohne das System neu starten zu müssen. Das von Suse-Entwickler Vojtěch Pavlík angekündigte kGraft ist derzeit aber noch ein einfacher und unpolierter Prototyp, den die Entwickler im März veröffentlichen wollen.
Ein Live-Patching des Linux-Kernels gelingt schon seit knapp sechs Jahren mit Ksplice. Die kernel-seitige Unterstützung für Ksplice hat es aber nie in den offiziellen Linux-Kernel geschafft. Nachdem Oracle die Firma hinter Ksplice 2011 übernommen hat, kam die Wartung der Open-Source-Werkzeuge zum Erliegen, die Ksplice-taugliche Live-Patches erzeugen und in den Kernel einpflanzen. Letztlich gelingt Live-Patching mit Ksplice daher dieser Tage nur mehr mit dem Ksplice Upstrack genannten Angebot von Oracle. Dies wird für Linux-Distributionen von Suse nicht angeboten; für Red Hat Enterprise Linux (RHEL) ist die Offerte kostenpflichtig.
Auch kGraft soll aus zwei Teilen bestehen. Die Userland-Werkzeuge zum Live-Patching will Suse unter der GPLv3 veröffentlichen. Die kernel-seitige Unterstützung soll unter GPLv2 stehen. Anders als bei Ksplice lassen sich mit ihr nur komplette Funktionsaufrufe des Kernels austauschen, was die Möglichkeiten laut Pavlík aber nicht sonderlich einschränke. Diesen Ansatz haben die Entwickler bewusst gewählt, um das Codedesign einfach zu halten und auf einige Techniken des offiziellen Kernels zurückgreifen zu können, die in den letzten Jahren entstanden sind. Die Entwickler streben eine Integration in den Hauptentwicklungszweig von Linux an; wenn das gelingt, dürfte sich die Technik mit beliebigen Distributionen nutzen lassen. (thl)
