第42章 セキュリティー向上のため、kstack の ランダム化オフセットを有効にする

カーネルスタック (kstack) ランダム化オフセットセキュリティー機能は、システムコールごとにカーネルスタックの位置をランダム化します。これにより、攻撃者がカーネルの脆弱性を悪用することを防ぐことができます。

kstack の ランダム化にサイクルカウンターを使用する他のアーキテクチャーとは異なり、信頼性に欠ける可能性があるこの方法とは対照的に、64 ビット ARM (aarch64) はカーネルの乱数生成器 (RNG) を使用します。このアプローチが好まれる理由はいくつかあります。

カーネル乱数生成器は一般的に堅牢なソリューションですが、特にリアルタイム (RT) ワークロードにおいては、著しいレイテンシーの急増を引き起こす可能性があります。その結果、aarch64 リアルタイムカーネルでは、kstack の ランダム化オフセット機能はデフォルトで無効になっています。しかし、この決定にはトレードオフが伴う。カーネルのセキュリティーがわずかに低下するのだ。