io_uring：Linux 7.0 解决的 100 万美元安全问题

每次程序读取文件、发送网络数据或写入磁盘时，它都会通过所谓的"系统调用"请求内核的许可。这些调用是安全的，但速度较慢，就像每次需要去登机口都要经过安检一样。

io_uring 是一条快速通道，可以绕过大部分安全检查点。问题在于，黑客发现这条快速通道没有安装监控摄像头，Google 因此损失了 100 万美元的漏洞赏金。

io_uring 是任何操作系统中速度最快的 I/O 接口之一，但它也是一场安全噩梦。

2022 年，Google 60% 的漏洞奖励都给了 io_uring 漏洞利用。Google 为 io_uring 漏洞支付了大约 100 万美元的赏金，并在 Chrome OS 上完全禁用了 io_uring。

核心问题：io_uring 绕过了传统的系统调用，这意味着 seccomp（标准的安全过滤器）无法触及它。这就好比有一个严密监控的前门，和一个完全没有监控的后门。

Linux 内核 7.0 为 io_uring 操作增加了基于 BPF 的过滤功能，系统管理员现在可以对 io_uring 应用细粒度的安全策略，而无需完全禁用它。

这样，你既能获得高性能，又能拥有安全控制。这个修复来得太迟了，但对于容器和云工作负载来说，值得等待。

本文发表于 0001-01-01，最后修改于 0001-01-01。

本站永久域名「 jiavvc.top 」，也可搜索「极客油画」找到我。