Vá nóng nhân Linux

Máy chủ > Vá nóng nhân Linux (/server/livepatch, chỉ Super Administrator) cho biết nhân của máy chủ này có nhận được bản vá bảo mật mà không cần khởi động lại hay không, những bản vá nào đã được nạp, và có bản cập nhật nhân nào đã cài nhưng chưa chạy hay không.

Bản vá nóng là mã được nạp vào nhân đang chạy. HiTechCloud không dựng bản vá và không bán dịch vụ bản vá. HiTechCloud đọc trạng thái của chính nhân, bật cơ chế vá nóng mà bản phân phối cung cấp, và gỡ bất kỳ bản vá nào đã nạp.

Bản vá đến từ đâu​

Nếu KernelCare hoặc Ksplice đã được cài, trang không thay đổi gì: hai hệ thống vá nóng không được cùng vá một nhân.

Bản vá nóng không thay thế việc khởi động lại. Có những bản sửa không thể vá nóng, và Red Hat, Canonical chỉ phát hành bản vá cho một số nhân và một số CVE. Việc nạp bất kỳ bản vá nóng nào cũng đánh dấu nhân là đã bị sửa đổi, điều mà bộ phận hỗ trợ của nhà cung cấp có thể xét đến.

Trang hiển thị gì​

• nhân đang chạy, mã bản dựng của nó, nhân có được dựng với hỗ trợ vá nóng và có /sys/kernel/livepatch hay không, Secure Boot, khóa nhân (lockdown), và nhân có bắt buộc chữ ký mô-đun hay không
• các bản vá đã nạp, trạng thái của chúng, và các CVE mà chúng nêu
• thông báo khi nhân đã cài mới hơn nhân đang chạy

Hoàn tác đưa bản vá đã nạp về trạng thái cũ rồi gỡ nó. Thao tác chờ tối đa một phút để nhân chuyển xong. Nếu một tác vụ vẫn đang ở trong hàm được vá, nó dừng lại và báo như vậy; nó không bao giờ ép buộc việc chuyển, và khi đó cách duy nhất là khởi động lại. Mọi thao tác đều hỏi xác nhận, chạy ở chế độ nền và được ghi vào nhật ký hoạt động.

Kiểm tra hằng ngày​

hitechcloud-livepatch.timer chạy mỗi ngày một lần. Khi đã cài một nhân mới hơn nhân đang chạy, nó gửi một thông báo cho quản trị viên (sự kiện kernel.reboot_required, để các kênh có thể lọc theo nó). Thông báo cho biết có bản vá nóng nào đang hoạt động hay không, và chỉ lặp lại khi có nhân còn mới hơn.

Bản vá từ kho phản chiếu của chủ sở hữu​

Chủ sở hữu hệ thống HiTechCloud có thể tự dựng, rà soát, ký và phát hành bản vá nóng (xem Dựng và ký bản vá nóng). Không có gì trong số đó tồn tại cho đến khi chủ sở hữu thiết lập: chưa khóa bản vá nào được tin cậy và chưa đặt địa chỉ kho nào, nên máy chủ không tải gì về và không chấp nhận gì.

Khi chủ sở hữu đã đặt kho phản chiếu, trang hiển thị trạng thái của nó: đã đặt địa chỉ chưa, đã tin cậy khóa chưa, chỉ mục đã ký được lấy lần cuối khi nào và có hiệu lực đến khi nào, cùng các bản vá mà chỉ mục liệt kê cho đúng bản dựng nhân này, kèm các CVE mà chúng vá. Kiểm tra kho phản chiếu yêu cầu chỉ mục. Áp dụng từ kho phản chiếu tải một bản vá và nạp nó, sau khi xác nhận. Cả hai chỉ dành cho Super Administrator, và không mang đường dẫn, URL hay tệp: trang chỉ có thể chọn một trong các bản vá mà chỉ mục đã ký liệt kê, còn địa chỉ kho được đặt trên dòng lệnh, không bao giờ trên trang.

Những gì được kiểm tra trước khi bất cứ thứ gì chạm tới nhân, theo thứ tự:

1. chỉ mục được ký bằng khóa mà máy chủ này tin cậy, chưa hết hạn và không cũ hơn chỉ mục đã thấy gần nhất ở đây
2. bản vá dành cho đúng bản phát hành, mã bản dựng và kiến trúc của nhân này, và chủ sở hữu chưa rút nó lại
3. mỗi tệp tải về có đúng kích thước và SHA-256 mà chỉ mục nêu
4. manifest được ký bằng khóa tin cậy, nêu SHA-256 của mô-đun, và chưa hết hạn; số thứ tự của nó không thấp hơn bản vá đã áp dụng gần nhất ở đây
5. gói có bản rà soát của con người, đầy đủ và đã ký duyệt, cho mọi CVE mà nó nêu, gắn với đúng mô-đun và bản dựng nhân này
6. nhân bắt buộc chữ ký mô-đun (Secure Boot, lockdown) phải nhận mô-đun có chữ ký mô-đun nhân
7. mô-đun là bản vá nóng cho đúng bản phát hành nhân này, và nhân chuyển sang nó trong vòng một phút, nếu không nó bị gỡ ra

Khóa ký bản phát hành không bao giờ được chấp nhận làm khóa vá nóng. Bản vá nạp theo cách này không được giữ lại sau khi khởi động lại. Nếu chủ sở hữu rút lại một bản vá đang được nạp, trang sẽ báo và Hoàn tác gỡ nó.

Bản vá từ một thư mục​

Dòng lệnh có thể nạp một gói bản vá có chữ ký từ một thư mục. Trang thì không: nó không có ô nào nhận tệp hay đường dẫn. Áp dụng các kiểm tra như với kho phản chiếu. Mặc định không có khóa nào được tin cậy, nên chưa gói nào được chấp nhận cho đến khi chủ máy chủ thêm khóa vào /etc/hitechcloud/livepatch/trusted-keys. Bản vá nạp theo cách này không được giữ lại sau khi khởi động lại.

hitechcloudcli server-livepatch status [--json]
hitechcloudcli server-livepatch enable --yes
hitechcloudcli server-livepatch disable --yes
hitechcloudcli server-livepatch apply --yes
hitechcloudcli server-livepatch apply --bundle <dir> --yes
hitechcloudcli server-livepatch rollback <patch> --yes
hitechcloudcli server-livepatch mirror [status|refresh|set <address>|clear] [--json]
hitechcloudcli server-livepatch fetch <patch> --yes
hitechcloudcli server-livepatch watch [--quiet|enable|disable]