Sécurité : Fedora 45 devrait activer par défaut la Shadow Stack dans tout le système
La prochaine version de la distribution Linux devrait activer par défaut un important mécanisme de sécurité, la Shadow Stack. L’équipe effectue actuellement un gros travail préparatoire, qui pourrait largement débroussailler le terrain pour les autres systèmes Linux.
La Shadow Stack (ou pile fantôme en français) est une technologie de sécurité conçue pour protéger les ordinateurs contre des attaques informatiques sophistiquées. Elle fonctionne en maintenant une seconde pile d’exécution en mémoire, distincte de la pile classique, et isolée des autres processus. Cette pile fantôme est protégée en écriture, ce qui empêche un pirate de la modifier. Lorsqu’un programme appelle une fonction (CALL), l’adresse de retour est enregistrée simultanément sur les deux piles. À la fin de la fonction (RET), le processeur vérifie que les deux adresses correspondent. Si une incohérence est détectée, il interrompt immédiatement l’exécution du programme, bloquant ainsi l’attaque. Cette technologie a été introduite par Intel en 2016 mais n’est devenue accessible sur le marché qu’en 2020 avec les processeurs Tiger Lake. AMD a adopté cette solution à partir de ses processeurs Zen 3.
La Shadow Stack a été développée pour contrer les attaques de type ROP (Return-Oriented Programming), une méthode utilisée par les pirates pour prendre le contrôle d’un système. Ces attaques exploitent des failles dans la gestion de la pile d’exécution pour exécuter du code malveillant. Elles peuvent également contourner des protections existantes comme l’ASLR (Address Space Layout Randomization), une technique qui aléatoirement place les données en mémoire pour compliquer les attaques. Contrairement à des solutions logicielles de contrôle de flux, la Shadow Stack offre une protection matérielle, ce qui signifie qu’elle est gérée directement par le processeur. Son impact sur les performances est jugé négligeable, avec un surcoût d’exécution imperceptible pour la plupart des utilisateurs.
L’équipe de Fedora propose d’activer la Shadow Stack par défaut sur l’ensemble de son système d’exploitation pour les configurations x86_64. Cette proposition, encore en discussion, a de fortes chances d’être acceptée et pourrait être intégrée dès Fedora 45. Si elle n’est pas validée à temps, elle serait reportée à Fedora 46 au printemps 2026. L’activation généralisée nécessite des adaptations majeures, notamment au niveau des compilateurs comme GCC, Clang et rustc, qui doivent être compatibles. La plupart des paquets du dépôt principal de Fedora sont déjà prêts, car ils intègrent depuis 2018 les annotations requises pour cette technologie. La bibliothèque glibc, essentielle pour les systèmes Linux, est également compatible.
Bien que la prise en charge de la Shadow Stack existe dans le noyau Linux depuis la version 6.6 (2023), Fedora se distingue en proposant une activation par défaut pour tous les processus éligibles. D’autres distributions comme Arch Linux, Ubuntu ou Debian compilent déjà une partie de leurs paquets avec l’option -fcf-protection de GCC/Clang, mais sans l’activer automatiquement. Fedora innove en rendant cette protection transparente pour l’utilisateur. Cependant, cette activation a nécessité un travail d’audit pour corriger les binaires incompatibles, comme les routines en assembleur ou les moteurs Just-in-time des navigateurs. Par exemple, Chrome et Firefox ne sont pas encore compatibles, mais Fedora a prévu un mécanisme de dégradation élégante : si une application n’est pas compatible, la Shadow Stack est désactivée pour ce processus spécifique sans interrompre son exécution.
La Shadow Stack ne représente qu’une partie de l’architecture Intel CET (Control-Flow Enforcement Technology). L’autre composante s’appelle IBT (Indirect Branch Tracking), conçue pour contrer les attaques basées sur la programmation orientée saut (JOP/COP), une autre méthode d’exploitation des failles. Ensemble, ces deux technologies forment un système de protection complet contre les attaques de type ROP. Fedora prévoit d’intégrer l’IBT dans une version ultérieure, bien que les détails ne soient pas encore précisés. Une fois les deux technologies activées, Fedora deviendra l’un des premiers systèmes à supporter pleinement Intel CET sur les processeurs compatibles, qu’ils soient d’Intel ou d’AMD. Ce travail préparatoire pourrait servir de référence pour d’autres distributions open source.
L’activation par défaut de la *Shadow Stack* dans Fedora 45 (ou 46) pourrait avoir un impact significatif sur l’écosystème open source. En effet, Fedora est souvent un précurseur en matière de technologies de sécurité pour Linux. Il est probable que d’autres distributions emboîtent le pas, renforçant ainsi la sécurité globale des systèmes. Cette initiative pourrait également encourager les développeurs à adapter leurs logiciels pour être compatibles avec ces nouvelles protections. Bien que la *Shadow Stack* ne soit pas une solution miracle, elle représente une avancée majeure contre les attaques sophistiquées, sans sacrifier les performances. Son adoption généralisée pourrait donc devenir une norme dans les années à venir.
