Ubuntu 19.10 その13 - セキュリティー強化オプションを追加する作業

セキュリティー強化オプションの追加

「Ubuntu 19.10」のビルド環境では、2つのコンパイラーオプションが追加指定される予定です。

• New gcc hardening defaults in eoan (-fstack-clash-protection + -fcf-protection)

セキュリティーの強化

「Ubuntu Security Team」と「Ubuntu Foundations Team」は、「GCC」の新しいセキュリティー強化オプションを「Ubuntu 19.10」で有効にする取り組みを行っています。
これらのオプションは以下のとおりです。

• -fstack-clash-protection 
• -fcf-protection

各オプションの詳細は、以下を参照してください。

• 3.11 Program Instrumentation Options

また各オプションの「Ubuntu」での扱いについては、以下を参照してください。

• CompilerFlags

-fstack-clash-protection

「-fstack-clash-protection」オプションは「stack clash」タイプの攻撃を軽減するオプションです。
このオプションは「32bit ARM」アーキテクチャーを除くアーキテクチャーで有効になります。
「32bit ARM」アーキテクチャーが外されているのは、不具合のためです。

-fcf-protection

「-fcf-protection」オプションは「ROP（Return-oriented Programming）」攻撃からの保護を目的としたもので、「CET（Intel Control-flow Enforcement Technology）」をサポートする命令を生成します。
「CET」は「CET」がサポートされているハードウェアが必要ですが、「CET」がサポートされていない環境では何もしません。
このオプションは「amd64/i386/x32」アーキテクチャーで有効になります。

ビルドテストの結果

2019年6月18日に行ったビルドテストの結果は、以下で参照できます。

• Build status for Ubuntu Eoan in Copy archive test-rebuild-20190614 for Matthias Klose