KAPI — новая азбука ядра Linux для повышения безопасности системных вызовов

В ядре Linux может появиться новый фреймворк, который будет формально описывать параметры всех системных вызовов и публичных интерфейсов ядра. Разработчик Sasha Levin предложил первую версию инициативы и опубликовал патчи с пометкой «request for comments», что означает — это пока обсуждаемое предложение, а не финальная реализация.

Идея состоит в том, чтобы создать машиночитаемое описание всех интерфейсов ядра — системных вызовов и IOCTL — для повышения стабильности и безопасности взаимодействия между ядром и пользовательскими приложениями. Как сообщает источник SecurityLab.ru, новый подход позволит оперативно выявлять несовместимости и ошибки, которые сейчас возникают из-за отсутствия единого описания API.

Инициатива включает в себя три ключевых элемента: специальные макросы в коде ядра для описания параметров системных вызовов, инструменты для автоматического извлечения этих описаний в форматы JSON или текст, а также механизм проверки корректности во время выполнения через debugfs.

Первый прототип уже охватывает системные вызовы epoll, exec, mlock и сложные IOCTL-интерфейсы, такие как binder и fwctl. В спецификациях фиксируются типы аргументов, правила валидации, возвращаемые значения и возможные ошибки — что особенно важно для повышения безопасности ядра.

Для удобства разработчиков и безопасности систем предложена утилита kapi, позволяющая извлекать и анализировать описания API из исходников, скомпилированного ядра или даже запущенной системы. Это поможет выявлять потенциальные уязвимости и следить за совместимостью версий.

Особое значение инициатива приобретает в контексте интеграции Rust в ядро Linux, где точное и формальное описание интерфейсов является важным элементом обеспечения безопасности и устойчивости системы.