Linux introdurrà la possibilità di "de-autorizzare" dispositivi Thunderbolt

Su HTML.it, abbiamo menzionato più volte i numerosi difetti della tecnologia Thunderbolt in termini di sicurezza. Non è quindi un caso se negli ultimi anni si è visto un crescente interesse mirato a migliorare questi difetti, in particolar modo per quel che riguarda il mondo Linux. Le ultime versioni del kernel hanno infatti introdotto vari livelli di sicurezza che, unitamente ad altre funzionalità, permettono di autorizzare solo i dispositivi Thunderbolt supportati o conosciuti, escludendo tutti gli altri.

Eppure, è abbastanza sorprendente dover scoprire che la possibilità di revocare tale autorizzazione arriverà solo nel 2021.

Revocare l'autorizzazione dei dispositivi Thunderbolt su Linux

È lecito prevedere che un dispositivo considerato attendibile, si riveli in futuro non più così sicuro. E per questo motivo, la mancanza della possibilità di revocare l'autorizzazione a tale dispositivo è stata, finora, una grossa pecca del kernel Linux. Sembra, però, che il kernel Linux 5.2 supporterà proprio questa nuova possibilità.

Dando uno sguardo ai commit della scorsa settimana, si può infatti notare l'introduzione del supporto al sottosistema per la revoca dell'autorizzazione dei dispositivi Thunderbolt. Tale supporto si basa sull'attivazione del software connection manager di Thunderbolt, dal momento che quest'ultimo è in grado di controllare direttamente i tunnel PCIe.

È inoltre presente un nuovo attributo di sysfs denominato "deauthorization", volto proprio ad indicare se il sistema supporta la revoca dell'autorizzazione dei dispositivi Thunderbolt. Grazie a questa novità, dispositivi specifici potranno quindi essere rimossi dalla lista di autorizzazione, impostando a "0" l'apposito attributo sysfs.

Supporto lato kernel; e lo user-space?

Quanto discusso fin qui ha a che fare con il kernel, ma è chiaro che un supporto complete deve prevedere anche qualche politica che coinvolga lo user-space. Bisognerà infatti prevedere un support sistemico che permetta (in modo sicuro) di gestire la "de-autorizzazione" dei dispositivi Thunderbolt, per esempio ogni volta che viene effettuato il logout o altre modifiche che possano causare potenziali problemi di sicurezza.

Non resta che attendere in che modo verrà recepita questa nuova possibilità dai vari team di sviluppo.