Canonical Livepatch Service:Opravte jádro Linuxu na Ubuntu bez restartu

V tomto tutoriálu se naučíme, jak opravit linuxové jádro na Ubuntu bez restartu pomocí služby Canonical Livepatch, která využívá upstream technologii Linux Kernel Live Patching k aplikaci důležitých záplat jádra bez restartu.

Pomůže to provozuschopnosti vašeho webu. Tuto funkci používám pro server, na kterém běží tento blog. Služba livepatch umožňuje, aby váš server zůstal v bezpečí, takže jej můžete restartovat později. Pro mé další servery, jako je poštovní server, který nevyžaduje vysokou dobu provozu, jednoduše nakonfiguruji bezobslužné aktualizace zabezpečení, které mohou dát mému serveru pokyn, aby se automaticky restartoval ve 4 hodiny ráno, pokud je nainstalováno nové jádro.

Služba Canonical livepatch je zdarma až pro 3 stroje (laptop, server nebo cloud). Abyste mohli tuto službu používat, váš systém musí být 64bitový OS Ubuntu s jádrem Linux 4.4+.

Nápověda :Aktualizace zabezpečení Livepatch nejsou dostupné pro Ubuntu 20.10.

Oprava linuxového jádra bez restartu pomocí služby Canonical Livepatch Service

Nejprve přejděte na stránku služby Canonical Livepatch. Vyberte Uživatel Ubuntu pokud chcete službu využívat bez placení až za 3 stroje. Pokud jste zákazníkem UA, vyberte Zákazník Ubuntu Advantage . A klikněte na Získat token Livepatch .

Musíte se přihlásit pomocí svého účtu Ubuntu One, který je zcela zdarma. Jakmile se přihlásíte, získáte tajný klíč pro svůj účet.

Poté se ujistěte, že máte na svém systému Ubuntu nainstalovaného démona snap.

sudo apt updatesudo apt install snapd

Dále nainstalujte canonical-livepatch démon.

instalace sudo snap canonical-livepatch

Povolte službu pomocí následujícího příkazu.

sudo canonical-livepatch povolí váš tajný klíč

Ukázkový výstup:

Zařízení bylo úspěšně aktivováno. Použití strojového tokenu:2ca4f0662793daje0393jdaf39332d

Stav živé opravy můžete kdykoli zkontrolovat pomocí:

stav canonical-livepatch --verbose

Možné stavy opravy jsou:

• nothing-to-apply :Nebyla nalezena žádná zranitelnost.
• applied :Byla nalezena chyba zabezpečení a je použita oprava
• kernel-upgrade-required :Livepatch nemůže nainstalovat opravu, která by opravila zranitelnost na aktuálně běžícím jádře.

Opravný program můžete také spustit ručně:

obnovení sudo canonical-livepatch

Upozorňujeme, že záplatování jádra se liší od aktualizace jádra na nejnovější verzi.

• Oprava živého jádra:oprava zranitelností v aktuálně běžícím linuxovém jádře.
• Upgradujte jádro:Upgradujte na novější jádro. Vyžaduje restart, abyste mohli používat nové funkce v novém jádře.

Nová metoda opravy linuxového jádra na Ubuntu

Výše uvedená metoda stále funguje, ale Ubuntu přechází na novou metodu, která vám poskytuje následující výhody:

SERVIS ENTITLEDESCRIPTIONcis yes Centrum pro nástroje Internet Security Audit Toolsesm-infra yes UA Infra:Extended Security Maintenance (ESM)fips ano Základní balíčky s certifikací NISTfips-updates ano Základní balíčky s certifikací NIST s prioritními aktualizacemi zabezpečenílivepatch ano Služba Canonical Livepatch 

 Nejprve si musíte vytvořit účet Ubuntu Advantage. (Má bezplatnou úroveň:UA Infra Essential). Poté připojte svůj server Ubuntu ke svému účtu Ubuntu.
 
sudo ua připojte svůj token
 

 Nainstalujte livepatch démon.
 
instalace sudo snap canonical-livepatch
 

 Povolte na svém systému livepatch.
 
sudo ua enable livepatch
 

 Zkontrolujte svůj stav:
 
stav sudo ua