CachyOS, Easy Anti-Cheat Linux v2 için Özel Çekirdek Hazırlıyor

Arch Linux tabanlı CachyOS, Epic Games’in yeni Easy Anti-Cheat Linux v2 sistemiyle uyumlu çalışacak özel bir Linux çekirdeği geliştiriyor. linux-cachyos-eac adıyla hazırlanan çekirdek, Secure Boot, Kernel Lockdown ve imzalı sürücü gibi güvenlik gereksinimlerini karşılayacak. Yeni sürüm tamamen isteğe bağlı olacak ve kullanıcılar mevcut CachyOS çekirdeklerini kullanmaya devam edebilecek.

Epic Games, 14 Ekim’de duyurduğu Easy Anti-Cheat Linux v2 ile Linux işletim sistemlerindeki hile korumasını Windows sürümüne yaklaştıracak yeni bir sistem üzerinde çalışıyor. Easy Anti-Cheat, 2014 yılından beri yerel Linux oyunlarını destekliyor. 2021 yılında Wine ve Proton üzerinden çalıştırılan Windows oyunlarına da destek eklendi. Ancak mevcut Linux sürümünün Windows ile aynı düzeyde koruma sağlayamaması nedeniyle birçok oyun geliştiricisi bu desteği etkinleştirmedi.

CachyOS, yeni sistemin gerektirdiği güvenlik özelliklerini ayrı bir çekirdekte bir araya getirmek için çalışmalara başladı. Geliştirici Peter Jung tarafından GitHub üzerinde açılan 1084 numaralı geliştirme talebi, linux-cachyos-eac paketinin hazırlıklarını içeriyor. Çalışma henüz taslak aşamasında bulunuyor ve yeni çekirdeğin kararlı sürümü yayımlanmadı.

Easy Anti-Cheat Linux v2, sistemin güvenilir bir açılış zinciri üzerinden başlatılmasını zorunlu kılıyor. Bunun için TPM 2.0, Secure Boot ve Measured Boot özelliklerinin etkin olması gerekiyor. Ayrıca Linux çekirdeğinin ve yüklenen çekirdek modüllerinin tanınan güvenlik anahtarlarıyla imzalanması şartı bulunuyor. NVIDIA ekran kartı sürücüleri gibi çekirdek dışında geliştirilen modüller de bu doğrulama sürecine dahil ediliyor.

Yeni güvenlik modelinde Kernel Lockdown özelliğinin Integrity modunda çalışması gerekiyor. Bu mod, yönetici yetkisine sahip işlemlerin dahi çekirdeğin bütünlüğünü değiştirebilecek bazı işlemleri gerçekleştirmesini engelliyor. İmzasız çekirdek modüllerinin yüklenmesi, fiziksel belleğe doğrudan yazılması ve işlemcinin Model-Specific Register (MSR) kayıtlarının değiştirilmesi bu kısıtlamalar arasında bulunuyor.

Epic Games ayrıca kexec özelliğinin devre dışı bırakılmasını istiyor. Kexec, Linux üzerinde sistemi tamamen yeniden başlatmadan farklı bir çekirdeğe geçilmesini sağlıyor. Ancak bu işlem normal açılış zincirini atladığı için TPM üzerinden kaydedilen güvenlik ölçümlerinin çalışan çekirdekle eşleşmemesine yol açabiliyor. Yeni sistemde BPF Linux Security Module (BPF LSM) desteğinin de etkinleştirilmesi gerekiyor.

IOMMU desteği de güvenlik gereksinimlerinin bir parçası. Masaüstü ve diğer el konsolu dışındaki sistemlerde IOMMU’nun etkin olması, çekirdeğin buna uygun yapılandırılması ve doğrudan donanım erişimine izin veren passthrough modunun kapatılması isteniyor. IOMMU, DMA üzerinden sistem belleğine erişebilen donanımların erişim yetkilerini sınırlandırıyor.

CachyOS geliştiricileri, bu gereksinimleri karşılamak için Linux 7.3 tabanlı özel çekirdek yapılandırması hazırladı. Geliştirme kayıtlarında zorunlu çekirdek modülü imzalama, Kernel Lockdown, BPF LSM ve IOMMU yapılandırmaları bulunuyor. Ayrıca PKCS#11 üzerinden dijital imzalama desteği, imzalı systemd-boot paketi ve NVIDIA sürücülerine yönelik ayrı modül paketleri üzerinde çalışılıyor.

Yeni çekirdeğin standart CachyOS kurulumlarında zorunlu olması planlanmıyor. Geliştiriciler, Cachy Hello uygulamasına eklenecek bir seçenek üzerinden EAC uyumlu çekirdeğin kurulmasını sağlayacak. Kullanıcılar, açılış yöneticisinden hangi çekirdekle başlayacaklarını seçebilecek. Secure Boot yapılandırması için ayrı bir kurulum rehberi de hazırlanıyor.

Böylece normal CachyOS çekirdeğini kullanan sistemlerde yeni güvenlik kısıtlamalarının tamamının etkinleştirilmesi gerekmeyecek. Easy Anti-Cheat Linux v2 kullanan bir oyunu açmak isteyenler, bilgisayarı ilgili çekirdekle başlatabilecek. Bu işlem standart çekirdeğin kaldırılmasını gerektirmeyecek.

Yeni çekirdeğin getirdiği kısıtlamalar bazı Linux özelliklerini de etkiliyor. Kernel Lockdown nedeniyle hazırda bekletme (hibernation), kdump aracılığıyla çekirdek çökme kayıtlarının alınması ve PCI passthrough gibi işlevlerde sorunlar oluşabiliyor. Bazı çekirdek parametreleri ve BPF tabanlı zamanlayıcı çözümleri de etkilenebiliyor. İşletim sistemi üzerinden fan kontrolü sağlayan belirli donanım sürücülerinin kullanılması da kısıtlanabilecek.

Özellikle DKMS aracılığıyla yüklenen üçüncü taraf sürücüler için yeni bir düzenleme gerekiyor. EAC uyumlu çekirdek, yalnızca gerekli güvenlik imzalarına sahip modülleri kabul edecek. CachyOS ekibi, NVIDIA sürücülerinin yanı sıra Pascal mimarisini kullanan eski NVIDIA kartları, ZFS dosya sistemi ve Realtek r8125 ağ sürücüsü için uyumluluk sağlayacak paketler hazırlıyor. VirtualBox ve daha az yaygın kullanılan bazı üçüncü taraf modüller için ise aynı desteğin sunulacağı kesinleşmedi.

Güvenlik anahtarlarının yönetimi de geliştirme sürecinin bir parçası. CachyOS, çevrimdışı tutulan bir kök sertifika yetkilisi ve ayrı bir imzalama sertifikası kullanacak. İmzalama anahtarının YubiKey üzerinde korunması, çekirdek ve systemd-boot bileşenlerinin bu anahtarla imzalanması üzerinde çalışılıyor. Kullanıcıların CachyOS sertifikasını Secure Boot veritabanına kaydetmesi gerekecek.

İlk aşamada Secure Boot yapılandırması için sbctl kullanılacak. Daha sonraki aşamada shim üzerinden daha kapsamlı bir doğrulama altyapısına geçilmesi planlanıyor. Güvenlik açığı bulunan imzalı açılış bileşenlerinin sertifikalarının nasıl iptal edileceği konusundaki çalışmalar ise henüz tamamlanmadı.

Hazırlanan kurulum rehberi systemd-boot ve Limine açılış yöneticilerini kapsıyor. GRUB desteği henüz test edilmedi. Geliştirme ekibi, GRUB’un ilerleyen dönemde desteklenip desteklenmeyeceğini değerlendirecek. Çekirdek paketi ve kurulum rehberine ilişkin GitHub talepleri taslak durumunu koruyor.

Easy Anti-Cheat Linux v2, Windows sürümündeki gibi ayrı bir çekirdek düzeyi anti-hile sürücüsü yüklemeyecek. Bunun yerine Linux çekirdeğinin mevcut güvenlik mekanizmaları, eBPF programları ve systemd üzerinden çalışan bir hizmet kullanılacak. Anti-hile hizmeti yalnızca korumalı oyun başlatıldığında çalışacak ve oyun kapatıldığında duracak.

Epic Games, yeni anti-hile sisteminin ilk canlı denemelerini Fortnite üzerinde gerçekleştirecek. Testlerin ardından diğer oyun geliştiricileri de EAC Linux v2 desteğini kullanabilecek. Mevcut Easy Anti-Cheat Linux sürümünü kullanan oyunlar için eski sistemin korunması veya yeni sürüme geçilmesi geliştiricilerin tercihine bırakılacak.

Fortnite’ın Linux sürümü henüz kullanıma sunulmadı. CachyOS için hazırlanan özel çekirdek de tek başına oyunun çalıştırılmasını sağlamıyor. Epic Games’in yeni anti-hile sistemini devreye alması ve ilgili oyunların Linux desteğini etkinleştirmesi gerekiyor. Steam Deck ise mevcut EAC Linux v2 güvenlik gereksinimlerini karşılamıyor. Valve ile bu cihazların gelecekte desteklenmesine yönelik görüşmeler devam ediyor.