Fedora Linux 46计划默认启用影子堆栈保护 增强系统整体安全性
内容提要
Fedora Linux计划在46版默认启用影子堆栈保护，增强64位x86设备安全性。该技术是Intel CET的一部分，AMD新处理器也支持，可检测并阻止ROP攻击。原定45版实施，因英伟达驱动和Python兼容性问题推迟。启用后对用户无感，但需较新处理器，第三方软件可能需适配。
延伸解读
影子堆栈保护的实际影响
影子堆栈保护旨在防御ROP攻击，通过额外保存返回地址副本，检测篡改并阻止攻击。对普通用户而言，启用后无感，不影响性能，但需要较新的处理器支持，如Intel 11代及以后、AMD Zen 3及以后。这意味着老旧硬件用户可能无法受益，但系统会提供临时关闭方式以应对兼容性问题。
推迟原因与兼容性风险
原计划在Fedora 45启用，但因英伟达驱动和部分Python应用的兼容性问题推迟至46。主要风险在于第三方二进制库、闭源驱动、手写汇编和动态加载模块，可能导致应用启动或加载失败。推迟给维护者更多时间处理，但用户仍需注意，若遇到不兼容应用，可临时关闭保护。
与IBT的区别
Intel CET技术包含影子堆栈和IBT（间接分支跟踪），但Fedora 46仅默认启用影子堆栈，IBT不在范围内。IBT未来是否启用需看兼容性和维护情况。这意味着当前防护主要针对返回地址篡改，而间接分支攻击仍需其他措施，用户应了解这一局限性。
Q&A
Fedora Linux 46 计划默认启用什么安全技术？
Fedora Linux 46 计划默认启用影子堆栈保护（Shadow Stack），以增强 64 位 x86 设备的安全性。
影子堆栈保护是什么？它有什么作用？
影子堆栈保护是 Intel CET 技术的一部分，AMD 新款处理器也支持。它通过额外保存受保护的函数返回地址副本，当攻击者篡改调用栈返回地址时，系统能检测异常并阻止常见的 ROP 攻击。
为什么 Fedora 45 没有默认启用影子堆栈保护？
因为需要处理英伟达驱动程序和部分 Python 应用的兼容性问题，所以原计划在 Fedora 45 中实施被推迟到 46 版。
启用影子堆栈保护对普通用户有什么影响？
对普通用户基本无感，无需手动开启，也不会明显影响性能。但需要较新的处理器支持，例如第 11 代及后续英特尔处理器和 AMD ZEN 3 及后续处理器。
影子堆栈保护对第三方软件有什么影响？
对系统自带软件影响小，主要风险在第三方二进制库、闭源驱动程序、手写汇编代码和部分动态加载模块。如果这些不兼容，可能导致应用启动或加载失败。
Fedora 46 是否默认启用 Intel CET 的 IBT 技术？
不，Fedora 46 只默认启用影子堆栈保护，IBT（间接分支跟踪）不在此次变更范围内，未来是否启用需看后续兼容性。
