TOCTOUProblematiken

TOCTOUProblematiken, eller TOCTOU-buggar, står för Time Of Check To Time Of Use och beskriver en klass av race conditions som uppstår när ett program först kontrollerar ett villkor och sedan använder en resurs, men resursens tillstånd kan förändras mellan kontrollögonblicket och användningen.

Vanliga scenarier inkluderar filsystemoperationer där behörigheter eller innehåll kan ändras mellan kontroll och öppenhet, säkerhetshantering där en identitet verifieras innan användning, samt situationer där ett namn på en resurs kontrolleras som ledigt innan den reserveras. Exempelvis kan ett program kontrollera att en fil är skrivbar och tillhör rätt användare, men mellan kontroll och öppning kan en annan process ändra filens behörigheter eller ersätta filen, vilket leder till fel eller säkerhetsproblem.

Konsekvenserna av TOCTOU-problematiken kan vara allvarliga, inklusive dataförlust, korruption eller uppenbara säkerhetsrisker där en obehörig kan få åtkomst till resurser som verifierats som säkra.

Motåtgärder och bästa praxis inkluderar:

- Göra operationer atomiska där möjligt genom användning av lämpliga systemanrop och synkronisering, eller använda lås.

- Kombinera kontroll och användning i en kritisk sektion eller hålla låsningen mellan kontroll och användning så att tillståndet inte kan förändras mellan stegen.

- Använda atomära eller säkra mönster för filhantering, till exempel skapa eller reservera filer på ett säkert sätt (t.ex. använda O_EXCL vid skapande eller byta namn atomiskt i två steg).

- Införa transaktionella eller kernel-stöd där möjligt och använda robust felhantering om tillstånd ändras vid senare ögonblick.

TOCTOU-problematiken uppmärksammas ofta i operativsystems- och samtidighetslitteratur som en grundläggande risk i både lokala och distribuerade system.