https://www.opennet.me/openforum/vsluhforumID3/72279.html Кис Кук (Kees Cook), главный сисадмин kernel.org и лидер Ubuntu Security Team, предложил (http://lkml.org/lkml/2010/11/7/113) в списке рассылки разработчиков Linux-ядра с целью повышения безопасности расширить области использования в ядре страниц памяти, переведенных в режим "только чтение". Данная мера позволит реализовать упреждающую защиту от эксплуатации уязвимостей, связанных с возможностью перезаписи областей памяти ядра, вследствие ошибок. <br><br><br>Цель инициативы проста - перевести ядро насколько это возможно на работу с памятью в режиме только для чтения, особенно в местах в которых фигурируют указатели на функции и в точках возможного перехвата управления, которые являются главной мишенью атак злоумышленников, в случае обнаружения ошибок (http://lwn.net/Articles/410606/), приводящих к возможности записи в области памяти ядра.<br><br><br>В качестве базиса для реализации данной идеи предложено использовать ранее начатую в рамках проекта PaX работу по реорганизации таблиц указателей на ф...<br><br>URL: http://lkml.or https://www.opennet.me/openforum/vsluhforumID3/72279.html#50 Sat, 13 Nov 2010 07:35:24 GMT Припоминается одна ОС, у которой одной из основных задач при разработке ставилось организовать безопасную работу с ОЗУ. Всё разрабатывалась и разрабатывалась. А когда, наконец, было разработана, её потенциальный рынок давно завоевали другие ОС.<br><br>Я сейчас про "OS/2" :)<br><br>Однако вашу мысль я поддерживаю, за такое кол-во времени было бы весьма неплохо всё-таки успеть разобраться с подобными проблемами :)<br> https://www.opennet.me/openforum/vsluhforumID3/72279.html#49 Thu, 11 Nov 2010 18:47:36 GMT <br>&gt;зачем выделять для сегмента кода и сегмента данных всю память ? почему нельзя выделять именно столько сколько требуется ?<br><br>А сколько требуется?:) Почитайте про используемую по у молчанию в linux модель памяти.<br><br>Внизу заметили что PaX может использовать SEGMEXEC путем деления виртуальной памяти пополам, но в стандартное ядро он не принят.<br><br>&gt;вобще сейчас принято использовать 1 общий сегмент для ядра и 1 общий сегмент для всего юзерспейса ?<br><br>Почему один? Что значит общий? Перекрывающиеся сегменты для каждого процесса со своим адресным пространством. На самом деле документации в сети по этому поводу навалом, поищите.<br> https://www.opennet.me/openforum/vsluhforumID3/72279.html#48 Thu, 11 Nov 2010 17:43:05 GMT &gt; Ограничение на запись на основе сегментов неудобно и неэффективно с точки зрения<br>&gt; использования памяти, и AFAIK нигде не используется (для каждого типа сегментов<br><br>В PaX используется на процессорах без поддержки NX. Есть много задач, где сегментов по 1.5 ГБ более чем достаточно.<br> https://www.opennet.me/openforum/vsluhforumID3/72279.html#47 Thu, 11 Nov 2010 16:03:20 GMT &gt; Ограничение на запись на основе сегментов неудобно и неэффективно с точки зрения<br>&gt; использования памяти, и AFAIK нигде не используется (для каждого типа сегментов<br>&gt; в дескрипторах выделяется все адресное пространство, соответственно они пересекаются,<br>&gt; и модифицировать код спокойно можно через дескриптор данных). Поэтому и придумали<br>&gt; NX бит.<br><br>зачем выделять для сегмента кода и сегмента данных всю память ? почему нельзя выделять именно столько сколько требуется ? контекстами щёлкают всё равно - при переключении задач<br><br>вобще сейчас принято использовать 1 общий сегмент для ядра и 1 общий сегмент для всего юзерспейса ?<br> https://www.opennet.me/openforum/vsluhforumID3/72279.html#46 Thu, 11 Nov 2010 11:42:26 GMT <br>Ограничение на запись на основе сегментов неудобно и неэффективно с точки зрения использования памяти, и AFAIK нигде не используется (для каждого типа сегментов в дескрипторах выделяется все адресное пространство, соответственно они пересекаются, и модифицировать код спокойно можно через дескриптор данных). Поэтому и придумали NX бит.<br> https://www.opennet.me/openforum/vsluhforumID3/72279.html#45 Thu, 11 Nov 2010 10:44:05 GMT &gt; http://en.wikipedia.org/wiki/PaX<br>&gt; http://pax.grsecurity.net/docs/<br><br>документацию я бы нашёл и сам, а вот где в ней про сложности с этим ?<br>&gt; я скопипастил описание не NX-бита а механизм защиты памяти защищённого режима 386 процессоров (ну мб 486 или пентиумов)<br>&gt; почему сей механизм не используется на x86 компах ? https://www.opennet.me/openforum/vsluhforumID3/72279.html#44 Thu, 11 Nov 2010 04:25:27 GMT http://en.wikipedia.org/wiki/PaX<br>http://pax.grsecurity.net/docs/<br> https://www.opennet.me/openforum/vsluhforumID3/72279.html#43 Wed, 10 Nov 2010 19:55:33 GMT &gt;&gt;&gt; Кабы не соврать, но NX бит, случаем, не с четвертых пней (Prescott(?))<br>&gt;&gt;&gt; пошел? Если так, то раритетных компов еще слишком много.<br>&gt;&gt;&gt; P.S. Мне так вспоминается, что поддержкой NX оффтопик во времена XP SP2<br>&gt;&gt;&gt; хвастаться начал. А это не так уж давно было.<br>&gt;&gt; я скопипастил описание не NX-бита а механизм защиты памяти защищённого режима 386<br>&gt;&gt; процессоров (ну мб 486 или пентиумов), и работал я на 486<br>&gt;&gt; с 95 виндой...<br>&gt;&gt; почему сей механизм не используется на x86 компах ?<br>&gt; в документации к pax и grsecurity все разжеванно<br><br>можно ссылку ? боюсь я не смогу самостоятельно найти<br> https://www.opennet.me/openforum/vsluhforumID3/72279.html#42 Wed, 10 Nov 2010 17:51:03 GMT Я все-равно не понимаю, почему нельзя было изначально в ядре запретить писать в сегмент данных код и запускать код из сегмента данных. Такие ограничения поддерживал еще 80286!!<br>Трмаплины gcc для вложенных функций? Это единственная проблема?! Если да -- выжечь трамплины и приделать любой безопасный костыль.<br>Честно говоря не понимаю смысла NX-бита, если в 286 уже все было, только не на уровне страниц, а на уровне сегментов.<br>