forum.opennet.ru - "Повышение безопасности Linux-ядра через использование доступ..." (47)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"Повышение безопасности Linux-ядра через использование доступ..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Повышение безопасности Linux-ядра через использование доступ..."	+/–
Сообщение от opennews (ok) on 09-Ноя-10, 21:32
Кис Кук (Kees Cook), главный сисадмин kernel.org и лидер Ubuntu Security Team, предложил (http://lkml.org/lkml/2010/11/7/113) в списке рассылки разработчиков Linux-ядра с целью повышения безопасности расширить области использования в ядре страниц памяти, переведенных в режим "только чтение". Данная мера позволит реализовать упреждающую защиту от эксплуатации уязвимостей, связанных с возможностью перезаписи областей памяти ядра, вследствие ошибок. Цель инициативы проста - перевести ядро насколько это возможно на работу с памятью в режиме только для чтения, особенно в местах в которых фигурируют указатели на функции и в точках возможного перехвата управления, которые являются главной мишенью атак злоумышленников, в случае обнаружения ошибок (http://lwn.net/Articles/410606/), приводящих к возможности записи в области памяти ядра. В качестве базиса для реализации данной идеи предложено использовать ранее начатую в рамках проекта PaX работу по реорганизации таблиц указателей на ф... URL: http://lkml.org/lkml/2010/11/7/113 Новость: http://www.opennet.dev/opennews/art.shtml?num=28587
Высказать мнение \| Ответить \| Правка \| Cообщить модератору

Оглавление

Повышение безопасности Linux-ядра через использование доступ..., JL2001, 21:32 , 09-Ноя-10, (1)

Повышение безопасности Linux-ядра через использование доступ..., GG, 22:30 , 09-Ноя-10, (6) +5

Повышение безопасности Linux-ядра через использование доступ..., JL2001, 13:15 , 10-Ноя-10, (34)

Повышение безопасности Linux-ядра через использование доступ..., Daemontux, 16:35 , 10-Ноя-10, (38)

Повышение безопасности Linux-ядра через использование доступ..., demimurych, 22:34 , 09-Ноя-10, (9)

Повышение безопасности Linux-ядра через использование доступ..., segoon, 22:58 , 09-Ноя-10, (11)
Повышение безопасности Linux-ядра через использование доступ..., Аноним, 23:27 , 09-Ноя-10, (14)

Повышение безопасности Linux-ядра через использование доступ..., dq0s4y71, 12:47 , 10-Ноя-10, (32)

Повышение безопасности Linux-ядра через использование доступ..., Frank, 08:27 , 10-Ноя-10, (29) –1

Повышение безопасности Linux-ядра через использование доступ..., JL2001, 13:14 , 10-Ноя-10, (33)

Повышение безопасности Linux-ядра через использование доступ..., dalco, 13:59 , 10-Ноя-10, (36)

Повышение безопасности Linux-ядра через использование доступ..., JL2001, 14:41 , 10-Ноя-10, (37)

Повышение безопасности Linux-ядра через использование доступ..., Daemontux, 16:39 , 10-Ноя-10, (39)

Повышение безопасности Linux-ядра через использование доступ..., JL2001, 22:55 , 10-Ноя-10, (43)

Повышение безопасности Linux-ядра через использование доступ..., Daemontux, 07:25 , 11-Ноя-10, (44)

Повышение безопасности Linux-ядра через использование доступ..., JL2001, 13:44 , 11-Ноя-10, (45)

Повышение безопасности Linux-ядра через использование доступ..., анонимХ, 14:42 , 11-Ноя-10, (46)

Повышение безопасности Linux-ядра через использование доступ..., JL2001, 19:03 , 11-Ноя-10, (47)

Повышение безопасности Linux-ядра через использование доступ..., анонимХ, 21:47 , 11-Ноя-10, (49)

Повышение безопасности Linux-ядра через использование доступ..., paxuser, 20:43 , 11-Ноя-10, (48)

Повышение безопасности Linux-ядра через использование доступ..., segoon, 21:37 , 09-Ноя-10, (2)
Повышение безопасности Linux-ядра через использование доступ..., non anon, 21:39 , 09-Ноя-10, (3) +3

Повышение безопасности Linux-ядра через использование доступ..., GG, 22:31 , 09-Ноя-10, (7)

Повышение безопасности Linux-ядра через использование доступ..., Аноним, 23:04 , 09-Ноя-10, (12)

Повышение безопасности Linux-ядра через использование доступ..., Аноним, 01:23 , 10-Ноя-10, (17) +2

Повышение безопасности Linux-ядра через использование доступ..., Аноним, 23:28 , 09-Ноя-10, (15)

Повышение безопасности Linux-ядра через использование доступ..., Ананимуз, 23:59 , 09-Ноя-10, (16) +1
Повышение безопасности Linux-ядра через использование доступ..., Дима, 03:29 , 10-Ноя-10, (19)

Повышение безопасности Linux-ядра через использование доступ..., Аноним, 06:20 , 10-Ноя-10, (25)

Повышение безопасности Linux-ядра через использование доступ..., paxuser, 07:03 , 10-Ноя-10, (26)

Повышение безопасности Linux-ядра через использование доступ..., JL2001, 13:26 , 10-Ноя-10, (35)

Повышение безопасности Linux-ядра через использование доступ..., non anon, 21:41 , 09-Ноя-10, (4)

Повышение безопасности Linux-ядра через использование доступ..., paxuser, 03:30 , 10-Ноя-10, (20)

Повышение безопасности Linux-ядра через использование доступ..., анон, 04:40 , 10-Ноя-10, (23)

Повышение безопасности Linux-ядра через использование доступ..., paxuser, 05:06 , 10-Ноя-10, (24) +1

Повышение безопасности Linux-ядра через использование доступ..., Daemontux, 16:45 , 10-Ноя-10, (40)

Повышение безопасности Linux-ядра через использование доступ..., Zenitur, 22:54 , 09-Ноя-10, (10) –5

Повышение безопасности Linux-ядра через использование доступ..., Anixx, 03:28 , 10-Ноя-10, (18)

Повышение безопасности Linux-ядра через использование доступ..., Viliar, 03:36 , 10-Ноя-10, (21)
Повышение безопасности Linux-ядра через использование доступ..., анон, 04:36 , 10-Ноя-10, (22)

Повышение безопасности Linux-ядра через использование доступ..., rm_, 07:40 , 10-Ноя-10, (27)

Повышение безопасности Linux-ядра через использование доступ..., Frank, 08:33 , 10-Ноя-10, (30) +2

Повышение безопасности Linux-ядра через использование доступ..., i, 08:23 , 10-Ноя-10, (28)
Повышение безопасности Linux-ядра через использование страни..., ostin, 12:20 , 10-Ноя-10, (31)
Повышение безопасности Linux-ядра через использование доступ..., paxuser, 18:44 , 10-Ноя-10, (41)
Повышение безопасности Linux-ядра через использование страни..., Аноним, 20:51 , 10-Ноя-10, (42) +2

Повышение безопасности Linux-ядра через использование страни..., Xaionaro, 10:35 , 13-Ноя-10, (50)

Сообщения по теме [Сортировка по времени | RSS]

1. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от JL2001 (ok) on 09-Ноя-10, 21:32

а почему нельзя весь код сделать запрещённым для записи после инициализации (загрузил модуль и замок на него) а на все данные - запрет на исполнение ?

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

6. "Повышение безопасности Linux-ядра через использование доступ..." +5 +/–

Сообщение от GG on 09-Ноя-10, 22:30

видимо потому, что бывает надо что-нибудь позаписывать
бывает иногда

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

34. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от JL2001 (ok) on 10-Ноя-10, 13:15

> видимо потому, что бывает надо что-нибудь позаписывать
> бывает иногда
а что надо то позаписывать ? и почему позаписываемое требуется исполнять ??? это специально сделанная задняя калитка для хакеров ?

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

38. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от Daemontux (ok) on 10-Ноя-10, 16:35

Это наследие костылей x86

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

9. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от demimurych (ok) on 09-Ноя-10, 22:34

если я ничего не забыл
из за языков высокого уровня компиляторы которых часто перемешивают области данных с областями кода. т.е. нет четкой разницы что обозначив эту страницу памяти только на чтение ты тем самым не поставишь только на чтение часть данных.
поправьте меня если я подзабыл.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

11. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от segoon (ok) on 09-Ноя-10, 22:58

О чём вы говорите? Linux написан на сях и ассемблере.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

14. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от Аноним (??) on 09-Ноя-10, 23:27

если ты пытался указать на трамплины, то они только в стеке.
Остальные компиляторы уже давно не путают код и данные, особенно те которые с модификатором const или static.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

32. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от dq0s4y71 (??) on 10-Ноя-10, 12:47

И я не помню чтобы путали. Си[++] всегда рассовывал код и данные с разными типами хранения по соответствующим сегментам. Не знаю насчет старых версий Паскаля, но сейчас он, вроде бы, делает так же. Может быть, бейсики какие-нибудь валят код и данные в одну кучу?

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

29. "Повышение безопасности Linux-ядра через использование доступ..." –1 +/–

Сообщение от Frank (ok) on 10-Ноя-10, 08:27

Мешает отсутствие поддержки такого запрета на уровне процессора для многих архитектур (линукс не ограничивается работой только с современными CPU с поддержкой NX-бита, да).

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

33. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от JL2001 (ok) on 10-Ноя-10, 13:14

NX-бит это "новость" конешно.. "The ARM architecture refers to the feature as XN for eXecute Never; it was introduced in ARM v6"
но со времён пентиумов (или даж 386, не помню) есть же это на x86 ???
http://fat-crocodile.narod.ru/protected/02_segments.html
Таблица 1. Формат дескриптора сегмента кода/данных.
3-й бит пятого байта     Code/Data     Если флаг установлен, дескриптор описывает сегмента кода, если сброшен – сегмент данных.
Свойства сегмента определяют его тип и правила использования (попытка использовать сегмент не по правилам обычно приводит к исключению #GP). Не вдаваясь в детали, можно выделить следующие типы сегментов:
    * Сегмент кода (code segment). Допустимо исполнение, может быть разрешено чтение.
    * Сегмент данных (data segment). Допустимо чтение, может быть разрешена запись.
используется в Глобальная таблица дескрипторов и заполняется при переходе в защищённый режим процессора, является одной из основ защищённого режима
можно же было для x86 почесаться, это же не один процессор и даже не несколько процессоров одной фирмы !

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

36. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от dalco (ok) on 10-Ноя-10, 13:59

Кабы не соврать, но NX бит, случаем, не с четвертых пней (Prescott(?)) пошел? Если так, то раритетных компов еще слишком много.
P.S. Мне так вспоминается, что поддержкой NX оффтопик во времена XP SP2 хвастаться начал. А это не так уж давно было.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

37. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от JL2001 (ok) on 10-Ноя-10, 14:41

> Кабы не соврать, но NX бит, случаем, не с четвертых пней (Prescott(?))
> пошел? Если так, то раритетных компов еще слишком много.
> P.S. Мне так вспоминается, что поддержкой NX оффтопик во времена XP SP2
> хвастаться начал. А это не так уж давно было.
я скопипастил описание не NX-бита а механизм защиты памяти защищённого режима 386 процессоров (ну мб 486 или пентиумов), и работал я на 486 с 95 виндой...
почему сей механизм не используется на x86 компах ?

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

39. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от Daemontux (ok) on 10-Ноя-10, 16:39

>> Кабы не соврать, но NX бит, случаем, не с четвертых пней (Prescott(?))
>> пошел? Если так, то раритетных компов еще слишком много.
>> P.S. Мне так вспоминается, что поддержкой NX оффтопик во времена XP SP2
>> хвастаться начал. А это не так уж давно было.
> я скопипастил описание не NX-бита а механизм защиты памяти защищённого режима 386
> процессоров (ну мб 486 или пентиумов), и работал я на 486
> с 95 виндой...
> почему сей механизм не используется на x86 компах ?
в документации к pax и grsecurity все разжеванно

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

43. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от JL2001 (ok) on 10-Ноя-10, 22:55

>>> Кабы не соврать, но NX бит, случаем, не с четвертых пней (Prescott(?))
>>> пошел? Если так, то раритетных компов еще слишком много.
>>> P.S. Мне так вспоминается, что поддержкой NX оффтопик во времена XP SP2
>>> хвастаться начал. А это не так уж давно было.
>> я скопипастил описание не NX-бита а механизм защиты памяти защищённого режима 386
>> процессоров (ну мб 486 или пентиумов), и работал я на 486
>> с 95 виндой...
>> почему сей механизм не используется на x86 компах ?
> в документации к pax и grsecurity все разжеванно
можно ссылку ? боюсь я не смогу самостоятельно найти

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

44. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от Daemontux (ok) on 11-Ноя-10, 07:25

http://en.wikipedia.org/wiki/PaX
http://pax.grsecurity.net/docs/

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

45. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от JL2001 (ok) on 11-Ноя-10, 13:44

> http://en.wikipedia.org/wiki/PaX
> http://pax.grsecurity.net/docs/
документацию я бы нашёл и сам, а вот где в ней про сложности с этим ?
> я скопипастил описание не NX-бита а механизм защиты памяти защищённого режима 386 процессоров (ну мб 486 или пентиумов)
> почему сей механизм не используется на x86 компах ?

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

46. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от анонимХ on 11-Ноя-10, 14:42

Ограничение на запись на основе сегментов неудобно и неэффективно с точки зрения использования памяти, и AFAIK нигде не используется (для каждого типа сегментов в дескрипторах выделяется все адресное пространство, соответственно они пересекаются, и модифицировать код спокойно можно через дескриптор данных). Поэтому и придумали NX бит.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

47. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от JL2001 (ok) on 11-Ноя-10, 19:03

> Ограничение на запись на основе сегментов неудобно и неэффективно с точки зрения
> использования памяти, и AFAIK нигде не используется (для каждого типа сегментов
> в дескрипторах выделяется все адресное пространство, соответственно они пересекаются,
> и модифицировать код спокойно можно через дескриптор данных). Поэтому и придумали
> NX бит.
зачем выделять для сегмента кода и сегмента данных всю память ? почему нельзя выделять именно столько сколько требуется ? контекстами щёлкают всё равно - при переключении задач
вобще сейчас принято использовать 1 общий сегмент для ядра и 1 общий сегмент для всего юзерспейса ?

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

49. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от анонимХ on 11-Ноя-10, 21:47

>зачем выделять для сегмента кода и сегмента данных всю память ? почему нельзя выделять именно столько сколько требуется ?
А сколько требуется?:) Почитайте про используемую по у молчанию в linux модель памяти.
Внизу заметили что PaX может использовать SEGMEXEC путем деления виртуальной памяти пополам, но в стандартное ядро он не принят.
>вобще сейчас принято использовать 1 общий сегмент для ядра и 1 общий сегмент для всего юзерспейса ?
Почему один? Что значит общий? Перекрывающиеся сегменты для каждого процесса со своим адресным пространством. На самом деле документации в сети по этому поводу навалом, поищите.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

48. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от paxuser (ok) on 11-Ноя-10, 20:43

> Ограничение на запись на основе сегментов неудобно и неэффективно с точки зрения
> использования памяти, и AFAIK нигде не используется (для каждого типа сегментов
В PaX используется на процессорах без поддержки NX. Есть много задач, где сегментов по 1.5 ГБ более чем достаточно.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

2. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от segoon (ok) on 09-Ноя-10, 21:37

Вот ещё статья по схожей тематике: http://lwn.net/Articles/413213/

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

3. "Повышение безопасности Linux-ядра через использование доступ..." +3 +/–

Сообщение от non anon on 09-Ноя-10, 21:39

Мило. Только почему-то не упоминается, в результате всего этого счастья в некоторых случаях ядро будет падать при загрузке.
>The reason the RO/NX patch from Siarhei Liakh is not upstream yet is rather mundane: it introduced regressions - it caused boot crashes on one of my testboxes.
Надеюсь, что эта инновация не пройдет в апстрим. Ну а в ubuntu она будет смотреться очень органично ;-)

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

7. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от GG on 09-Ноя-10, 22:31

врядли изза этого
просто пока пилили одно - отпилили что-то другое
так бывает

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

12. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от Аноним (??) on 09-Ноя-10, 23:04

там речь о конкретном патче

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

17. "Повышение безопасности Linux-ядра через использование доступ..." +2 +/–

Сообщение от Аноним (??) on 10-Ноя-10, 01:23

"But there is no fundamental reason why it shouldnt be upstream. We can push it
upstream if the crashes are resolved"
Там речь о конкретных багах.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

15. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от Аноним (??) on 09-Ноя-10, 23:28

> Мило. Только почему-то не упоминается, в результате всего этого счастья в некоторых
> случаях ядро будет падать при загрузке.
>>The reason the RO/NX patch from Siarhei Liakh is not upstream yet is rather mundane: it introduced regressions - it caused boot crashes on one of my testboxes.
> Надеюсь, что эта инновация не пройдет в апстрим. Ну а в ubuntu
> она будет смотреться очень органично ;-)
Ну а фигли - пытаются ставить NX bit на стек, а gcc туда сует трамплины.. вот и получаем бяку..

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

16. "Повышение безопасности Linux-ядра через использование доступ..." +1 +/–

Сообщение от Ананимуз on 09-Ноя-10, 23:59

Тогда было бы логично, если бы бяка случалась чуть чаще, чем "on one of testboxes"

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

19. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от Дима (??) on 10-Ноя-10, 03:29

>Ну а фигли - пытаются ставить NX bit на стек, а gcc туда сует трамплины.. вот и получаем бяку..
Ещё пять лет назад были патчи на glibc, gcc и остальных, заменящие такой код.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

25. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от Аноним (??) on 10-Ноя-10, 06:20

существуют - только тогда прийдется отказываться от nested functions
http://gcc.gnu.org/onlinedocs/gcc/Nested-Functions.html.
что приводит к нарушению стандарта на язык C.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

26. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от paxuser (ok) on 10-Ноя-10, 07:03

Во-первых, трамплины можно эмулировать: http://pax.grsecurity.net/docs/emutramp.txt
Во-вторых, вложенные функции для Си *не* стандартизированы и крайне редко встречаются. Но даже при отсутствии эмуляции код с вложенными функциями можно в порядке исключения (!) запускать на исполняемом стеке - paxctl и аналоги в помощь.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

35. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от JL2001 (ok) on 10-Ноя-10, 13:26

> Во-первых, трамплины можно эмулировать: http://pax.grsecurity.net/docs/emutramp.txt
> Во-вторых, вложенные функции для Си *не* стандартизированы и крайне редко встречаются.
> Но даже при отсутствии эмуляции код с вложенными функциями можно в
> порядке исключения (!) запускать на исполняемом стеке - paxctl и аналоги
> в помощь.
или я не понимаю что такое трамплины или вот им замена в x86
http://stfw.ru/page.php?id=9905
Команды передачи управления
JMP target Имеет пять форм, различающихся расстоянием назначения от текущего адреса, и способом задания целевого адреса. При работе в Windows используется в основном внутрисегментный переход (NEAR) в пределах 32-битного сегмента. Адрес перехода может задаваться непосредственно (в программе это метка) или косвенно, т.е. содержаться в ячейке памяти или регистре (JMP [EAX]).
тоесть можно осуществить переход по заданому в переменной (регистре) адресу, тоесть запись в сегмент кода не требуется !

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

4. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от non anon on 09-Ноя-10, 21:41

Вообще PaX печально знаменит тем, что падает по поводу и без.
Похоже, сотрудники Canonical решили защитить ядро по самой простой схеме: паникующее ядро нельзя взломать.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

20. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от paxuser (ok) on 10-Ноя-10, 03:30

Унылый вброс. По делу: разработчики PaX и Grsecurity выпускают стабильные патчи на 2.6.32.х, а hardened-sources-2.6.32-rX в Hardened Gentoo проходят дополнительные этапы стабилизации (и могут использоваться в других дистрибутивах). Не скажу, что всё всегда гладко, но "падает по поводу и без" - явное преувеличение. Сам встречал панику только пару раз и только на этапе загрузки ядра. Если тестировать ядра перед запуском в продакшен, проблем практически нет.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

23. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от анон on 10-Ноя-10, 04:40

>По делу: разработчики PaX и Grsecurity выпускают стабильные патчи на 2.6.32.х, а hardened-sources-2.6.32-rX в Hardened Gentoo проходят дополнительные этапы стабилизации (и могут использоваться в других дистрибутивах).
То-то hardened-sources вечно замаскированы =)

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

24. "Повышение безопасности Linux-ядра через использование доступ..." +1 +/–

Сообщение от paxuser (ok) on 10-Ноя-10, 05:06

> То-то hardened-sources вечно замаскированы =)
В не-hardened профилях - конечно.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

40. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от Daemontux (ok) on 10-Ноя-10, 16:45

> Вообще PaX печально знаменит тем, что падает по поводу и без.
> Похоже, сотрудники Canonical решили защитить ядро по самой простой схеме: паникующее ядро
> нельзя взломать.
pax то как раз не падает. Падают проги в которых активно используются "грязные хаки"

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

10. "Повышение безопасности Linux-ядра через использование доступ..." –5 +/–

Сообщение от Zenitur on 09-Ноя-10, 22:54

сисадмин kernel.org и лидер Ubuntu Security Team? Ничего себе... Убунтоиды делают что-то полезное!

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

18. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от Anixx on 10-Ноя-10, 03:28

I am a kernel.org admin, where I work on maintaining the mirror network for the Linux Kernel, as well as handling user accounts.
https://wiki.ubuntu.com/KeesCook
То есть, его задача - поддержка сервера kernel.org и управление учетными записями пользователей, а вы что подумали?
Еще он прославился переводом серверов Linux Foundation с Red Hat на Ubuntu.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

21. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от Viliar (ok) on 10-Ноя-10, 03:36

Cуровый убунтоид, однако. Под шапкой таки спокойнее, чем без нее. Зима, вон, впереди :-)

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

22. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от анон on 10-Ноя-10, 04:36

>Еще он прославился переводом серверов Linux Foundation с Red Hat на Ubuntu.
kernel.org пока еще на федоре, так что всё хорошо.
А linux foundation нехай падает =)

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

27. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от rm_ (ok) on 10-Ноя-10, 07:40

А разве уже так не делается?
...
[    0.675209] lo: Disabled Privacy Extensions
[    0.675346] Mobile IPv6
[    0.675349] NET: Registered protocol family 17
[    0.675407] PM: Resume from disk failed.
[    0.675418] registered taskstats version 1
[    0.675598] rtc_cmos 00:03: setting system clock to 2010-11-10 04:33:07 UTC (
1289363587)
[    0.675620] Initalizing network drop monitor service
[    0.675656] Freeing unused kernel memory: 600k freed
>>> [    0.675773] Write protecting the kernel read-only data: 6144k
[    0.675897] Freeing unused kernel memory: 240k freed
[    0.676015] Freeing unused kernel memory: 448k freed
[    0.693243] udev[77]: starting version 163
[    0.693392] input: AT Translated Set 2 keyboard as /devices/platform/i8042/serio0/input/input0
[    0.742266] Floppy drive(s): fd0 is 1.44M
...

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

30. "Повышение безопасности Linux-ядра через использование доступ..." +2 +/–

Сообщение от Frank (ok) on 10-Ноя-10, 08:33

> А разве уже так не делается?
А читаем текст новостей по диагонали?
..._расширить_ области использования в ядре страниц памяти, переведенных в режим "только чтение"...

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

28. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от i (??) on 10-Ноя-10, 08:23

лучше бы перенесли не различные улучшения PaX и grsecurity, а все.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

31. "Повышение безопасности Linux-ядра через использование страни..." +/–

Сообщение от ostin (ok) on 10-Ноя-10, 12:20

vm86 используется в линуксе?

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

41. "Повышение безопасности Linux-ядра через использование доступ..." +/–

Сообщение от paxuser (ok) on 10-Ноя-10, 18:44

Имя поправили, спасибо.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

42. "Повышение безопасности Linux-ядра через использование страни..." +2 +/–

Сообщение от Аноним (??) on 10-Ноя-10, 20:51

Я все-равно не понимаю, почему  нельзя было изначально в ядре запретить писать в сегмент данных код и запускать код из сегмента данных. Такие ограничения поддерживал еще 80286!!
Трмаплины gcc для вложенных функций? Это единственная проблема?! Если да -- выжечь трамплины и приделать любой безопасный костыль.
Честно говоря не понимаю смысла NX-бита, если в 286 уже все было, только не на уровне страниц, а на уровне сегментов.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

50. "Повышение безопасности Linux-ядра через использование страни..." +/–

Сообщение от Xaionaro (ok) on 13-Ноя-10, 10:35

Припоминается одна ОС, у которой одной из основных задач при разработке ставилось организовать безопасную работу с ОЗУ. Всё разрабатывалась и разрабатывалась. А когда, наконец, было разработана, её потенциальный рынок давно завоевали другие ОС.
Я сейчас про "OS/2" :)
Однако вашу мысль я поддерживаю, за такое кол-во времени было бы весьма неплохо всё-таки успеть разобраться с подобными проблемами :)

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
Сообщение от JL2001 (ok) on 09-Ноя-10, 21:32
а почему нельзя весь код сделать запрещённым для записи после инициализации (загрузил модуль и замок на него) а на все данные - запрет на исполнение ?
Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	6. "Повышение безопасности Linux-ядра через использование доступ..."	+5 +/–
	Сообщение от GG on 09-Ноя-10, 22:30
	видимо потому, что бывает надо что-нибудь позаписывать бывает иногда
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	34. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от JL2001 (ok) on 10-Ноя-10, 13:15
	> видимо потому, что бывает надо что-нибудь позаписывать > бывает иногда а что надо то позаписывать ? и почему позаписываемое требуется исполнять ??? это специально сделанная задняя калитка для хакеров ?
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	38. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от Daemontux (ok) on 10-Ноя-10, 16:35
	Это наследие костылей x86
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	9. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от demimurych (ok) on 09-Ноя-10, 22:34
	если я ничего не забыл из за языков высокого уровня компиляторы которых часто перемешивают области данных с областями кода. т.е. нет четкой разницы что обозначив эту страницу памяти только на чтение ты тем самым не поставишь только на чтение часть данных. поправьте меня если я подзабыл.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	11. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от segoon (ok) on 09-Ноя-10, 22:58
	О чём вы говорите? Linux написан на сях и ассемблере.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	14. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от Аноним (??) on 09-Ноя-10, 23:27
	если ты пытался указать на трамплины, то они только в стеке. Остальные компиляторы уже давно не путают код и данные, особенно те которые с модификатором const или static.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	32. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от dq0s4y71 (??) on 10-Ноя-10, 12:47
	И я не помню чтобы путали. Си[++] всегда рассовывал код и данные с разными типами хранения по соответствующим сегментам. Не знаю насчет старых версий Паскаля, но сейчас он, вроде бы, делает так же. Может быть, бейсики какие-нибудь валят код и данные в одну кучу?
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	29. "Повышение безопасности Linux-ядра через использование доступ..."	–1 +/–
	Сообщение от Frank (ok) on 10-Ноя-10, 08:27
	Мешает отсутствие поддержки такого запрета на уровне процессора для многих архитектур (линукс не ограничивается работой только с современными CPU с поддержкой NX-бита, да).
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	33. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от JL2001 (ok) on 10-Ноя-10, 13:14
	NX-бит это "новость" конешно.. "The ARM architecture refers to the feature as XN for eXecute Never; it was introduced in ARM v6" но со времён пентиумов (или даж 386, не помню) есть же это на x86 ??? http://fat-crocodile.narod.ru/protected/02_segments.html Таблица 1. Формат дескриптора сегмента кода/данных. 3-й бит пятого байта Code/Data Если флаг установлен, дескриптор описывает сегмента кода, если сброшен – сегмент данных. Свойства сегмента определяют его тип и правила использования (попытка использовать сегмент не по правилам обычно приводит к исключению #GP). Не вдаваясь в детали, можно выделить следующие типы сегментов: * Сегмент кода (code segment). Допустимо исполнение, может быть разрешено чтение. * Сегмент данных (data segment). Допустимо чтение, может быть разрешена запись. используется в Глобальная таблица дескрипторов и заполняется при переходе в защищённый режим процессора, является одной из основ защищённого режима можно же было для x86 почесаться, это же не один процессор и даже не несколько процессоров одной фирмы !
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	36. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от dalco (ok) on 10-Ноя-10, 13:59
	Кабы не соврать, но NX бит, случаем, не с четвертых пней (Prescott(?)) пошел? Если так, то раритетных компов еще слишком много. P.S. Мне так вспоминается, что поддержкой NX оффтопик во времена XP SP2 хвастаться начал. А это не так уж давно было.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	37. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от JL2001 (ok) on 10-Ноя-10, 14:41
	> Кабы не соврать, но NX бит, случаем, не с четвертых пней (Prescott(?)) > пошел? Если так, то раритетных компов еще слишком много. > P.S. Мне так вспоминается, что поддержкой NX оффтопик во времена XP SP2 > хвастаться начал. А это не так уж давно было. я скопипастил описание не NX-бита а механизм защиты памяти защищённого режима 386 процессоров (ну мб 486 или пентиумов), и работал я на 486 с 95 виндой... почему сей механизм не используется на x86 компах ?
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	39. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от Daemontux (ok) on 10-Ноя-10, 16:39
	>> Кабы не соврать, но NX бит, случаем, не с четвертых пней (Prescott(?)) >> пошел? Если так, то раритетных компов еще слишком много. >> P.S. Мне так вспоминается, что поддержкой NX оффтопик во времена XP SP2 >> хвастаться начал. А это не так уж давно было. > я скопипастил описание не NX-бита а механизм защиты памяти защищённого режима 386 > процессоров (ну мб 486 или пентиумов), и работал я на 486 > с 95 виндой... > почему сей механизм не используется на x86 компах ? в документации к pax и grsecurity все разжеванно
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	43. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от JL2001 (ok) on 10-Ноя-10, 22:55
	>>> Кабы не соврать, но NX бит, случаем, не с четвертых пней (Prescott(?)) >>> пошел? Если так, то раритетных компов еще слишком много. >>> P.S. Мне так вспоминается, что поддержкой NX оффтопик во времена XP SP2 >>> хвастаться начал. А это не так уж давно было. >> я скопипастил описание не NX-бита а механизм защиты памяти защищённого режима 386 >> процессоров (ну мб 486 или пентиумов), и работал я на 486 >> с 95 виндой... >> почему сей механизм не используется на x86 компах ? > в документации к pax и grsecurity все разжеванно можно ссылку ? боюсь я не смогу самостоятельно найти
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	44. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от Daemontux (ok) on 11-Ноя-10, 07:25
	http://en.wikipedia.org/wiki/PaX http://pax.grsecurity.net/docs/
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	45. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от JL2001 (ok) on 11-Ноя-10, 13:44
	> http://en.wikipedia.org/wiki/PaX > http://pax.grsecurity.net/docs/ документацию я бы нашёл и сам, а вот где в ней про сложности с этим ? > я скопипастил описание не NX-бита а механизм защиты памяти защищённого режима 386 процессоров (ну мб 486 или пентиумов) > почему сей механизм не используется на x86 компах ?
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	46. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от анонимХ on 11-Ноя-10, 14:42
	Ограничение на запись на основе сегментов неудобно и неэффективно с точки зрения использования памяти, и AFAIK нигде не используется (для каждого типа сегментов в дескрипторах выделяется все адресное пространство, соответственно они пересекаются, и модифицировать код спокойно можно через дескриптор данных). Поэтому и придумали NX бит.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	47. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от JL2001 (ok) on 11-Ноя-10, 19:03
	> Ограничение на запись на основе сегментов неудобно и неэффективно с точки зрения > использования памяти, и AFAIK нигде не используется (для каждого типа сегментов > в дескрипторах выделяется все адресное пространство, соответственно они пересекаются, > и модифицировать код спокойно можно через дескриптор данных). Поэтому и придумали > NX бит. зачем выделять для сегмента кода и сегмента данных всю память ? почему нельзя выделять именно столько сколько требуется ? контекстами щёлкают всё равно - при переключении задач вобще сейчас принято использовать 1 общий сегмент для ядра и 1 общий сегмент для всего юзерспейса ?
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	49. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от анонимХ on 11-Ноя-10, 21:47
	>зачем выделять для сегмента кода и сегмента данных всю память ? почему нельзя выделять именно столько сколько требуется ? А сколько требуется?:) Почитайте про используемую по у молчанию в linux модель памяти. Внизу заметили что PaX может использовать SEGMEXEC путем деления виртуальной памяти пополам, но в стандартное ядро он не принят. >вобще сейчас принято использовать 1 общий сегмент для ядра и 1 общий сегмент для всего юзерспейса ? Почему один? Что значит общий? Перекрывающиеся сегменты для каждого процесса со своим адресным пространством. На самом деле документации в сети по этому поводу навалом, поищите.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	48. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от paxuser (ok) on 11-Ноя-10, 20:43
	> Ограничение на запись на основе сегментов неудобно и неэффективно с точки зрения > использования памяти, и AFAIK нигде не используется (для каждого типа сегментов В PaX используется на процессорах без поддержки NX. Есть много задач, где сегментов по 1.5 ГБ более чем достаточно.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору

2. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
Сообщение от segoon (ok) on 09-Ноя-10, 21:37
Вот ещё статья по схожей тематике: http://lwn.net/Articles/413213/
Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору

3. "Повышение безопасности Linux-ядра через использование доступ..."	+3 +/–
Сообщение от non anon on 09-Ноя-10, 21:39
Мило. Только почему-то не упоминается, в результате всего этого счастья в некоторых случаях ядро будет падать при загрузке. >The reason the RO/NX patch from Siarhei Liakh is not upstream yet is rather mundane: it introduced regressions - it caused boot crashes on one of my testboxes. Надеюсь, что эта инновация не пройдет в апстрим. Ну а в ubuntu она будет смотреться очень органично ;-)
Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	7. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от GG on 09-Ноя-10, 22:31
	врядли изза этого просто пока пилили одно - отпилили что-то другое так бывает
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	12. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от Аноним (??) on 09-Ноя-10, 23:04
	там речь о конкретном патче
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	17. "Повышение безопасности Linux-ядра через использование доступ..."	+2 +/–
	Сообщение от Аноним (??) on 10-Ноя-10, 01:23
	"But there is no fundamental reason why it shouldnt be upstream. We can push it upstream if the crashes are resolved" Там речь о конкретных багах.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	15. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от Аноним (??) on 09-Ноя-10, 23:28
	> Мило. Только почему-то не упоминается, в результате всего этого счастья в некоторых > случаях ядро будет падать при загрузке. >>The reason the RO/NX patch from Siarhei Liakh is not upstream yet is rather mundane: it introduced regressions - it caused boot crashes on one of my testboxes. > Надеюсь, что эта инновация не пройдет в апстрим. Ну а в ubuntu > она будет смотреться очень органично ;-) Ну а фигли - пытаются ставить NX bit на стек, а gcc туда сует трамплины.. вот и получаем бяку..
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	16. "Повышение безопасности Linux-ядра через использование доступ..."	+1 +/–
	Сообщение от Ананимуз on 09-Ноя-10, 23:59
	Тогда было бы логично, если бы бяка случалась чуть чаще, чем "on one of testboxes"
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	19. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от Дима (??) on 10-Ноя-10, 03:29
	>Ну а фигли - пытаются ставить NX bit на стек, а gcc туда сует трамплины.. вот и получаем бяку.. Ещё пять лет назад были патчи на glibc, gcc и остальных, заменящие такой код.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	25. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от Аноним (??) on 10-Ноя-10, 06:20
	существуют - только тогда прийдется отказываться от nested functions http://gcc.gnu.org/onlinedocs/gcc/Nested-Functions.html. что приводит к нарушению стандарта на язык C.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	26. "Повышение безопасности Linux-ядра через использование доступ..."	+/–
	Сообщение от paxuser (ok) on 10-Ноя-10, 07:03
	Во-первых, трамплины можно эмулировать: http://pax.grsecurity.net/docs/emutramp.txt Во-вторых, вложенные функции для Си не стандартизированы и крайне редко встречаются. Но даже при отсутствии эмуляции код с вложенными функциями можно в порядке исключения (!) запускать на исполняемом стеке - paxctl и аналоги в помощь.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору