The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Релиз ядра Linux 3.4. Обзор новшеств, opennews (?), 21-Май-12, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


30. "Релиз ядра Linux 3.4. Обзор новшеств"  +/
Сообщение от Аноним (-), 21-Май-12, 14:38 
> Также Yama поддерживает средства борьбы с атаками через подстановку символических ссылок (следование по символическим ссылкам разрешается в общедоступных каталогах только при совпадении UID ссылки и пытающегося перейти по ссылке процесса) и манипулирование жесткими ссылками (запрещается создание жестких ссылок, если у пользователя нет прав на доступ к файлу, на который направляется ссылка);

Нет. В той версии YAMA, которую добавили в ядро, остался только контроль ptrace. Остальные "защиты" выкинули по требованию рецензентов (и правильно, а то захотел сходить по чужому симлинку - пересобери ядро, дух Ubuntu as is).

Ответить | Правка | Наверх | Cообщить модератору

36. "Релиз ядра Linux 3.4. Обзор новшеств"  +/
Сообщение от Аноним (-), 21-Май-12, 14:41 
Кстати, создал его тот же самый человек, который админил kernel.org на момент взлома.
Ответить | Правка | Наверх | Cообщить модератору

62. "Релиз ядра Linux 3.4. Обзор новшеств"  +1 +/
Сообщение от solardiz (ok), 21-Май-12, 16:10 
> Кстати, создал его тот же самый человек, который админил kernel.org на момент
> взлома.

Эта теория далека от реальности, хотя появилась она не на пустом месте. Насколько мне известно, Kees (и не только он) администрировал систему mirror'ов kernel.org, при этом не отвечая за сами сервера kernel.org и не выбирая политику безопасности. Правильно ли его упрекать за то, что он взялся за такой участок работ, при этом не заставив остальных переделать всё остальное (что, думаю, без взлома и не удалось бы - если посмотреть как сложно продвигаются те же hardening-патчи в ядро)? Думаю, нет.

Также, две из трех обсуждаемых hardening-возможностей (т.е. kernel.yama.protected_sticky_symlinks и kernel.yama.protected_nonaccess_hardlinks, но не kernel.yama.ptrace_scope) исходно разработаны не Kees'ом, а пришли из -ow патчей и долгие годы существовали в grsecurity. Kees обернул их в форму, пригодную для использования в Ubuntu и для потенциального включения в mainline kernel. За что ему спасибо.

Ответить | Правка | Наверх | Cообщить модератору

44. "Релиз ядра Linux 3.4. Обзор новшеств"  +/
Сообщение от Аноним (-), 21-Май-12, 14:49 
> Я обожаю тебя линус

// fixed

Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

59. "Релиз ядра Linux 3.4. Обзор новшеств"  +1 +/
Сообщение от solardiz (ok), 21-Май-12, 15:45 
> В той версии YAMA, которую добавили в ядро, остался только контроль ptrace.

Да. А жаль.

> Остальные "защиты" выкинули по требованию рецензентов

Патчи в mainstream-ядра продвигаются по частям. Это не значит, что остальные части не будут включены несколько позже, когда удастся получить ACK'и.

> (и правильно, а то захотел сходить по чужому симлинку - пересобери ядро, дух Ubuntu as is).

Во-первых, говоря именно о симлинках, ограничение распространялось бы лишь на симлинки в каталогах с +t (таких как /tmp). Сознательно ходить по чужим симлинкам в /tmp может быть нужно очень-очень редко (возможно, для проверки какого-нибудь exploit'а). Во-вторых, никакой пересборки ядра не требуется - есть sysctl'ы kernel.yama.protected_sticky_symlinks и kernel.yama.protected_nonaccess_hardlinks. Если не нравится, что эти вещи включены по умолчанию, их можно выключать при загрузке системы с помощью /etc/sysctl.conf. Если такое умолчание не нравится maintainer'ам ядра, оно может быть другим (т.е. эти ограничения могут быть по умолчанию выключены), что на мой взгляд не является существенным поводом не принимать патчи, которые иначе придется продолжать поддерживать на уровне дистрибутивов.

Кстати, по моему опыту, из этих трех ограничений иногда слегка мешает лишь принятое сейчас ограничение ptrace - да и то только при разработке/отладке (возможность не-root'у присоединить отладчик к отдельно запущенному процессу). А еще Wine этому смущается когда Win64-программа падает и он хочет выдать диагностику. Но я тем не менее за наличие этой вещи в ядре. Отключить ее на системах, использующихся для разработки/отладки, не сложно (kernel.yama.ptrace_scope = 0 в /etc/sysctl.conf). Ограничения симлинков и хардлинков же не мешают вообще.

Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

133. "Релиз ядра Linux 3.4. Обзор новшеств"  +/
Сообщение от Michael Shigorinemail (ok), 23-Май-12, 01:09 
> Ограничения симлинков и хардлинков же не мешают вообще.

Когда-то порой мешали -- только догадавшись заглянуть в dmesg, можно было понять, какой privsep'нутый процесс по какому созданному другим privsep'нутым процессом симлинку не пущают ;)

Но в основном они того стоили, конечно.  Спасибо.

Ответить | Правка | Наверх | Cообщить модератору

162. "Релиз ядра Linux 3.4. Обзор новшеств"  +/
Сообщение от solardiz (ok), 03-Авг-12, 21:17 
>> Остальные "защиты" выкинули по требованию рецензентов
> Патчи в mainstream-ядра продвигаются по частям. Это не значит, что остальные части не будут включены несколько позже, когда удастся получить ACK'и.

На днях их включили:

http://www.openwall.com/lists/kernel-hardening/2012/08/03/17
http://git.kernel.org/?p=linux/kernel/git/torvalds/linux.git...

Ответить | Правка | К родителю #59 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру