Джеймс Моррис (James Morris), один из разработчиков SELinux, мэйнтейнер подсистемы обеспечения безопасности ядра Linux и лидер команды разработчиков ядра Linux в компании Oracle, опубликовал статью (https://www.linux.com/learn/docs/727873-overview-of-linux-ke.../) с кратким и доступным описанием текущих возможностей ядра Linux, связанных с безопасностью и защитой информации. Упомянуты как давно известные и повсеместно используемые возможности (например, ACL, Capabilities, SELinux, Smack, AppArmor, TOMOYO, Yama, пространства имён, ecryptfs, dm-crypt, средства аудита, рандомизация распределения памяти), так и новые разработки, такие как модуль dm-verity (https://www.opennet.ru/opennews/art.shtml?num=33888) для верификации данных на блочном уровне и механизм Seccomp filter (https://www.opennet.ru/opennews/art.shtml?num=34387) для контроля обращения к системным вызовам.
URL: https://www.linux.com/learn/docs/727873-overview-of-linux-ke.../
Новость: https://www.opennet.ru/opennews/art.shtml?num=37407
Был бы премного благодарен за перевод
Без английского заниматься безопасностью компьютерных систем, гы-гы-гы...
Иди дворы подметай, безопаснее будет.
Он про денежный перевод я полагаю.
А научную фантастику дозволено читать только сдавшим физику, математику на отлично ?
Нужно было написать - НЕ учившим физику и математику.
> Нужно было написать - НЕ учившим физику и математику.Множество фантастических по своим возможностям и последствиям технологий вполне себе возможны с точки зрения физики и математики. Более того - в конечной точке эволюции только законы физики и ограничивают возможности. Правда просто? :)
>> Нужно было написать - НЕ учившим физику и математику.
> Множество фантастических по своим возможностям и последствиям технологий вполне себе возможны
> с точки зрения физики и математики. Более того - в конечной
> точке эволюции только законы физики и ограничивают возможности. Правда просто? :)Как удобно всё опровергать, правда?! Встал в позу: "Если этого нет - значит не существует!",
докажите обратное. А если нельзя ни доказать, ни опровергнуть, то виноваты инструменты.
Причём суждения о вероятности строятся только на предыдущем опыте и накопленных знаниях.
> Как удобно всё опровергать, правда?! Встал в позу: "Если этого нет - значит не существует!","Не существует здесь и сейчас" != "не может существовать в принципе" :). Некоторые этот момент упускают из вида.
Мичио Каку "Физика невозможного", читается как годная фантастика. Однако автор - нобелевский лауреат (вроде).Впрочем, в нормальной фантастике всё тоже путём.
> А научную фантастику дозволено читать только сдавшим физику, математику на отлично ?hard sf — желательно. хотя бы на «хорошо».
Математики собрались?А вычисления кратных интегралов в криволинейных координатах кто-нибудь
из отличников помнит?Ну или по пямяти расписать уравнения четырёх законов Максвелла?
ну, не помню. и что? для того, чтобы вспомнить, придумана справочная литература.
> вычисления кратных интегралов в криволинейных координатах кто-нибудь из отличников помнит?Дрочизм натуральный, особо если руками расписывать :)
> Ну или по пямяти расписать уравнения четырёх законов Максвелла?Ну по памяти я конечно максвелла идеально точно не напишу, но общий его смысл довольно прост: линии напряженности магнитного поля всегда замкнуты, а электрическое поле - перпендикулярно магнитному. Поля порождают друг друга. Максвелл всего лишь записал эти факты для общего случая.
То что запись получилась немного @#$нутой - ну так извините, а что вы хотели то для 2 взаимосвязанных полей в 3D пространстве? Это вам не школа, где автомобили в одномерном пространстве колесят, потому что так считать видите ли проще :). А если школьникам теорию относительности преподать - у них башня съедет. От грубой нестыковки того что там предсказывается с тем что в повседневной жизни на "обычных" скоростях наблюдается.
Идеи Специальной теории относительности достаточно просты, то же относится и к общей теории
относительности, идеи понятны, но математическое выражение общей теории относительности-
нелинейные дифференциальные уровнения, сами по себе сложны.
Не знаю, у нас в школе была часть спец. теории отн. и как то вроде крыша не съезжала у народа, зависит наверное от того как рассказывать, к сожалению МНОГИЕ современные преподаватели из ПЕД-ов сами то ни чего в этой части не понимают, и давать соответственно могут только "под диктовку" а на простые вопросы ответить не могут, вот так и выходит что люди потом в жизни считают объективно не сложную в общем физику чем то "запредельным".p.s. Школа была в г. Нальчике, не Москва и не рядом, и с физикой у большинства было "не совсем плохо".
Вы и в самом деле думаете, что школы Нальчика сильно хуже школ в Москве. Я понимаю ещё сельские школы в каких-нибудь станицах или городские, но где-нибудь в Дербенте.
> Вы и в самом деле думаете, что школы Нальчика сильно хуже школ
> в Москве. Я понимаю ещё сельские школы в каких-нибудь станицах или
> городские, но где-нибудь в Дербенте.Нет не считаю. Это просто что-бы отсечь у других мысли о специальных школах с сильно углубленным изучением физики
Магнитное поле не всегда перпендикулярно электрическому. Хотя, если в одной системе отсчёта они перепендикулярны, то и во всех других, наверное тоже. Уравнения Максвелла записать очень просто, это волновое уравнение на 4-мерный потенциал и в правой части 4-мерный ток. Что такое 4-мерные потенциал и ток читайте Ландавшица, 2-ой том.
>Иди дворы подметайНапрасно смеетесь, никто не застрахован.
Я бы сказал, что без тяжелых наркотиков не возможно заниматься SELinux.
Это время и место создания freebsd совпадает с временем и местом создания экстази,
а у SELinux красивая абстрактная архитектура, которую попытались реализовать интеграцией
каких-то кусков кода с существующей массой беспорядочно нагромождённого кода, коим является ядро linux.Для того, чтобы всё было красиво в реализации и беспроблемно в
экплуатации, требуется заново строить ядро и системное окружение отплясывая от архитектурных особенностей SELinux.
никак, автор SELinux пожаловал. или известный ядерный специалист. Гюльчатай, открой личико!
Ковырял исходники ядра выискивая те самые передачи в SELinux-овые куски, где происходят
проверки соответствий.Делать было нечего.
ок, твоё кунг-фу круче моего. я не ковырял, верю на слово.
А толку-то, когда жучки стоят на аппаратном уровне, на уровне гипервизоров..
От АНБ так просто не спрячешья, %username%!
И, конечно, вы нам их покажете? :)
> И, конечно, вы нам их покажете? :)Уже всё показано и рассказано:
http://www.xakep.ru/post/58104/
>> И, конечно, вы нам их покажете? :)
> Уже всё показано и рассказано:
> http://www.xakep.ru/post/58104/А этого исследователя исследовали на безопасность,
мож он сам троян завербованный, изучал существующие
методы защиты, сотрудников, ... ФСБ/Газпрома и др.
Ссылаться на "Хакер", на этот шедевр научной фантастики? Вы можете привести хоть один пример информации, опубликованной в данном сетевом/бумажном издании, чтобы она соответствовала действительности, содержала работающие коды и примеры?Возвращаясь к указанной Вами статье. Заметили, что к сообщениям господина автора представители спецслужб отнеслись скептически?
> Ссылаться на "Хакер", на этот шедевр научной фантастики? Вы можете привести хоть
> один пример информации, опубликованной в данном сетевом/бумажном издании, чтобы она соответствовала действительности, содержала работающие коды и примеры?Ну если бы тут было не Анонимное фуфло, то тема может быть развилась!
А что, НеАнонимность сразу делает мнение в два раза ценнее? Ты что как аноним пургу бы гнал в 50% случаев, что как павлинукс. Какая нахрен разница? :)
Неанонимное фуфло тут уже присутствует.
> И, конечно, вы нам их покажете? :)конечно. у них у всех одна дебильная статья, которую они за собой таскают и размахивают ней. великолепный детектор идиотов.
> у них у всех одна дeбильная статьяarisu не смог осилить? Ну конечно же автор дeбил!
Кэп, я тебе вроде показывал забавную штучку от Рутковской под BMC-проц мамки. С исходничками, все дела. Так что дыма без огня... ну в общем в куче проприетарных фирмварин может быть и какая-то гадость потенциально. Проверить обратное довольно сложно.Другое дело что сколь-нибудь сложную логику туда засунуть и не запалиться довольно сложно. Если оно будет только входящие пакеты ловить - это никогда не сработает из-за роутера который такое рубит. Если оно будет исходящие пакеты слать - это паливо :).
а я не говорю, что сие невозможно. я говорю, что статья — говно.
> а я не говорю, что сие невозможно. я говорю, что статья — гoвно.Ну так как проверить факты изложенные там - проблематично, а хакер - источник не особо надежный, дело ясное что дело темное. Тем не менее, указанный в статье вектор атаки вполне возможен и такое вполне могло и практиковаться в принципе. Ничему не противоречит особо.
Логику уже можно и сложную сочинить - размеры флеша довольно внушительные. Farbrauch и не такое ужимали до 64к))) А то что МСЭ у нас в системах выше 3й категории стоят - так потому скептически и отнеслись... 1А и Б вообще физически нельзя наружу пускать.
Только это не умаляет того факта, что в туже ПЛИСину или мост/вспомогательную/DSP микруху вставят манюсенький приемник того же GPS канала (как известно - не все из них доступны гражданским). И будет хорошая дистанционка. Причем автор статьи явно указал, что интел, типа, показывает, что к делу отношения не имеет но ВНЕЗАПНО у cn разрабов оказались валидные ключи шифрования этой хрени.
ЗЫ. Статью эту прочитал еще с выходом журнала. И так как уже работал в ИБ обратил внимание.
> микруху вставят манюсенький приемник того же GPS канала (как известно -
> не все из них доступны гражданским).Ага, и приличного размера антенну незаметно встроят. Вот только куда? У чипа размеры таковы что их недостаточно для эффективного приема сигналов относительно низких частот. А высокочастотные сигналы очень уж своеобразно распостраняются - только в пределах прямой видимости, как свет примерно. Физику то не обманешь, для эффективного приема антенна должна быть хотя-бы с четверть волны. Можно чуть меньше но прием упадет. Антенна чипового масштаба просто не услышит нифига в условиях отличных от лабораторных. И на этом убер-бэкдор и закончится.
FYI, GPS и с нормальной то антенной и кучей костылей имеет нехилые грабли с приемом в городах и особенно зданиях. По поводу чего ему подставляют костыли типа AGPS. А если девайс еще и в металлический корпус засунуть, как типовой писюк - станет совсем хорошо. Ибо металлический корпус работает как клетка Фарадея и экранирует сигнал.
>[оверквотинг удален]
> частот. А высокочастотные сигналы очень уж своеобразно распостраняются - только в
> пределах прямой видимости, как свет примерно. Физику то не обманешь, для
> эффективного приема антенна должна быть хотя-бы с четверть волны. Можно чуть
> меньше но прием упадет. Антенна чипового масштаба просто не услышит нифига
> в условиях отличных от лабораторных. И на этом убер-бэкдор и закончится.
> FYI, GPS и с нормальной то антенной и кучей костылей имеет нехилые
> грабли с приемом в городах и особенно зданиях. По поводу чего
> ему подставляют костыли типа AGPS. А если девайс еще и в
> металлический корпус засунуть, как типовой писюк - станет совсем хорошо. Ибо
> металлический корпус работает как клетка Фарадея и экранирует сигнал.Не будь д е б и л о м. Спутники никто не отменял. Равно, как и сравнительно мощные передатчики, принять сигнал коих довольно единственного диода Ганна на полосковом резонаторе. Фраза "Цена вопроса" тебе что-нибудь говорит?
> Не будь д е б и л о м. Спутники никто не отменял.Вот ты и не будь дeбилом. Для начала - посмотри какие проблемы например у GPS. Там работа на грани чувствительности идет. Это при наличии вполне приличной антенны, нормальных условиях приема, куче предварительных знаний о спутниках и прочая, между прочим. А если без нормальной антенны, да еще в металлическом корпусе, да еще в помещении...
Вообще-то спутники настолько далеко что сигнал очень слабый и даже с очень изощренными технологиями он еле-еле ловится в тепличных условиях. Которые чипам запаянным куда-то еще не светят. К тому же, если бы вы хоть немного соображали в электронике - вы бы могли различать радиочастотные цепи на плате невооруженным глазом. Они очень специфичные. Радиочасть невозможно спрятать от компетентного профессионала: для того чтоюы это работало - оно должно выглядеть весьма характерно.
> Равно, как и сравнительно мощные передатчики, принять сигнал коих довольно
> единственного диода Ганна на полосковом резонаторе.Ну да, удачи принять на это безобразие сигнал летевший сотни километров со спутника, при невозможности сделать нормального размера антенну, да еще в черти-каком окружении типа металлического корпуса и шумной цифровой части, которая гадит в широком диапазоне частот, а потом еще отличить "свой" сигнал от шума :)
> Фраза "Цена вопроса" тебе что-нибудь говорит?
Поскольку с GPS я дело как раз таки несколько имел (с различными GPS модулями, где часть RF-дизайна таки сваливается на плечи того кто модуль применяет) - пришлось немного изучать вопрос. Иначе лыжи не едут. Смею заверить - ВЧ цепи я теперь спокойно отличаю на глаз на любой плате :). А без нормальной антенны соединенной с чипом характерной структурой - чип GPS слеп и глух. Хоть там и сильно стараются, используя технологии которые далеко за пределами упомянутой вами примитивщины :).
В общем секрентная RF часть имхо не получится. Слишком характертаня структура которую запалит любой электронщик.
Я бы на месте буржуев и китайцев пхал бэкдоры в фирмвару BMC на мамке - почти все компьютеры нынче без сети никому не упали просто. А вот по сети можно магические пакеты фирмвари BMC прислать в два счета. И никакого гемора с секретной RF частью и плохими условиями приема. Если сеть у юзеря работает - значит и BMC пакетики получит.
>Смею заверить - ВЧ цепи я теперь спокойно отличаю на глаз на любой плате :)Ни в коей мере не в пику, все и так ясно с приемом спутника в каком-нибудь бункере на минус-цатом уровне, но насчет заметности один намек: платы сегодня сплошь слоеные.
>>Смею заверить - ВЧ цепи я теперь спокойно отличаю на глаз на любой плате :)
> Ни в коей мере не в пику, все и так ясно с
> приемом спутника в каком-нибудь бункере на минус-цатом уровне, но насчет заметности
> один намек: платы сегодня сплошь слоеные.Он илектронщик родом из 70х просто. Разве не заметно?
> Он илектронщик родом из 70х просто. Разве не заметно?О, я так смотрю, тут профессионалы собрались? Не покажете ваши крЮтые многослойки? Или вы так, пЫонеры, которым на словах и шнец, и жнец, и на дуде игрец? :)
> один намек: платы сегодня сплошь слоеные.Ага, а теперь ты еще изучи вопрос - что там за слои, собственно и насколько это сложно при таком дизайне верифицировать.
Да, и конечно, все вокруг - дyраки. И уж никто не заметит очень характерные дорожки с определенным волновым сопротивлением. Кстати слоеность плат вообще не аргумент: на заводах и в мастерских они проходят рентген-контроль зачастую. Как вы понимаете, незапланированные RF-дорожки нашлись бы довольно быстро. Тем паче что для продвинутых сервисников на многие устройства выдается нормальная документация. С полной схемой девайса + детальной разблюдовкой лэйаута платы - где и какой компонент находится, etc.
>[оверквотинг удален]
> сильно стараются, используя технологии которые далеко за пределами упомянутой вами примитивщины
> :).
> В общем секрентная RF часть имхо не получится. Слишком характертаня структура которую
> запалит любой электронщик.
> Я бы на месте буржуев и китайцев пхал бэкдоры в фирмвару BMC
> на мамке - почти все компьютеры нынче без сети никому не
> упали просто. А вот по сети можно магические пакеты фирмвари BMC
> прислать в два счета. И никакого гемора с секретной RF частью
> и плохими условиями приема. Если сеть у юзеря работает - значит
> и BMC пакетики получит.А ты уверен, что их там нет? Погляди прикола для на сетевушку Intel EtherExpress Pro-100B. Дреееееевнюю такую. Ну и в биосы матерей - тоже. Там, где управление питанием. Угумс? А также в код этих самых BMC. Так, для прикола.
Что до остального - чувак, не морочь голову. Цена вопроса в данном случае в том, что чипухи не только в писюки суют. В военной технике они очень даже применяются, а там-то можно и позаботиться об соответствующем исполнении при производстве для лютых друзей.
О военной технологии что-нибудь знаем, не?
> самых BMC. Так, для прикола.А вот эти как раз и вызывают определенные подозрения. То-есть, уличить интель в этом не удалось, однако как минимум - я могу себе представить как такое реализовать. Поэтому гарантий что интел или китайцы или кто там еще в n+1'й версии бинарного софта не впихнут подлянку - я бы не дал.
> военной технике они очень даже применяются,
В военную технику вообще-то запрещено запаивать что попало, чтоб вы знали. Туда паяют или чипы местного производства или относитеьлно простые чипы, которые можно верифицировать на предмет их устройства. Абы какие чипы в ответственные применения паять запрещается. Что сильно доставляет конструкторам всего этого барахла.
> об соответствующем исполнении при производстве для лютых друзей.
Как вы понимаете, откровенный саботаж угробит репутацию чипмейкера в район плинтуса. Хотя приколы иногда случаются. Aka Actel с супер-пупер шифрованием прошивки FPGA чипов. И инженерные команды JTAG для его обхода. Но это как раз предсказуемо - производитель посчитал что ему, в отличие от остальных таки можно чужую интеллектуальную собственность тырить. И реализация простая - достаточно часть команд не задокументировать и как бы готово. А то что кто-то попробует брутфорсом слать что попало... ну... вот так вот они и попались, собственно :)
> О военной технологии что-нибудь знаем, не?
Конечно! "У нас есть такие приборы! Но вам мы их не покажем!" :)
Мне в своё время рассказывали про хардовые закладки в компах, с ссылками на слова людей из ИТ. Только это были большие компы купленные ещё во времена СССР. PDP что ли это были.
> А толку-то, когда жучки стоят на аппаратном уровне, на уровне гипервизоров.а как они выполнены, что они могут такого делать, что собой представляют и как их можно выявлять? (антивирусы такое что-нибудь видят? А как возможности таких жучков ("bugs") зависят от используемой на таком железе ОС? Насколько больше таких рисков тогда, когда используются закрытые и драйвера и аппаратное обезпечение?))
Так же на этот счет я слышал, что во многом по причине именно таких рисков в нашей военной и космической технике стараются не использовать импортные электронные компоненты. Например мне разсказывали про случай, как какая-то микросхема, не имеющая в своем назначении отношения к передачи данных тем не менее устанавливала связь с wi-fi сетями и через них что-то пыталась передать ("слить").
> как их можно выявлять? (антивирусы такое что-нибудь видят?...Буквально вчера на Хабре опубликована статья:
"Руткиты: проблемы безопасности и тенденции развития"
http://habrahabr.ru/company/xakep/blog/186072/Если тема заинтересовала, почитайте.
Там как раз в общем описываются угрозы и методы борьбы.
Ты только не обижайся, но я скажу. Принципиально нельзя защитить систему, находясь внутри этой системы. Систему можно защитить, находясь вне нее и контролируя данную систему полностью независимо от любых ее механизмов. Хочешь, прими это за аксиому. Хочешь, поищи доказательств.Резюмирую. Нельзя защитить операционную систему антивирусом, работающим под управлением этой самой операционной системы. Нельзя защитить операционную систему от деструктивных действий аппаратной прошивки, если операционная система сама работает под управлением этой прошивки.
> Ты только не обижайся, но я скажу. Принципиально нельзя защитить систему, находясь
> внутри этой системы. Систему можно защитить, находясь вне нее и контролируя
> данную систему полностью независимо от любых ее механизмов. Хочешь, прими это
> за аксиому. Хочешь, поищи доказательств.Нельзя защитить неизвестную систему. Системы с открытым (или предоставляемым на исследование) исходным кодом, с контрольной пересборкой на совпадение хеша (условие получения сертификатов определенных групп) вполне себе защищаются - это первое.
Было бы что защищать - принцип целесообразности еще никто не отменял, как и кривую спроса-предложения)))
А по поводу действий прошивки в работе ОС - ОС их не заметит, так как сама работает в виртуале. Система на то и система, состоит из кучи элементов - финальная проверка работы системы всегда проводится на стенде полностью имитирующем рабочие условия, и защита от неприкрытых участков уже ставится снаружи по выходным потокам этой системы.
> А по поводу действий прошивки в работе ОС - ОС их не
> заметит, так как сама работает в виртуале.Вообще-то виртуализаторы очень даже можно заметить по ряду косвенных признаков.
Кроме свободное и безопасного ПО, бывает ещё свободный hardware ;)
> Кроме свободное и безопасного ПО, бывает ещё свободный hardware ;)Покажи пальцем. В промышленных количествах, и АБСОЛЮТНО свободный. Желательно, производимый лично Столлманом.
>> Кроме свободное и безопасного ПО, бывает ещё свободный hardware ;)
> Покажи пальцем. В промышленных количествах, и АБСОЛЮТНО свободный. Желательно, производимый
> лично Столлманом.И - да, свободный != безопасный.
> Покажи пальцем. В промышленных количествах, и АБСОЛЮТНО свободный.Определение "абсолютной свободы" в студию. А то так можно дойти до того что надо документацию на ВСЕ техпроцессы. От процесса создания дубинки дикаря до конструирования сложных CNC-машин и тому подобного добра потребного для запуска современного производства.
> Желательно, производимый лично Столлманом.
А чего не лично Версаче, например? :)
А так - как ни странно есть и вполне себе открытые дизайны чипов (OpenRISC + модули на системную шину wishbone например). Пошел да заказал себе ASIC на фабрике, если толшина кошелька позволяет. И уж тем более навалом железа с полной схемой, чуть меньше - с CAD файлами платы, так что можно самому перерисовать да испечь на ближайшей фабрике (для этого толщина кошелька даже уже вменяемая вполне нужна, даже индивидуал потянет, если не бомжарик).
Хех, и как-бы "случайно" забыли про PAX и grsecurity.
> Хех, и как-бы "случайно" забыли про PAX и grsecurity.оно не в ядре; и там никогда не будет
И очень зря.
> оно не в ядре; и там никогда не будетЗнаток блин.
> Хех, и как-бы "случайно" забыли про PAX и grsecurity.А это что по-вашему?:
Address Space Layout Randomization (ASLR) places various memory areas of a userland executable in random locations, which helps prevent certain classes of attacks. This was adapted from the external PaX/grsecurity projects, along with several other software-based hardening features
> А это что по-вашему?:
> Address Space Layout Randomization (ASLR) places various memory areas of a userland
> executable in random locations, which helps prevent certain classes of attacks.
> This was adapted from the external PaX/grsecurity projects, along with
> several other software-based hardening featuresЭто был единственный более-менее рабочий субпроект PaX.
А как же NX bit, SMEP и SMAP? Всё это зародилось в PAX.