Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимостей в ядре Linux, opennews (??), 27-Июн-20, (0) [смотреть все] Вот будет номер, когда в модуле для защиты от эксплуатации уязвимостей найдут эк, Аноним (1), 13:56 , 27-Июн-20, (1) +8 // Уже тыщу раз такое было, обычно дыры находят в патчах для защиты правда , Аноним (4), 14:04 , 27-Июн-20, (4) +4 // Понимаю дежурную иронию, которую мы здесь видим в комментариях почти на каждый а, solardiz (ok), 15:20 , 27-Июн-20, (12) +18 // Приятно вас почитать Правильно понимаю, что сейчас может быть безопаснее использ, Аноним (17), 15:40 , 27-Июн-20, (17) +3 Это сложная тема, связанная не только с ростом сложности ядер, но и с конкретным, solardiz (ok), 16:17 , 27-Июн-20, (22) +3 Спасибо, интересно было почитать , Аноним (17), 16:49 , 27-Июн-20, (26) +1 Ходят слухи, возможно даже от вас, что вы планируете перестать заниматься linux-, Аноним (37), 21:29 , 27-Июн-20, (37) Не слышал о таких слухах Разве что я здесь в одном из комментариев упоминал воз, solardiz (ok), 22:55 , 27-Июн-20, (42) +3 Интересно Спасибо за развёрнутый ответ А чем угодил или не угодил QubesOS Прос, Аноним (53), 03:32 , 28-Июн-20, (53) Про QubesOS сейчас расписывать не стану - off-topic, некогда Насчет BSD и гипер, solardiz (ok), 13:10 , 28-Июн-20, (61) +1 За 2 5 года публичного существования проекта уязвимостей в Linux выявлено полн, text (?), 03:46 , 28-Июн-20, (54) Да, есть такое очевидное отличие Но с точки зрения вероятности неприцельных ата, solardiz (ok), 14:12 , 28-Июн-20, (63) +2 Скрыто модератором, Мордиум (?), 14:00 , 27-Июн-20, (2) –1 // Скрыто модератором, Мордиум (?), 14:01 , 27-Июн-20, (3) +3 Скрыто модератором, Аноним (11), 15:03 , 27-Июн-20, (11) +1 // Скрыто модератором, Аноним (17), 15:35 , 27-Июн-20, (15) +1 // Скрыто модератором, Аноним (11), 15:51 , 27-Июн-20, (20) +1 Скрыто модератором, Аноним (17), 15:35 , 27-Июн-20, (16) +1 Интересно, сильно ли оно тормозит работу системы, Fracta1L (ok), 14:04 , 27-Июн-20, (5) +3 // Из текста новости снижение производительности при применении LKRG 0 8 оценивает, solardiz (ok), 18:15 , 27-Июн-20, (30) +3 Была попытка включить модуль в ядро Что ответили ядерщики , Аноним (6), 14:10 , 27-Июн-20, (6) // Такой попытки не было и пока не планируется Соответственно, ничего не ответили , solardiz (ok), 14:34 , 27-Июн-20, (9) +4 // А официально в дистры , Аноним (14), 15:34 , 27-Июн-20, (14) // Да, возможно, кто-то из участников сообщества или разработчиков LKRG возьмется з, solardiz (ok), 16:25 , 27-Июн-20, (24) +4 http packages altlinux org ru search query lkrg, Michael Shigorin (ok), 19:48 , 27-Июн-20, (33) +12 давайте проплюсуем Мишу, тот_же_анон_уже_без_мабилы (?), 20:25 , 27-Июн-20, (35) +4 АЛЬТ собирается в ядра добавлять KSPP https www kernel org doc html latest se, Аноним (59), 09:15 , 28-Июн-20, (59) +2 ---CONFIG_SECURITY_YAMA y--- http git altlinux org gears k kernel-image-std-de, Michael Shigorin (ok), 11:29 , 29-Июн-20, (67) PS vseleznv добавил поддержку lkrg в make-initrd 2 2 10 http git altlinux o, Michael Shigorin (ok), 21:20 , 24-Сен-20, (86) Если оно станет популярным, а тем более попадет как опция в ядро, эффективность , анонимус (??), 15:32 , 27-Июн-20, (13) // Мы это называем security through diversity Это одна из причин почему мы не пода, solardiz (ok), 15:44 , 27-Июн-20, (18) +4 // Through diversity - это ASLR , Аноним (14), 15:58 , 27-Июн-20, (21) +2 Да, и это тоже , solardiz (ok), 16:26 , 27-Июн-20, (25) +2 Напомните, кажется Alex Matrsov из hardwear io делал пен-тесты и ему понравилась, Мордиум (?), 19:01 , 27-Июн-20, (31) +1 К сожалению, не знаю о чем это Он тоже не знает , solardiz (ok), 22:30 , 27-Июн-20, (40) +2 Да, значит путаю, может это был Richard Hughes который lvfs и gnome, не буду гад, Мордиум (?), 00:25 , 28-Июн-20, (47) А вот и разгадка , Аноним (65), 09:55 , 29-Июн-20, (65) +2 Что будет если наплодить процессов которые будут делать for setuid 0 Как-т, анон (?), 14:15 , 27-Июн-20, (7) // А в чем проблема , Аноним (8), 14:33 , 27-Июн-20, (8) Ничего примечательного не будет Система будет работать примерно так же, как и б, solardiz (ok), 14:38 , 27-Июн-20, (10) +3 Для защиты Android от Qualcommо- и Broadcomогoвна подойдёт , Аноним (14), 15:45 , 27-Июн-20, (19) +1 // Предполагаю, что речь об атаках на Android, выполняемых из уязвимого кода прошив, solardiz (ok), 17:54 , 27-Июн-20, (29) +5 Когда уже выпуск модуля для защиты от эксплуатации уязвимостей в модуле для защ, Онаним (?), 19:42 , 27-Июн-20, (32) –1 // Попробуйте переключить ждуна на форсаж, вдруг быстрей само напишется , Michael Shigorin (ok), 19:51 , 27-Июн-20, (34) отличный проект хорошо, что починили суспенды, а то на ноутбуке модуль постоянн, онанимуз (?), 21:44 , 27-Июн-20, (38) // Надо срочно сообщить в Intel, а то они там мучаются патчи замедляющие штампуют, Аноним (39), 22:08 , 27-Июн-20, (39) +1 // то чувство, когда сарказм - это внезапно не сарказм , ananim (?), 10:34 , 28-Июн-20, (60) +1 Про capabilities, дак лучше неиспользуемые вообще отключать переходом в securele, Павел Отредиез (?), 22:41 , 27-Июн-20, (41) +1 // Проверяем, что capabilities процесса всё еще соответствуют сохраненным сразу пос, solardiz (ok), 23:06 , 27-Июн-20, (43) +1 // Понятно Вы используете security hooks и ваш модуль оформлен как модуль, я прави, Павел Отредиез (?), 23:13 , 27-Июн-20, (44) +1 // Используем kprobes Оформлен как модуль Экспорт самим ядром мы не трогаем, но д, solardiz (ok), 23:57 , 27-Июн-20, (46) +1 Если это возможно вашему модулю, то возможно security hooks и другому модулю Во, Павел Отредиез (?), 00:26 , 28-Июн-20, (48) +1 LKRG не предназначен нарушать работу других модулей, в том числе что-то переопре, solardiz (ok), 01:03 , 28-Июн-20, (50) +2 Я не помню сейчас стек вызовов хуков - до первого разрешения или запрета Но это, Павел Отредиез (?), 00:42 , 28-Июн-20, (49) +1 Мы не используем security hooks и не возвращаем разрешения запреты Мы перехваты, solardiz (ok), 01:18 , 28-Июн-20, (51) +2 Хорошо, мои мнения услышаны, спасибо за внимание , Павел Отредиез (?), 01:41 , 28-Июн-20, (52) +2 Для своего маленького модуля restrictcap я оставил оформление в виде модуля, но , Павел Отредиез (?), 23:40 , 27-Июн-20, (45) +1 Linux Defender, Аноним (55), 06:12 , 28-Июн-20, (55) // Ну давайте теперь у пользователя права админа отберём OH WAIT, OH SHI , КО (?), 08:03 , 28-Июн-20, (56) +1 Смотрел бегло ваши патчи, разные, начиная с owl Почитывал и вашу документацию о, Аноним (57), 08:49 , 28-Июн-20, (57) +1 // Важные ссылки напрямую не работают, надо их копировать набирать и открывать в др, Аноним (59), 09:01 , 28-Июн-20, (58) // Спасибо за мнение По-моему, у вас какая-то путаница 1 Что такое патчи owl Б, solardiz (ok), 13:38 , 28-Июн-20, (62) +2   // 1 Давно это было Смотрел, ваши патчи на ядро Выбрал тогда grsecurity 2 Ва, Аноним (69), 14:40 , 29-Июн-20, (69)   Давно, да OK LKRG - это не патчи, а модуль Адам начиная с версии LKRG 0 7 доб, solardiz (ok), 16:16 , 29-Июн-20, (73)   Патчи к ядру должны предоставлять, распространять бесплатно Если в нагрузку к п, Аноним (74), 16:29 , 29-Июн-20, (74)   Не стану комментировать законность договора grsecurity Да, LKRG - только модуль, solardiz (ok), 16:47 , 29-Июн-20, (77)   3 Наглядная табличка для сравнения LKRG с другими средствами нужна Можете на с, Аноним (69), 14:52 , 29-Июн-20, (70)   У нас почти исключительно другие Гарантий не даем LKRG пытается вовремя распоз, solardiz (ok), 16:40 , 29-Июн-20, (76) +1   В моих понятиях это плохо Как раз строгая реализация PAX для Linux дает гарантии, Аноним (80), 17:10 , 29-Июн-20, (80)   Конечно плохо Полные гарантии - это об отсутствии или полном исправлении уязв, solardiz (ok), 18:28 , 29-Июн-20, (83)   Возможно, Вам известны попытки проверить эти гарантии, не поделитесь Понятно, ч, Anonymouz (?), 21:33 , 29-Июн-20, (84)   Tripware, AIDE - сканеры по запросу коим уже по 20 лет Но использовать сканер п, Аноним (69), 15:05 , 29-Июн-20, (72) +1   То что такое есть это хорошая новость, но при целевой атаке сервис могут просто , Anonymouz (?), 16:31 , 29-Июн-20, (75) +1   Реализацию IMA EVM от IBM отключить невозможно, оно все ядерное Какой сервис ес, Аноним (80), 16:49 , 29-Июн-20, (78) +2   Попробуй 1 патч grsecurity, с жесткими настройками 2 IMA EVM от IBM в режиме enf, Аноним (80), 17:00 , 29-Июн-20, (79) +2   s 3 переводить 3 пересобрать Все надо перекомпилировать , Аноним (80), 17:14 , 29-Июн-20, (81)   Так ведь функционал LKRG ни с одним пунктом не пересекается, он борется с послед, анонимус (??), 14:32 , 28-Июн-20, (64) +2 // Мне нужна наглядная табличка с сравнением функционала Grsecurity тоже не надо на, Аноним (69), 14:58 , 29-Июн-20, (71) –1 Что-то не видно , Аноним (65), 10:51 , 29-Июн-20, (66) // Речь всего лишь об использовании переменной KERNELRELEASE при ее наличии вместо , solardiz (ok), 19:47 , 01-Июл-20, (85) // dkms conf есть в подготовленном deb пакете https deb whonix org pool main l lk, jura12 (ok), 02:57 , 16-Ноя-20, (88) а uefi не блокирует от изменения модули ядра , jura12 (??), 13:15 , 29-Июн-20, (68) ACL нормальный, блин, завезите , Аноним (82), 18:16 , 29-Июн-20, (82) –1 репозитарии в убунту когда будут , Юра (??), 00:53 , 03-Окт-20, (87) –1 // Тогда, когда ты их туда добавишь , ИмяХ (?), 02:01 , 13-Янв-21, (89) // уже добавил для 20 04 https launchpad net jurawww archive ubuntu www, jura12 (ok), 17:44 , 20-Янв-21, (90) 1,5,6,7,19,32,38,41,55,57,66,68,82,87

Сообщения

[Сортировка по времени | RSS]

	62. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+2 +/–
	Сообщение от solardiz (ok), 28-Июн-20, 13:38
	Спасибо за мнение. По-моему, у вас какая-то путаница. 1. Что такое "патчи owl"? Были патчи "-ow" (мелкие, для ядер с 2.0.x по 2.4.x), из которых исторически произошел grsecurity (когда я тянул с переходом с 2.2.x на 2.4.x и вообще ушел в безопасность userland с проектом Owl, а Brad тянуть не стал и портировал мой код сам, вскоре начав добавлять туда еще много чего). Оттолкнула "невозможность одновременного применения с PAX+Grsec"? Но в этом нет смысла. grsecurity с PaX можно было считать апгрейдом "-ow", и на него переходить или не переходить по разным причинам. Почти вся функциональность "-ow" была туда включена. Если же речь всё же идет именно про Owl, то это не отдельные патчи, а дистрибутив, где маленький патч на ядро тоже был, но в итоге он был специфичный для ядер OpenVZ и предназначенный только для использования в Owl же. 2. KSPP - это проект по повышению безопасности mainline ядер. Соответственно, если вы используете LKRG (или что угодно другое) на каком-либо свежем ядре, вы также используете и KSPP. Функционалы KSPP и LKRG дополняют друг друга, а не пытаются друг друга превзойти. Никто не мешает также использовать LKRG совместно с другими перечисленными вами средствами, хотя осмысленность таких сложностей под вопросом. Если вы купили grsecurity и регулярно обновляете ядра с ним, LKRG вам не очень нужен, а связанные с таким количеством защит риски могут быть неоправданны. LKRG наиболее полезен для полу-заброшенных систем, где ядро вероятно не будет своевременно обновлено. 3. Табличка могла бы быть полезна, но более высокоуровневая, чем та от grsecurity с их пристрастным выбором критериев сравнения.
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+/–
	Сообщение от Аноним (69), 29-Июн-20, 14:40
	1. Давно это было.... Смотрел, ваши патчи на ядро. Выбрал тогда grsecurity. 2. Ваши патчи LKRG совместно с grsecurity на свежих ядрах работают? > Если вы купили grsecurity Сами патчи Grsecurity бесплатны, как производная от ядра Linux защищенного GPL-2. Поддержка у них платная, как и везде.
	Ответить | Правка | Наверх | Cообщить модератору

	73. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+/–
	Сообщение от solardiz (ok), 29-Июн-20, 16:16
	Давно, да. OK. LKRG - это не патчи, а модуль. Адам начиная с версии LKRG 0.7 добавил экспериментальную поддержку работы с grsecurity. Проверял ли это кто-либо для версии 0.8, я не знаю. Насколько я понимаю, у grsecurity платная не только поддержка, но и доступ к свежим патчам. Наверное, сами это знаете лучше меня. Я не критикую, а лишь поясняю слово "купили".
	Ответить | Правка | Наверх | Cообщить модератору

	74. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+/–
	Сообщение от Аноним (74), 29-Июн-20, 16:29
	> у grsecurity платная не только поддержка, но и доступ к свежим патчам. Наверное, сами это знаете лучше меня. Я не критикую, а лишь поясняю слово "купили". Патчи к ядру должны предоставлять, распространять бесплатно. Если в нагрузку к патчам цепляют договор поддержки то это незаконно. https://www.opennet.ru/openforum/vsluhforumID3/120167.html#80 У меня ядро строго монолитное, без поддержки модулей, для безопасности. У вас только модуль?
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+/–
	Сообщение от solardiz (ok), 29-Июн-20, 16:47
	Не стану комментировать законность договора grsecurity. Да, LKRG - только модуль. Есть вариант включать sysctl kernel.modules_disabled сразу после загрузки LKRG. Может быть, мы добавим возможность влинковки LKRG в ядро в одной из будущих версий. Один из пользователей в lkrg-users уже такое проделал сам (по-видимому для включения в какой-то продукт его работодателя).
	Ответить | Правка | Наверх | Cообщить модератору

	70. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+/–
	Сообщение от Аноним (69), 29-Июн-20, 14:52
	3. Наглядная табличка для сравнения LKRG с другими средствами нужна. Можете на своем сайте сделать. Grsecurity в своей табличке сравнения написал свои фичи, возможно у вас есть и другие. PS: реклама это хорошо, таблички сравнений тоже. Главное это гарантии которые дает или нет реализация. Приводил пример реализации W^X у Linux+PAX и OpenBSD. Linux+PAX дает строгие гарантии реализации W^X и защиты памяти, а реализация W^X в OpenBSD гарантии не дает! Иследования KSPP сделанные grsecurity тоже выявили реализацию KSPP с дырами, без гарантий. Строгий не строгий профиль это все субъективно, как у вас со строгой реализацией и гарантиями?
	Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

	76. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+1 +/–
	Сообщение от solardiz (ok), 29-Июн-20, 16:40
	У нас почти исключительно другие. Гарантий не даем. LKRG пытается вовремя распознать почти успешные атаки, но для многих из них может и не успеть. Грубо говоря, он заменяет стабильно успешные атаки на вероятностно успешные, осознанно привнося в них необходимость выиграть гонку (race condition). Частичные гарантии (вроде "идеальный W^X") хороши для простоты рассуждений ("этот класс атак мы исключили полностью, теперь можно думать только о других"), но обычно не дают гарантии от эксплуатации уязвимостей (за исключением случаев когда речь идет фактически об исправлении уязвимостей).
	Ответить | Правка | Наверх | Cообщить модератору

	80. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+/–
	Сообщение от Аноним (80), 29-Июн-20, 17:10
	> Гарантий не даем. В моих понятиях это плохо. > Частичные гарантии (вроде "идеальный W^X") хороши для простоты рассуждений ("этот класс атак мы исключили полностью, теперь можно думать только о других"), но обычно не дают гарантии от эксплуатации уязвимостей Как раз строгая реализация PAX для Linux дает гарантии защиты от атак переполнения буфера. Мы согласны не иметь JIT, оптимизирует все при компиляции.
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+/–
	Сообщение от solardiz (ok), 29-Июн-20, 18:28
	Конечно плохо. Полные гарантии - это об отсутствии (или полном исправлении) уязвимостей и о formal verification кода, а не о mitigations. Например, PaX не дает гарантии успешной защиты от атак переполнения буфера, он может давать гарантию от внедрения кода, тогда как атаки могут действовать и иначе.
	Ответить | Правка | Наверх | Cообщить модератору

	84. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+/–
	Сообщение от Anonymouz (?), 29-Июн-20, 21:33
	>Как раз строгая реализация PAX для Linux дает гарантии защиты от атак переполнения буфера Возможно, Вам известны попытки проверить эти гарантии, не поделитесь? Понятно, что в математическом смысле их нет и быть не может (патчи часть Linux), но вот подробное независимое исследование что-то не гуглится :(
	Ответить | Правка | К родителю #80 | Наверх | Cообщить модератору

	72. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+1 +/–
	Сообщение от Аноним (69), 29-Июн-20, 15:05
	> поэтому наибольшая эффективность достигается при использовании связки AIDE и LKRG, позволившей выявить 14 из 15 руткитов всех типов. Tripware, AIDE - сканеры по запросу коим уже по 20 лет. Но использовать сканер по запросу надо всем обязательно. Уже лет 10 как в Linux есть сканер при доступе - IMA/EVM от IBM. Работает идеально. Обеспечивает подсистему Integrity для Linux. Мелким патчем добавляется в него ACL, PAX, ... получаем полную верификацию при доступе.
	Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

	75. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+1 +/–
	Сообщение от Anonymouz (?), 29-Июн-20, 16:31
	То что такое есть это хорошая новость, но при целевой атаке сервис могут просто остановить, так? Fileless malware встречается редко, но все-таки существует, вот тут любопытный пример: "SyScan'14 Singapore: Linux Memory Forensics A Real life Case Study By Georg Wicherski" (https://www.youtube.com/watch?v=JpY88tnqPhw https://archive.org/details/SyScanArchiveInfocon) - внедряется в процесс, перехватывая GOT, судя по описанию промежуточные файлы не использует. Вообще ситуация с руткитами в Linux удручает, в дикой природе кое-что ловится Volatility, но это еще нужно сделать корректный дамп, скоро этот момент будут отслеживать и станет совсем тяжко
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+2 +/–
	Сообщение от Аноним (80), 29-Июн-20, 16:49
	> То что такое есть это хорошая новость, но при целевой атаке сервис могут просто остановить, так? Реализацию IMA/EVM от IBM отключить невозможно, оно все ядерное. Какой сервис если нам надо верифицировать init (PID 1). https://www.linux.org.ru/forum/admin/15742224?cid=15744272 > Fileless malware встречается редко, но все-таки существует, вот тут любопытный пример: "SyScan'14 Singapore: Linux Memory Forensics A Real life Case Study By Georg Wicherski" Пусть себе внедряется PAX его пиибьет, или ASLR, канарейка от ssp. Здесь очень актуальный вопрос внедрению уже существующей безопасности в дистрах: paxtest blackhat hardened-check /bin/bash
	Ответить | Правка | Наверх | Cообщить модератору

	79. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+2 +/–
	Сообщение от Аноним (80), 29-Июн-20, 17:00
	> Вообще ситуация с руткитами в Linux удручает,... Попробуй: 1 патч grsecurity, с жесткими настройками. 2 IMA/EVM от IBM в режиме enforce & appraise 3 переводить весь софт без JIT и с опциями -fPIE -fPIC -fstack-protector-all 4 если ресурсы компа позволяют то на /home /tmp  куда пишут пользователи и на весь входящий трафик повесть clamav со сторонними базами. Я вот пытаюсь организовать базку с сигнатурами в формате YARA и ище одну для лечения, но желающих поддержать мало.
	Ответить | Правка | К родителю #75 | Наверх | Cообщить модератору

	81. "Выпуск модуля LKRG 0.8 для защиты от эксплуатации уязвимосте..."	+/–
	Сообщение от Аноним (80), 29-Июн-20, 17:14
	s/3 переводить/3 пересобрать/ Все надо перекомпилировать.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема