Linux Security (2016) / Безопасность Linux (2016): Linux Security (2016)

Безопасность Linux (2016)

ilya_a 21.01.17 в 15:41

Введение

ilya_a 21.01.17 в 15:42

За последние 10 лет, GNU/Linux достиг чего-то такого, что практически невозможно: работа как на самых маленьких так и на самых больших устройствах в мире, а также на тех, что между ними.

ilya_a 21.01.17 в 15:56

Только десктопы являются ещё не завоёванными.

ilya_a 21.01.17 в 15:58

2016 год оказал огромное влияние на мир. Как и в реальной жизни, так и в цифровом. Некоторые люди обнаружили, что их личные данные просочились в Интернете, другие нашли своём программном обеспечении бэкдоры. Давайте посмотрим назад на то, что произошло в этом году в отношении безопасности Linux.

ilya_a 21.01.17 в 18:53

Почему этот доклад?

liuch 23.01.17 в 00:41

В этой статье мы хотим охватить самые важные события прошлого года. Оглядываясь назад мы можем лучше предсказать, что должно произойти в ближайшие годы. Эта статья размещена на этом блоге чтобы предоставить вам гибкую броню. Обратная связь через комментарии приветствуется.

liuch 23.01.17 в 01:01

О CISOfy

threepointsix 12.09.20 в 11:24

Эту обширную статью написали создатели CISOfy. Мы нацелены на безопасность систем Linux и Unix. Мы создали инструмент Lynis с открытым исходным кодом и это переросло в Lynis Enterprise. Мы помогаем вам с проверкой безопасности ваших систем и соблюдением всех правил.

threepointsix 12.09.20 в 11:34

25 лет существует Linux

p_zombie 24.04.17 в 12:22

В этом году проходил праздник в честь системы Linux. 25 лет назад Линус Торвальдс показал миру своё творение. Одна из первых проблем после выпуска была связана именно с безопасностью. При запуске 64 процессов система давала сбой. Учитывая возраст проекта, ошибки были приемлимы.

threepointsix 12.09.20 в 11:44

Основные моменты безопасности: бэкдоры

threepointsix 12.09.20 в 11:45

Бэкдор в Linux Mint (Февраль 2016)

nirnri 04.04.17 в 14:59

Популярный дистрибутив Linux Mint имеет неприятный сюрприз. Пользователи кто скачивал дистрибутив на 20 февраля получили релиз с бэкдором.

nirnri 09.09.17 в 15:16

Что произошло?

nirnri 06.04.17 в 18:42

Сервер проекта, судя по всему, был взломан через WordPress. Злоумышленникам удалось подложить новый дистрибутив формата ISO с установленным в него бэкдором. Если в вашем дистрибутиве был файл /var/lib/man.cy, это значит, что у вас была установлена взломанная сборка.

p_zombie 26.09.20 в 18:48

Уроки усвоены

nirnri 04.04.17 в 15:20

Прекратить использование MD5. Если вы всё еще исопльзуете SHA1, тогда добавьте также хеш SHA256 или SHA512.

nirnri 04.04.17 в 15:31

Безопасность ядра Linux и самозащита

nirnri 04.04.17 в 15:34

Горячая тема касается упрочнения ядра и концепции «самозащиты». Ядро должно быть способным защищаться от базового набора атак. Как правило, это переполнение буфера приводящий к несанкционированному доступу к сегментам памяти. К счастью, некоторые из этих защит теперь обсуждаются и первый набор исправлений был применен к официальным источникам ядра.

nirnri 04.04.17 в 15:42

Одним из таких примеров является версия Linux 4.9. Ядро теперь может обеспечить надлежащую защиту памяти в зависимости от типа данных, хранящихся в памяти. Память кода помечается как исполняемая и доступная только для чтения, при этом данные только для чтения помечаются как доступные только для чтения и неисполняемые, а данные, доступные для записи, как неисполняемые.

TheAnaxMan 05.08.23 в 15:05

Еще одно недавнее дополнение — добавление защитных страниц между стеками. Стеки используются для ведения списка действий процесса и определения следующего шага. В ядре все эти стеки процессов сопоставлены вместе, с риском исчерпания стека одним процессом (аналогично переполнению буфера, но для стеков). Если это удается, процесс может напрямую влиять на другой процесс. С помощью защитных страниц это защищено, в результате чего ядро ​​​​отправляет ошибку и предотвращает атаку.

TheAnaxMan 05.08.23 в 15:05

Необходимые ссылки

nirnri 04.04.17 в 15:46

Предотвращение Неизвестных Ошибок: особенности основного ядра Linux (29 минут)

p_zombie 26.09.20 в 18:50

Проект самозащиты ядра

nirnri 04.04.17 в 15:44

Необходимые параметры ядра

nirnri 04.04.17 в 15:44

CONFIG_DEBUG_RODATA

nirnri 06.04.17 в 18:02

CONFIG_DEBUG_SET_MODULE_RONX

nirnri 06.04.17 в 18:02

CONFIG_CPU_SW_DOMAIN_PAN (ARM)

nirnri 06.04.17 в 18:02

CONFIG_ARM64_PAN (ARM64)

nirnri 06.04.17 в 18:02

CONFIG_X86_SMAP (X86)

nirnri 06.04.17 в 18:02

CONFIG_KASAN_INLINE (для тестирования)

nirnri 06.04.17 в 18:03

CONFIG_KASAN_OUTLINE (для тестирования)

nirnri 06.04.17 в 18:03

CONFIG_UBSAN

nirnri 06.04.17 в 18:03

Живое исправление ядра

TheAnaxMan 05.08.23 в 15:05

Технология исправления работающего ядра не нова. Несколько технологий были разработаны на протяжении многих лет:

TheAnaxMan 05.08.23 в 15:05

KernelCare

nirnri 06.04.17 в 18:07

kexec

nirnri 06.04.17 в 18:07

kGraft (SUSE)

nirnri 06.04.17 в 18:07

kpatch (Red Hat)

nirnri 06.04.17 в 18:08

Ksplice (Ksplice, теперь Oracle)

nirnri 06.04.17 в 18:08

Благодаря поддержке kGraft в исходных кодах ядра дистрибутивы теперь могут использовать эту функциональность. Когда новая уязвимость системы безопасности попадает в ядро, дистрибутив может создать соответствующий патч. Затем он загружается как модуль ядра и применяет обход затронутой функции, в которой есть уязвимость. К созданию этих исправлений следует отнестись с большой осторожностью, поскольку они изменят работающее ядро. По этой же причине ядро ​​будет помечать себя как испорченное, чтобы отразить это. Это похоже на бэкдор ядра, за исключением уважительной причины. Если вы не разрешаете загружать модули ядра, то этот метод, очевидно, не будет работать.

TheAnaxMan 05.08.23 в 15:05

Canonical объявила в октябре 2016 года о доступности использования Livepatch на Ubuntu. Эта услуга стала доступной как для клиентов, так и для бесплатных пользователей, хотя для последних она была ограничена тремя системами.

ClarkeFeed 20.04.21 в 19:09

Среднее время жизни ошибок безопасности

ClarkeFeed 20.04.21 в 19:04

Киис Кук, в данный момент работающий в Google, поделился интересным наблюдением относительно жизни ошибок безопасности до их исправления. Это может занять от 3 до 6 лет для серьезных и критических проблем.

ClarkeFeed 20.04.21 в 19:06

Уязвимости в Linux

Vezono 28.07.20 в 07:56

Как и в прошлые годы, в этом году было немало серьезных уязвимостей. С учетом разницы во времени между нахождением и опубликованием, их список упорядочен по номеру CVE.

Vezono 28.07.20 в 07:58

CVE-2015-7547 – glibc

Vezono 28.07.20 в 07:58

Проблемы в glibc, самой базовой библиотеке, затрагивающей почти все системы Linux, вызвали некоторое внимание в начале года. Во время устранений странных проблев с SSH, было обнаружено, что причина была в другом месте: glibc.

Vezono 28.07.20 в 07:59

CVE-2016-1247 – nginx (повышение привилегий root)

Vezono 28.07.20 в 08:00