Готовый перевод Linux Security (2016) / Безопасность Linux (2016): Linux Security (2016)

Безопасность Linux (2016)

Введение

За последние 10 лет, GNU/Linux достиг чего-то такого, что практически невозможно: работа как на самых маленьких так и на самых больших устройствах в мире, а также на тех, что между ними.

Только десктопы еще не завоеваны.

2016 год оказал огромное влияние на мир. Как и в реальной жизни, так и в цифровом. Некоторые люди обнаружили, что их личные данные просочились в Интернете, другие нашли своём программном обеспечении бэкдоры. Давайте посмотрим назад на то, что произошло в этом году в отношении безопасности Linux.

Почему этот доклад?

В этой статье мы хотим охватить самые важные события прошлого года. Оглядываясь назад мы можем лучше предсказать, что должно произойти в ближайшие годы. Эта статья размещена на этом блоге чтобы предоставить вам гибкую броню. Обратная связь через комментарии приветствуется.

О CISOfy

Эту обширную статью написали создатели CISOfy. Мы нацелены на безопасность систем Linux и Unix. Мы создали инструмент Lynis с открытым исходным кодом и это переросло в Lynis Enterprise. Мы помогаем вам с проверкой безопасности ваших систем и соблюдением всех правил.

25 лет с создания Linux

В этом году проходил праздник в честь системы Linux. 25 лет назад Линус Торвальдс показал миру своё творение. Одна из первых проблем после выпуска была связана именно с безопасностью. При запуске 64 процессов система давала сбой. Учитывая возраст проекта, ошибки были приемлимы.

Основные моменты безопасности: бэкдоры

Бэкдор в Linux Mint (Февраль 2016)

Популярный дистрибутив Linux Mint имеет неприятный сюрприз. Пользователи кто скачивал дистрибутив на 20 февраля получили релиз с бэкдором.

Что произошло?

Сервер проекта, судя по всему, был взломан через WordPress. Злоумышленникам удалось подложить новый дистрибутив формата ISO с установленным в него бэкдором. Если в вашем дистрибутиве был файл /var/lib/man.cy, это значит, что у вас была установлена взломанная сборка.

Уроки усвоены

Прекратите использовать MD5. Если вы используете SHA1, тогда также добавьте хеши SHA256 либо SHA512

Безопасность ядра Linux и самозащита

Горячая тема касается упрочнения ядра и концепции «самозащиты». Ядро должно быть способным защищаться от базового набора атак. Как правило, это переполнение буфера приводящий к несанкционированному доступу к сегментам памяти. К счастью, некоторые из этих защит теперь обсуждаются и первый набор исправлений был применен к официальным источникам ядра.

Одним из таких примеров является версия Linux 4.9. Ядро теперь может обеспечить надлежащую защиту памяти в зависимости от типа данных, хранящихся в памяти. Память кода помечается как исполняемая и доступная только для чтения, при этом данные только для чтения помечаются как доступные только для чтения и неисполняемые, а данные, доступные для записи, как неисполняемые.

Еще одно недавнее дополнение — добавление защитных страниц между стеками. Стеки используются для ведения списка действий процесса и определения следующего шага. В ядре все эти стеки процессов сопоставлены вместе, с риском исчерпания стека одним процессом (аналогично переполнению буфера, но для стеков). Если это удается, процесс может напрямую влиять на другой процесс. С помощью защитных страниц это защищено, в результате чего ядро ​​​​отправляет ошибку и предотвращает атаку.

Необходимые ссылки

Предотвращение Неизвестных Ошибок: особенности основного ядра Linux (29 минут)

Проект самозащиты ядра

Необходимые параметры ядра

CONFIG_DEBUG_RODATA

CONFIG_DEBUG_SET_MODULE_RONX

CONFIG_CPU_SW_DOMAIN_PAN (ARM)

CONFIG_ARM64_PAN (ARM64)

CONFIG_X86_SMAP (X86)

CONFIG_KASAN_INLINE (для тестирования)

CONFIG_KASAN_OUTLINE (для тестирования)

CONFIG_UBSAN

Живое исправление ядра

Технология исправления работающего ядра не нова. Несколько технологий были разработаны на протяжении многих лет:

KernelCare

kexec

kGraft (SUSE)

kpatch (Red Hat)

Ksplice (Ksplice, теперь Oracle)

Благодаря поддержке kGraft в исходных кодах ядра дистрибутивы теперь могут использовать эту функциональность. Когда новая уязвимость системы безопасности попадает в ядро, дистрибутив может создать соответствующий патч. Затем он загружается как модуль ядра и применяет обход затронутой функции, в которой есть уязвимость. К созданию этих исправлений следует отнестись с большой осторожностью, поскольку они изменят работающее ядро. По этой же причине ядро ​​будет помечать себя как испорченное, чтобы отразить это. Это похоже на бэкдор ядра, за исключением уважительной причины. Если вы не разрешаете загружать модули ядра, то этот метод, очевидно, не будет работать.

Canonical объявила в октябре 2016 года о доступности использования Livepatch на Ubuntu. Эта услуга стала доступной как для клиентов, так и для бесплатных пользователей, хотя для последних она была ограничена тремя системами.

Среднее время жизни ошибок безопасности

Киис Кук, в данный момент работающий в Google, поделился интересным наблюдением относительно жизни ошибок безопасности до их исправления. Это может занять от 3 до 6 лет для серьезных и критических проблем.

Уязвимости в Linux

Как и в прошлые годы, в этом году было немало серьезных уязвимостей. С учетом разницы во времени между нахождением и опубликованием, их список упорядочен по номеру CVE.

CVE-2015-7547 – glibc

Проблемы в glibc, самой базовой библиотеке, затрагивающей почти все системы Linux, вызвали некоторое внимание в начале года. Во время устранений странных проблев с SSH, было обнаружено, что причина была в другом месте: glibc.

CVE-2016-1247 – nginx (повышение привилегий root)

Ротация файлов журналов в системах, работающих под управлением nginx в Debian или его производных, может быть обманом направлена ​​на повышение привилегий.

CVE-2016-0636 – OpenJDK

Проблема в некоторых версиях Java 7 и 8 затрагивала определенные рабочие столы, в том числе работающие под управлением Linux. С тенденцией специалистов по безопасности, советующих отключать Java и Flash, мы не удивимся, что проблемы с такого рода пакетами будут постепенно уменьшаться. Бюллетень Oracle по CVE-2016-0636

CVE-2016-0800 – Атака DROWN

Атака DROWN была обнаруженной слабостью SSLv2. Хотя многие веб-серверы теперь правильно настроены, все еще есть системы, в которых он включен. И даже ваш веб-сервер не уязвим, это может быть, если SSLv2 включен в другой системе (например, почте), при повторном использовании того же ключа для SSL-сертификата.

CVE-2016-0728 — эксплойт с нулевым корнем для Linux.

Проблема в работе связок ключей может привести к утечке данных. Те, кто обнаружил проблему, объясняют, как это может привести к привилегиям root, в своей замечательной статье.

CVE-2016-5696 — уязвимость ядра Linux для версии 4.6.

К счастью, это не затронуло многие серверы и настольные компьютеры, но затронуло Android 4.4 KitKat и более поздние версии. Эта уязвимость может использоваться для перехвата сеансов TCP.

CVE-2016-6662 – Критическая ошибка в MySQL и MariaDB

Эта уязвимость может привести к привилегиям root. Обширная запись объясняет, как это работает.

CVE-2016-4484 — Обход шифрования диска в Linux

Эта проблема очень похожа на обход аутентификации GRUB2, обнаруженный в 2015 году. На этот раз она привела к корневой оболочке на машине. Хотя вы по-прежнему не можете получить доступ к данным зашифрованных дисков, их там быть не должно. Эта проблема была ограничена системами, работающими под управлением Debian или его производных.

CVE-2016-5195 — Грязная КОРОВА

Проблемы копирования при записи в памяти, приводящие к «грязной корове». На этот раз с другим отличным логотипом и официальным сайтом.

Вредоносное ПО для Linux

Многое из того, что попало в СМИ, было связано с вредоносным программным обеспечением. Вредоносное ПО не ново для Linux и может существовать с самого начала. В начале 2000-х мы видели руткиты, бинарные файлы с бэкдором и арсенал инструментов для сбоя известного программного обеспечения. Можно сказать, что качество большинства программ повысилось. Это особенно верно, если учесть добавление параметров безопасности и постоянную тенденцию включать их по умолчанию. И хотя эффективность большинства руткитов снизилась, число вредоносных программ для Linux, похоже, растет.

Ботнет Mirai

Ботнеты — это мощный инструмент для тех, кто хочет выполнять атаки типа «отказ в обслуживании», рассылать спам по электронной почте или просто собирать биткойны за счет других. У Linux есть клиенты ботнета в прошлом, от простых IRC-клиентов, которые могли выполнять команды, до сильно зашифрованных двоичных файлов с различными механизмами, которыми должен управлять мастер ботнета. Fortinet разобрал червя Mirai.B в своем блоге.

Инициатива по основной инфраструктуре

Фонд Linux направил средства и энергию на то, чтобы сделать Linux более безопасным. Не только ядро ​​Linux, но и часто используемые программные компоненты, такие как OpenSSL, или поддерживающие другие проекты с открытым исходным кодом. Эта работа выполняется в рамках Инициативы базовой инфраструктуры, или CII.

В CII есть четыре проекта, которые дополняют друг друга и помогают проектам по всему миру. Одним из них является инструментарий, например, предложение правильных инструментов. Это помогает с воспроизводимыми сборками, которые сейчас используются в Debian. Также инструменты фаззинга, которые бросают мусор в инструменты для обнаружения отсутствия проверки ввода или проблем с памятью. Помимо инструментов есть обучение, помогающее проектам подключаться и находить нужные ресурсы, когда речь идет о безопасности.

Кроме того, есть специальные проекты, которым нужно уделить немного больше внимания. Например, потому что они используются многими другими проектами или состоят из библиотеки. Недостаток, который мы видели в glibc, может иметь большое влияние из-за этой связи с другим программным обеспечением. Эти проекты отслеживаются с помощью проекта Census и оцениваются по степени риска.

Последним интересным проектом является программа Badge, предоставляющая разработчикам обширный контрольный список для оценки вашего проекта [пример].

Интересно читать

Воспроизводимые сборки на Debian

Конференции

Конференции — отличный способ поделиться знаниями и идеями. Можно выделить две конкретные конференции, которые действительно сосредоточены на безопасности в области Linux и открытого исходного кода.

О'Рейли Секьюрити

Большинство конференций по безопасности посвящены наступательной стороне, например Black Hat и Defcon. Редко мы видим конференции, ориентированные только на оборону. О'Рейли сделал смелый шаг и организовал два мероприятия: одно в Нью-Йорке, другое в Амстердаме. Записи доступны, если у вас есть подписка на Safari.

Саммит по безопасности Linux

Этот ежегодный саммит дает хорошее представление о состоянии безопасности Linux. Есть что рассказать и увидеть. Так что смотрите плейлист.

Другие интересные чтения

Не можете насытиться? Вот некоторые темы, которые могут нам также понравиться:

Безопасность Linux: более пристальный взгляд на последние угрозы для Linux (Trend Micro)

MiKey (Linux Кейлогер)

Внимание! Этот перевод, возможно, ещё не готов.
Его статус: идёт перевод

Переведено на Нотабеноиде
http://notabenoid.org/book/67765/351001

Переводчики: TheAnaxMan, nirnri, threepointsix, Vezono

ilya_a, liuch, p_zombie, ClarkeFeed