🏿 👌🏾 🐩 GrSecurity / PaX: पूर्वनिर्धारित सुरक्षा स्तर 🖐🏾 💮 👼🏿

(उन लोगों के लिए एक लेख जो पहले से ही इस विषय में हैं। बाकी को मेरे पिछले लेखों को पढ़ने के बारे में दिलचस्पी होगी।

यह ग्रैसिकिटी / PaX (मैंने रूसी-भाषा लिंक दिया था, लेकिन लिनक्स कर्नेल में बहुत अधिक जानकारीपूर्ण हैं ) को कॉन्फ़िगर करने के बारे में होगा। वर्णित सब कुछ हार्डेंट जेंटू (कर्नेल 3.1.5) के लिए प्रासंगिक है, लेकिन किसी भी वितरण पर लागू होता है (कोई पूर्व-स्थापित Gentoo- स्तर सुरक्षा स्तर वर्कस्टेशन / सर्वर / वर्चुअलाइजेशन नहीं होगा, लेकिन इस लेख में मेरे विवरण के अनुसार उन्हें मैन्युअल रूप से लागू करना आसान होगा)।

इसके अलावा, मैंने यह निर्धारित करने के लिए थोड़ा सा प्रदर्शन परीक्षण किया कि सिस्टम में GrSecurity / PaX का उपयोग कितना धीमा है। K2 के साथ कर्नेल को संकलित करने के लिए सिंगल यूजर मोड में 322-बिट OS में Core2Duo पर टेस्ट आयोजित किए गए थे, उपयोगकर्ता + sys का औसत मूल्य तीन रन से अधिक लिया गया था (कर्नेल बिल्ड गति की तुलना मानक एक से की गई थी: कर्नेल में PSecurity और PaX को अक्षम किया गया था और सामान्य का उपयोग करते हुए, कठोर नहीं किया गया था। , जीसीसी)।

तो, हमारे पास 6 पूर्वनिर्धारित सुरक्षा स्तर हैं ( Security options → Grsecurity → Security Level ):

कम
मध्यम
उच्च
कठोर जेंटू [सर्वर]
कठोर जेंटू [कार्य केंद्र]
कठोर जेंटू [वर्चुअलाइजेशन]

मैंने निम्न और मध्यम परीक्षण नहीं किया - मुझे नहीं लगता कि वे किसी के द्वारा उपयोग किए जाते हैं।

यहां कर्नेल विकल्पों की एक सूची दी गई है, जो इन सुरक्षा स्तरों ("+" का अर्थ है कि विकल्प चालू है, "-" कि विकल्प बंद हो गया है, कुछ भी नहीं - विकल्प का मूल्य नहीं बदलता है):

	उच्च	सर्वर	ws	virt
CONFIG_X86_32_LAZY_GS	-	-
CONFIG_CC_STACKPROTECTOR	-	-
CONFIG_GRKERNSEC_IO		+
CONFIG_GRKERNSEC_KERN_LOCKOUT	+
CONFIG_GRKERNSEC_PROC_ADD	+	+
CONFIG_GRKERNSEC_SYSFS_RESTRICT	+
CONFIG_GRKERNSEC_PROC_IPADDR		+	+	+
CONFIG_GRKERNSEC_RWXMAP_LOG		+	+	+
CONFIG_GRKERNSEC_SYSCTL		+	+	+
CONFIG_GRKERNSEC_SYSCTL_ON		+	+	+
CONFIG_PAX_PER_CPU_PGD	+	+	+	-
CONFIG_PAX_ELFRELOCS	+
CONFIG_PAX_KERNEXEC	+	+	+	-
CONFIG_PAX_KERNEXEC_MODULE_TEXT	4	4	4	-
CONFIG_PAX_MEMORY_SANITIZE		+	+	+
CONFIG_PAX_MEMORY_UDEREF	+	+		-

(CC_STACKPROTECTOR को अक्षम करना PAX_MEMORY_UDEREF को सक्षम करने के कारण होता है।)

जैसा कि आप देख सकते हैं, विभिन्न स्तरों के बीच स्विच करके, आप एक ही स्तर पर विकल्पों के विभिन्न सेट प्राप्त कर सकते हैं - उदाहरण के लिए, सर्वर से कार्यस्थान पर स्विच करने से हमें UDEREF चालू हो जाएगा, और वर्चुअलाइजेशन से कार्यस्थान पर स्विच करने से हमें UDEREF बंद हो जाएगा। यह सही व्यवहार है, लेकिन इसे ध्यान में रखा जाना चाहिए ताकि पूर्वनिर्धारित सुरक्षा स्तरों पर स्विच करने के बाद सभी सेटिंग्स को दोबारा जांचना न भूलें।

इसके अलावा, यहां उन विकल्पों की एक सूची दी गई है जो किसी भी पूर्वनिर्धारित सुरक्षा स्तरों द्वारा नहीं बदले गए हैं, अर्थात्। पूरी तरह से उपयोगकर्ता के नियंत्रण में (सुविधा के लिए, मैं उन्हें CONFIG_ * प्रारूप में और menuconfig प्रारूप में दिखाऊंगा):

 CONFIG_GRKERNSEC_ACL_HIDEKERN CONFIG_GRKERNSEC_EXECLOG CONFIG_GRKERNSEC_CHROOT_EXECLOG CONFIG_GRKERNSEC_AUDIT_PTRACE CONFIG_GRKERNSEC_AUDIT_CHDIR CONFIG_GRKERNSEC_AUDIT_TEXTREL CONFIG_GRKERNSEC_BLACKHOLE CONFIG_PAX_EMUTRAMP CONFIG_PAX_MPROTECT_COMPAT CONFIG_PAX_MEMORY_STACKLEAK Grsecurity ---> [*] Grsecurity Role Based Access Control Options ---> [ ] Hide kernel processes Kernel Auditing ---> [ ] Exec logging [ ] Log execs within chroot [ ] Ptrace logging [ ] Chdir logging [ ] ELF text relocations logging (READ HELP) Network Protections ---> [ ] TCP/UDP blackhole and LAST_ACK DoS prevention PaX ---> [*] Enable various PaX features Non-executable pages ---> [ ] Emulate trampolines [ ] Use legacy/compat protection demoting (read help) Miscellaneous hardening features ---> [ ] Sanitize kernel stack

अन्य सभी GrSecurity / PaX विकल्प सभी सुरक्षा स्तरों पर सक्षम हैं।

अब प्रदर्शन के लिए। सुरक्षा बढ़ाने वाले सभी संभावित विकल्पों को सक्षम करने से प्रदर्शन में 5% की गिरावट होती है। CONFIG_PAX_MEMORY_STACKLEAK को अक्षम करने से प्रदर्शन में गिरावट 3% तक कम हो जाती है। CONFIG_PAX_MEMORY_SANITIZE का अतिरिक्त शटडाउन - 1% तक । ईमानदारी से, मेरी व्यक्तिगत राय यह है कि इन दोनों विकल्पों को कार्यस्थानों और अधिकांश सर्वरों पर बिल्कुल आवश्यकता नहीं है। GrSecurity / PaX की लगभग सभी विशेषताओं के बदले में प्रदर्शन का 1% खोना निश्चित रूप से इसके लायक है, लेकिन क्या यह इन दो सुविधाओं के लिए एक और 4% खोने के लायक है या नहीं।

और अंत में, एक नियमित होम वर्कस्टेशन के साथ यह सब की अनुकूलता - जहां आपको एक्सएस, मालिकाना ड्राइवरों एनवीडिया, स्काइप और वीएमवेयर की आवश्यकता होती है। वर्तमान में, निश्चित रूप से, भविष्य में स्थिति बदल सकती है।

Xorg। CONFIG_GRKERNSEC_IO अक्षम करें।
VMware। आपको CONFIG_PAX_KERNEXEC और CONFIG_PAX_MEMORY_UDEREF को अक्षम करना होगा। यदि इन विकल्पों में से कोई भी (या दोनों) सक्षम है, तो अतिथि OS शुरू करने का प्रयास करते समय VMware होस्ट OS को ओवरलोड करता है!
एनवीडिया। यदि CONFIG_PAX_KERNEXEC सक्षम है, तो आपको CONFIG_PAX_KERNEXEC_MODULE_TEXT का मान 4 (डिफ़ॉल्ट) से बढ़ाकर 16 करने की आवश्यकता है - nvidia ड्राइवर का वजन ~ 10MB है, और 4MB की सीमा के साथ यह बस बूट नहीं कर सकता है।
स्काइप। अब यह विशेष उपचार की आवश्यकता के बिना काम करता है। कुछ समय पहले, CONFIG_PAX_EMUTRAMP बंद होने पर संस्करण 2.2 शुरू नहीं हुआ (जो वास्तव में अजीब है - सबसे पहले, 2.1 ने इसके बिना ठीक काम किया, और दूसरा, EMUTRAMP के लिए काम करने के लिए, आपको न केवल कर्नेल में विकल्प को सक्षम करने की आवश्यकता है, बल्कि एक विशिष्ट कार्यक्रम के लिए इसे पैक्सक्टल के माध्यम से सक्रिय करने की आवश्यकता है। , और 2.2 ने paxctl के माध्यम से सक्रियण की आवश्यकता के बिना काम करना शुरू कर दिया - सबसे अधिक संभावना यह कर्नेल में एक बग के कारण हुई, जो पहले से तय थी)।
Wireshark। जब रूट के रूप में लॉन्च नहीं किया जाता है, तो CONFIG_GRKERNSEC_BRUTE चालू हो जाता है और वर्तमान उपयोगकर्ता की सभी प्रक्रियाओं को 15 मिनट के लिए मार देता है। आपको या तो इस विकल्प को अक्षम करना होगा या kernel.grsecurity.deter_bruteforce को sysctl के माध्यम से अक्षम करना होगा (या जब तक यह बग ठीक नहीं हो जाता है तब तक एक नियमित उपयोगकर्ता के रूप में वायरशर्क शुरू न करें)। अद्यतन: मैं सिर्फ इस बग को पकड़ने में कामयाब रहा - समस्या libpcap-1.1.1-r1 में है, और यह पहले से ही libpcap-1.2.1 में ठीक किया जा चुका है (वायरशर्क अभी भी सामान्य उपयोगकर्ता के तहत काम नहीं करता है, लेकिन यह अब दुर्घटना नहीं करता है)। Update2: CONFIG_GRKERNSEC_SYSFS_RESTRICT को अक्षम करना और CONFIG_NF_CT_NETLINK को सक्षम करना, वे कार्यक्षेत्र को एक नियमित उपयोगकर्ता के तहत सही ढंग से काम करने में सक्षम बनाता है, यहां तक कि libpcap-1.1.1-r1 पर भी।

GrSecurity / PaX: पूर्वनिर्धारित सुरक्षा स्तर

More articles: