forum.opennet.ru - "Проект Openwall подготовил модуль для защиты от эксплуатации..." (45)

"Проект Openwall подготовил модуль для защиты от эксплуатации..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Проект Openwall подготовил модуль для защиты от эксплуатации..."	+/–
Сообщение от opennews (ok), 30-Янв-18, 10:32
Проект Openwall, известный своими инициативами по обеспечению безопасности, представил (http://www.openwall.com/lists/announce/2018/01/29/1) первый экспериментальный выпуск механизма LKRG (http://www.openwall.com/lkrg/) (Linux Kernel Runtime Guard), предназначенного для контроля целостности ядра Linux и обнаружения попыток эксплуатации уязвимостей в ядре. Проект находится на стадии тестирования экспериментального прототипа. Лицензия на код модуля (https://bitbucket.org/Adam_pi3/lkrg-main) пока не выбрана, рассматривается (http://openwall.info/wiki/p_lkrg/Main) GPLv2 или GPLv3. Для финансирования разработки в будущем не исключается выпуск расширенной платной версии LKRG Pro. LKRG оформлен в виде загружаемого модуля ядра, который пытается выявлять несанкционированное внесение изменений в работающее ядро (проверка целостности) или изменение полномочий пользовательских процессов (определение применения эксплоитов). Определение возможного применения эксплоитов и блокирование атак производится на стадии до предоставления ядром доступа к ресурсам (например, к открытию файла) после получения процессом несанкционированных полномочий. В будущем ожидается поддержка отслеживания выхода за пределы изолированных контейнеров. Также пока отсутствуют полноценные средства для блокирования атак - сведения о нарушениях целостности выводятся в виде информационных уведомлений, записываемых в лог ядра. При выявлении несанкционированного поведения процессов выполняется их принудительное завершение, чего достаточно для блокирования многих эксплоитов. Так как проект находится на стадии разработки и оптимизации пока не проводились, накладные расходы от работы модуля составляют примерно в 6.5%, но в будущем планируется существенно снизить данный показатель. Модуль подходит как для организации защиты от уже известных эксплоитов для ядра Linux, так и для противостояния эксплоитам для ещё неизвестных уязвимостей, если в них не применяется специальных мер для обхода LKRG. При тестировании LKRG успешно справился с определением попыток эксплуатации уязвимостей CVE-2014-9322 (BadIRET), CVE-2017-5123 (waitid) и CVE-2017-6074 (use-after-free в DCCP), но не подходит для определения таких проблем, как CVE-2016-5195 (Dirty COW (https://www.opennet.ru/opennews/art.shtml?num=45354)), поражающих компоненты пространства пользователя через ядро. На текущей стадии разработки авторы не исключают наличия ошибок в коде LKRG и возможных ложных срабатываний, поэтому пользователям предлагается сопоставить риски от возможных ошибок в LKRG c пользой от предлагаемого метода защиты. Из положительных свойств LKRG отмечается то, что механизм защиты выполнен в виде загружаемого модуля, а на патча к ядру, что позволяет использовать его со штатными ядрами дистрибутивов. В частности, модуль опробован с ядром RHEL7, OpenVZ/Virtuozzo 7 и Ubuntu 16.04. В дальнейшем не исключается формирования бинарных сборок для популярных дистрибутивов. URL: http://www.openwall.com/lists/announce/2018/01/29/1 Новость: https://www.opennet.ru/opennews/art.shtml?num=47989
Ответить \| Правка \| Cообщить модератору

Оглавление

Проект Openwall подготовил модуль для защиты от эксплуатации..., AnPoz (ok), 10:32 , 30-Янв-18, (1)

Проект Openwall подготовил модуль для защиты от эксплуатации..., наноним (?), 10:35 , 30-Янв-18, (2) +40

Проект Openwall подготовил модуль для защиты от эксплуатации..., Шумер (?), 10:44 , 31-Янв-18, (51) +5

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 17:34 , 02-Фев-18, (66) –1

Проект Openwall подготовил модуль для защиты от эксплуатации..., 123 (??), 18:27 , 31-Янв-18, (60) –1

Проект Openwall подготовил модуль для защиты от эксплуатации..., DmA (??), 15:15 , 31-Авг-18, (71)

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 11:32 , 30-Янв-18, (6) +5

Проект Openwall подготовил модуль для защиты от эксплуатации..., Andrey Mitrofanov (?), 13:33 , 30-Янв-18, (17)

Проект Openwall подготовил модуль для защиты от эксплуатации..., solardiz (ok), 15:49 , 30-Янв-18, (27) +9

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 11:51 , 30-Янв-18, (7) –2

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 11:52 , 30-Янв-18, (8) –1

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 12:21 , 30-Янв-18, (9)

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 12:31 , 30-Янв-18, (10)
Проект Openwall подготовил модуль для защиты от эксплуатации..., X4asd (ok), 13:07 , 30-Янв-18, (13) –7

Проект Openwall подготовил модуль для защиты от эксплуатации..., Michael Shigorin jolla (?), 16:41 , 30-Янв-18, (30) +1

Проект Openwall подготовил модуль для защиты от эксплуатации..., pavlinux (ok), 23:51 , 30-Янв-18, (40) –1
Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 00:04 , 31-Янв-18, (43) –1

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 00:04 , 31-Янв-18, (44) +1

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 13:07 , 30-Янв-18, (14) +4
Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 13:32 , 30-Янв-18, (16) –3

Проект Openwall подготовил модуль для защиты от эксплуатации..., Andrey Mitrofanov (?), 13:44 , 30-Янв-18, (19) +4

Проект Openwall подготовил модуль для защиты от эксплуатации..., pavlinux (ok), 15:18 , 30-Янв-18, (23) +1

Проект Openwall подготовил модуль для защиты от эксплуатации..., solardiz (ok), 15:40 , 30-Янв-18, (26) +4

Проект Openwall подготовил модуль для защиты от эксплуатации..., Нанобот (ok), 14:30 , 30-Янв-18, (20) –7

Проект Openwall подготовил модуль для защиты от эксплуатации..., solardiz (ok), 15:27 , 30-Янв-18, (25) +2

Проект Openwall подготовил модуль для защиты от эксплуатации..., Michael Shigorin jolla (?), 16:47 , 30-Янв-18, (31)
Проект Openwall подготовил модуль для защиты от эксплуатации..., pavlinux (ok), 23:54 , 30-Янв-18, (42) +2

Проект Openwall подготовил модуль для защиты от эксплуатации..., Ананас (?), 14:52 , 30-Янв-18, (21) –2

Проект Openwall подготовил модуль для защиты от эксплуатации..., solardiz (ok), 15:19 , 30-Янв-18, (24) +3

Проект Openwall подготовил модуль для защиты от эксплуатации..., ПавелС (ok), 14:28 , 31-Янв-18, (55)

Проект Openwall подготовил модуль для защиты от эксплуатации..., VINRARUS (ok), 21:01 , 30-Янв-18, (34) –3

Проект Openwall подготовил модуль для защиты от эксплуатации..., Michael Shigorin (ok), 23:09 , 30-Янв-18, (38) +1

Проект Openwall подготовил модуль для защиты от эксплуатации..., VINRARUS (ok), 04:20 , 31-Янв-18, (47) –2

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 11:19 , 31-Янв-18, (53)

Проект Openwall подготовил модуль для защиты от эксплуатации..., VINRARUS (ok), 20:40 , 31-Янв-18, (61) –4

Проект Openwall подготовил модуль для защиты от эксплуатации..., worldmind (?), 21:51 , 30-Янв-18, (35) +2

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 13:19 , 04-Фев-18, (69)

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 09:02 , 31-Янв-18, (50)

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 12:15 , 31-Янв-18, (54)

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 22:01 , 31-Янв-18, (62)

Проект Openwall подготовил модуль для защиты от эксплуатации..., solardiz (ok), 22:45 , 31-Янв-18, (63) +1

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 03:36 , 01-Фев-18, (64)
Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 18:41 , 02-Фев-18, (67) –1

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 14:00 , 01-Фев-18, (65) –1

Проект Openwall подготовил модуль для защиты от эксплуатации..., Аноним (-), 04:49 , 03-Фев-18, (68)

Сообщения по теме [Сортировка по времени | RSS]

1. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от AnPoz (ok), 30-Янв-18, 10:32

Лучшая защита это отсутствие возможности.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +40 +/–

Сообщение от наноним (?), 30-Янв-18, 10:35

нет компьютера - нет уязвимостей!

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

51. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +5 +/–

Сообщение от Шумер (?), 31-Янв-18, 10:44

"Нам эти ваши интернеты на... не нужны!" (с)

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

66. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –1 +/–

Сообщение от Аноним (-), 02-Фев-18, 17:34

Увы, иранцам это не помогло, так что отсутствие компьютеров таки безопаснее.

Ответить | Правка | ^ к родителю #51 | Наверх | Cообщить модератору

60. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –1 +/–

Сообщение от 123 (??), 31-Янв-18, 18:27

RMS одобряет. Он таким образом решил для себя проблему с телефонами.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

71. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от DmA (??), 31-Авг-18, 15:15

RMS телефоном пользуется, но только не сотовым, а если приходится пользоваться сотовым, то он его включает когда очень нужно.

Ответить | Правка | ^ к родителю #60 | Наверх | Cообщить модератору

6. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +5 +/–

Сообщение от Аноним (-), 30-Янв-18, 11:32

> На текущей стадии разработки авторы не исключают наличия ошибок в коде LKRG
Ошибки не исключены на любой стадии.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

17. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от Andrey Mitrofanov (?), 30-Янв-18, 13:33

>> На текущей стадии разработки авторы не исключают наличия ошибок в коде LKRG
> Ошибки не исключены на любой стадии.
На другой стадии они из будут исключать -- и ошибаться в этом.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

27. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +9 +/–

Сообщение от solardiz (ok), 30-Янв-18, 15:49

Не будем исключать. Это ошибка при составлении новости на OpenNet (но всё равно большое спасибо модераторам что вникли в суть проекта и опубликовали здесь новость). В исходном английском тексте это два разных абзаца - один о том что ошибки и в том числе уязвимости в самом LKRG возможны (и это надо учитывать при принятии решения о его (не-)использовании в конкретном случае) и другой о том что проект на ранней стадии и мы ожидаем ложные срабатывания (из-за чего LKRG пока не принимает жестких мер при обнаружении нарушений).

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

7. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –2 +/–

Сообщение от Аноним (-), 30-Янв-18, 11:51

Можно уменьшить потерю производительности ценой небольшого повышения потребления памяти, создав полную копию статичных частей ядра, которые будут расшарены, и отлавливая изменения через перехват page fault при попытке записи.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –1 +/–

Сообщение от Аноним (-), 30-Янв-18, 11:52

Хотя модулем такое сделать скорее всего не получится.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

9. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от Аноним (-), 30-Янв-18, 12:21

> Можно уменьшить потерю производительности ценой небольшого повышения потребления памяти, создав полную копию статичных частей ядра, которые будут расшарены, и отлавливая изменения через перехват page fault при попытке записи.
> Хотя модулем такое сделать скорее всего не получится.
Ви таки хотите поломать нашу любимую машину Тьюринга? И добавить туда блекджека и ...

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

10. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от Аноним (-), 30-Янв-18, 12:31

http://openwall.info/wiki/p_lkrg/Protected_Features
приятных им глюков с kretprobe. Удачи преодолеть ситуацию когда k[ret]probe может быть не вызван.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

13. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –7 +/–

Сообщение от X4asd (ok), 30-Янв-18, 13:07

хренью занимаются..
придумали какого-то касперского для Linux.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

30. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +1 +/–

Сообщение от Michael Shigorin jolla (?), 30-Янв-18, 16:41

> хренью занимаются..
Вы, как обычно, не обладаете даже квалификацией для понимания ее недостатка :(
но вот что мешало помолчать или спросить?..

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

40. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –1 +/–

Сообщение от pavlinux (ok), 30-Янв-18, 23:51

>> хренью занимаются..
> Вы, как обычно, не обладаете даже квалификацией для понимания ее недостатка :(
> но вот что мешало помолчать или спросить?..
Всё нормально, мы для таких и работаем.

Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

43. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –1 +/–

Сообщение от Аноним (-), 31-Янв-18, 00:04

недостаток очевиден:
медной проволокой прикрутили костылище..
вполне себе обыкновенный антиметирн под названием "Katamari"..
вот так стало тебе легче понять фразу "занимаются хренью"?

Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

44. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +1 +/–

Сообщение от Аноним (-), 31-Янв-18, 00:04

антипаттерн*

Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

14. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +4 +/–

Сообщение от Аноним (-), 30-Янв-18, 13:07

> для противостояния эксплоитам для ещё неизвестных уязвимостей, если в них не применяется специальных мер для обхода LKRG
Ну то есть всё как обычно. Если эта штука станет достаточно распространена, её быстро научатся обходить, и даже авторы этого не отрицают.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

16. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –3 +/–

Сообщение от Аноним (-), 30-Янв-18, 13:32

> Openwall
> защиты от эксплуатации уязвимостей в ядре Linux
Неудачное название для такого класса проектов, — "открытая стена".

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

19. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +4 +/–

Сообщение от Andrey Mitrofanov (?), 30-Янв-18, 13:44

>> Openwall
>> защиты от эксплуатации уязвимостей в ядре Linux
> Неудачное название для такого класса проектов, — "открытая стена".
Окна(tm)(R)(sm)  --  лучше?

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

23. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +1 +/–

Сообщение от pavlinux (ok), 30-Янв-18, 15:18

>>> Openwall
>>> защиты от эксплуатации уязвимостей в ядре Linux
>> Неудачное название для такого класса проектов, — "открытая стена".
> Окна(tm)(R)(sm)  --  лучше?
Солнышко, Яблоко, Дурдом Ромашка, Конц. лагерь Огонёк. ...

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

26. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +4 +/–

Сообщение от solardiz (ok), 30-Янв-18, 15:40

>> Openwall
>> защиты от эксплуатации уязвимостей в ядре Linux
> Неудачное название для такого класса проектов, — "открытая стена".
По-моему, наоборот очень удачное. У нас motto - "bringing security into open environments" - то есть мы обеспечиваем безопасность в открытых системах, почти без снижения их доступности для пользователей. На момент выбора названия (1999 год), была тенденция у веб-хостеров отнимать у пользователей доступ к Unix shell (при этом реально безопасность, может быть, и не повышая - всё равно давался FTP-доступ для размещения едва ограниченных PHP-скриптов). Мы так не хотели, поэтому занялись созданием такого дистрибутива где с приемлемым уровнем риска можно давать доступ в shell. Тенденция с тех пор переломилась, но смысл названия остался, он по-прежнему актуален, и к нему еще можно добавить то что мы не преувеличиваем уровень безопасности наших разработок - что особенно хорошо видно как раз в данном анонсе LKRG.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

20. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –7 +/–

Сообщение от Нанобот (ok), 30-Янв-18, 14:30

жалкое подобие Windows PatchGuard (первые версии которого появились более десяти лет назад)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

25. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +2 +/–

Сообщение от solardiz (ok), 30-Янв-18, 15:27

> жалкое подобие Windows PatchGuard (первые версии которого появились более десяти лет назад)
Аналогия уместна, но по-моему она ограничивается тем что мы в анонсе LKRG называем integrity checking, и не включает то что мы называем exploit detection.
А чем именно "жалкое", кроме как датой появления?

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

31. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от Michael Shigorin jolla (?), 30-Янв-18, 16:47

> А чем именно "жалкое", кроме как датой появления?
это именно что жалкий виндовбросчик, не стоит внимания

Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

42. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +2 +/–

Сообщение от pavlinux (ok), 30-Янв-18, 23:54

>> жалкое подобие Windows PatchGuard (первые версии которого появились более десяти лет назад)
> Аналогия уместна, но по-моему она ограничивается тем что мы в анонсе LKRG
> называем integrity checking, и не включает то что мы называем exploit
> detection.
> А чем именно "жалкое", кроме как датой появления?
Нельзя защищать то (от того), чего еще нет. :)

Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

21. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –2 +/–

Сообщение от Ананас (?), 30-Янв-18, 14:52

Лет 10-12 назад проблема достойно решалась использованием LIDS.
Теперь вариант с LKRG...
Все вращается по кругу.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

24. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +3 +/–

Сообщение от solardiz (ok), 30-Янв-18, 15:19

По-моему, общее с LIDS здесь только то, что в новости в последней фразе последнего абзаца - "Отдельно развивается расширенный вариант модуля, в котором предоставлены дополнительные опции для защиты процессов, файлов и логов" - что в переписке с Адамом (автор LKRG) я называю BSD securelevel on steroids, и что мы сами в нынешний анонс даже не включали (кроме как через ссылку на wiki, где это есть). Это имеет мало общего с той функциональностью, которую мы анонсировали сейчас, и будет ориентировано (если вообще будет) на другой круг пользователей. Анонсированный сейчас основной проект LKRG наиболее актуален для типичных дистрибутивов и "заброшенных" систем, где даже обновления ядра вовремя не ставятся (или перезагрузка в новое ядро делается не сразу), в то время как разумное применение подобия securelevel требует нетривиальной настройки и последующего внимания.

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

55. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от ПавелС (ok), 31-Янв-18, 14:28

>[оверквотинг удален]
> предоставлены дополнительные опции для защиты процессов, файлов и логов" - что
> в переписке с Адамом (автор LKRG) я называю BSD securelevel on
> steroids, и что мы сами в нынешний анонс даже не включали
> (кроме как через ссылку на wiki, где это есть). Это имеет
> мало общего с той функциональностью, которую мы анонсировали сейчас, и будет
> ориентировано (если вообще будет) на другой круг пользователей. Анонсированный сейчас
> основной проект LKRG наиболее актуален для типичных дистрибутивов и "заброшенных" систем,
> где даже обновления ядра вовремя не ставятся (или перезагрузка в новое
> ядро делается не сразу), в то время как разумное применение подобия
> securelevel требует нетривиальной настройки и последующего внимания.
BSD securelevel  результат  тяжёлой паранойи поверьте мне. Ум рассматривал ситуацию когда в системе два рута он и хакер и решил зацепиться за отключение двух капабилитисов.

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

34. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –3 +/–

Сообщение от VINRARUS (ok), 30-Янв-18, 21:01

А я сказал: "Вот и на Linux появился антивирус"!
Шо за цензура на ресурсе?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

38. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +1 +/–

Сообщение от Michael Shigorin (ok), 30-Янв-18, 23:09

> А я сказал: "Вот и на Linux появился антивирус"!
> Шо за цензура на ресурсе?
Похоже, кто-то из коллег-модераторов или даже скрипт-автомодератор счёл, что эта истерика нарушила что-нить вроде п.6 http://wiki.opennet.ru/ForumHelp ...
(но сказали-то всё равно глупость -- Вам, как и ув. Xasd, попросту не хватает квалификации даже понять это)

Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

47. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –2 +/–

Сообщение от VINRARUS (ok), 31-Янв-18, 04:20

>> А я сказал: "Вот и на Linux появился антивирус"!
>> Шо за цензура на ресурсе?
> Похоже, кто-то из коллег-модераторов или даже скрипт-автомодератор счёл, что эта истерика
> нарушила что-нить вроде п.6 http://wiki.opennet.ru/ForumHelp ...
В чом истерика то? Обычная констатация факта. А аргументы в новости написаны: "Модуль подходит как для организации защиты от уже известных эксплоитов для ядра Linux, так и для противостояния эксплоитам для ещё неизвестных уязвимостей"
> (но сказали-то всё равно глупость -- Вам, как и ув. Xasd, попросту
> не хватает квалификации даже понять это)
И чем принципиально отличается этот модуть от антивируса?

Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

53. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от Аноним (-), 31-Янв-18, 11:19

>> чем принципиально отличается этот модуть от антивируса?
Ну наверное тем, что как раз вирусы-то он и не ловит.

Ответить | Правка | ^ к родителю #47 | Наверх | Cообщить модератору

61. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –4 +/–

Сообщение от VINRARUS (ok), 31-Янв-18, 20:40

>>> чем принципиально отличается этот модуть от антивируса?
> Ну наверное тем, что как раз вирусы-то он и не ловит.
Как будто антивирус их ловит. ;D

Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

35. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +2 +/–

Сообщение от worldmind (?), 30-Янв-18, 21:51

Так теперь хакеры будут сначала модифицировать этот модуль, а потом уже ядро?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

69. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от Аноним (-), 04-Фев-18, 13:19

Достаточно только модуль.

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

50. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от Аноним (-), 31-Янв-18, 09:02

solardiz, если кто-то добьётся rce в режиме ядра, то что ему помешает найти вашу таблицу с хешами и поместить туда новый пересчитанный хеш?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

54. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от Аноним (-), 31-Янв-18, 12:15

> solardiz, если кто-то добьётся rce в режиме ядра, то что ему помешает
> найти вашу таблицу с хешами и поместить туда новый пересчитанный хеш?
Если кто-то добьётся RCE на уровне ядра, то зачем ему что-то менять, когда RCE уже получен:-)  LKRG  и нужен, чтобы RCE не случился.

Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

62. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от Аноним (-), 31-Янв-18, 22:01

Вообще-то я спрашивал solar designerа.
Имхо тут 2 варианта.
1 проверка происходит до того, как атакующий обошёл защиту памяти. Тогда структуры неповреждены и проверка ничего не выявляет.
2 проверка происходит после модификации памяти атакующим на уже скомпромитированной системе. Раз атакующий может модифицировать память, то он может пересчитать хеши записать их куда надо. Проверка опять ничего не выявляет.

Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

63. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +1 +/–

Сообщение от solardiz (ok), 31-Янв-18, 22:45

Во-первых, мы сразу позиционируем LKRG как bypassable by design и как предоставляющий лишь спорную security through diversity. Именно об этом говорится в анонсе по ссылке из новости здесь.
Во-вторых, с другой стороны, не каждая уязвимость в ядре и не каждый ее exploit приводит именно/сразу к RCE. Возможны ситуации, когда атакующему доступна попытка записи от имени и в адресное пространство ядра с какими-либо ограничениями или доступны лишь отдельные bit flips (как в случае с Rowhammer). В этих случаях у LKRG есть шанс (но не гарантия) распознать проблему до того как атакующий выполнит следующие шаги атаки.
В-третьих, из-за LKRG exploit'ы могут усложняться, а их надежность снижаться. В приведенном примере с пересчетом хешей, потребуется сначала найти их и ключ для SipHash (который генерируется случайно при загрузке модуля). Думаю, сейчас это, уже имея RCE, сделать не сложно - мы пока не пытались скрыть расположение этих переменных. Также, думаю есть более простые и надежные способы обхода текущей версии LKRG. Мы пока не решили будем ли развивать проект в сторону борьбы с обходами (чтобы повысить сложность и снизить надежность exploit'ов всё равно обходящих LKRG) или же, наоборот, решим еще более ограничиться security through diversity (позволяя любому желающему легко и надежно обходить LKRG, но зато упростив и сделав более быстрым и надежным код LKRG). Может быть, это будут две ветки разработки.

Ответить | Правка | ^ к родителю #62 | Наверх | Cообщить модератору

64. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от Аноним (-), 01-Фев-18, 03:36

Ясно, спасибо.

Ответить | Правка | ^ к родителю #63 | Наверх | Cообщить модератору

67. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –1 +/–

Сообщение от Аноним (-), 02-Фев-18, 18:41

Звучит очень разумно. Это не абсолютная защита, но подложить атакующим пару мин - идея хороша. Жаль что как обычно будет куском проблем в использовании и опять какие-нибудь скандалы с майнлайном выйдут. Хотя с такой защитой по другому сложно.

Ответить | Правка | ^ к родителю #63 | Наверх | Cообщить модератору

65. "Проект Openwall подготовил модуль для защиты от эксплуатации..." –1 +/–

Сообщение от Аноним (-), 01-Фев-18, 14:00

А вот и антивирус, в pro версии видимо добавят сигнатуры эксплоитов ;-)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

68. "Проект Openwall подготовил модуль для защиты от эксплуатации..." +/–

Сообщение от Аноним (-), 03-Фев-18, 04:49

Прежде, чем добавлять сигнатуры в Pro версию, надо убедиться, что те эксплойты обходят Free версию :-)

Ответить | Правка | ^ к родителю #65 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+/–
Сообщение от AnPoz (ok), 30-Янв-18, 10:32
Лучшая защита это отсутствие возможности.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	2. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+40 +/–
	Сообщение от наноним (?), 30-Янв-18, 10:35
	нет компьютера - нет уязвимостей!
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	51. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+5 +/–
	Сообщение от Шумер (?), 31-Янв-18, 10:44
	"Нам эти ваши интернеты на... не нужны!" (с)
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	66. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	–1 +/–
	Сообщение от Аноним (-), 02-Фев-18, 17:34
	Увы, иранцам это не помогло, так что отсутствие компьютеров таки безопаснее.
	Ответить \| Правка \| ^ к родителю #51 \| Наверх \| Cообщить модератору


	60. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	–1 +/–
	Сообщение от 123 (??), 31-Янв-18, 18:27
	RMS одобряет. Он таким образом решил для себя проблему с телефонами.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	71. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+/–
	Сообщение от DmA (??), 31-Авг-18, 15:15
	RMS телефоном пользуется, но только не сотовым, а если приходится пользоваться сотовым, то он его включает когда очень нужно.
	Ответить \| Правка \| ^ к родителю #60 \| Наверх \| Cообщить модератору

6. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+5 +/–
Сообщение от Аноним (-), 30-Янв-18, 11:32
> На текущей стадии разработки авторы не исключают наличия ошибок в коде LKRG Ошибки не исключены на любой стадии.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	17. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+/–
	Сообщение от Andrey Mitrofanov (?), 30-Янв-18, 13:33
	>> На текущей стадии разработки авторы не исключают наличия ошибок в коде LKRG > Ошибки не исключены на любой стадии. На другой стадии они из будут исключать -- и ошибаться в этом.
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	27. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+9 +/–
	Сообщение от solardiz (ok), 30-Янв-18, 15:49
	Не будем исключать. Это ошибка при составлении новости на OpenNet (но всё равно большое спасибо модераторам что вникли в суть проекта и опубликовали здесь новость). В исходном английском тексте это два разных абзаца - один о том что ошибки и в том числе уязвимости в самом LKRG возможны (и это надо учитывать при принятии решения о его (не-)использовании в конкретном случае) и другой о том что проект на ранней стадии и мы ожидаем ложные срабатывания (из-за чего LKRG пока не принимает жестких мер при обнаружении нарушений).
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору

7. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	–2 +/–
Сообщение от Аноним (-), 30-Янв-18, 11:51
Можно уменьшить потерю производительности ценой небольшого повышения потребления памяти, создав полную копию статичных частей ядра, которые будут расшарены, и отлавливая изменения через перехват page fault при попытке записи.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	8. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	–1 +/–
	Сообщение от Аноним (-), 30-Янв-18, 11:52
	Хотя модулем такое сделать скорее всего не получится.
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	9. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+/–
	Сообщение от Аноним (-), 30-Янв-18, 12:21
	> Можно уменьшить потерю производительности ценой небольшого повышения потребления памяти, создав полную копию статичных частей ядра, которые будут расшарены, и отлавливая изменения через перехват page fault при попытке записи. > Хотя модулем такое сделать скорее всего не получится. Ви таки хотите поломать нашу любимую машину Тьюринга? И добавить туда блекджека и ...
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору

10. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+/–
Сообщение от Аноним (-), 30-Янв-18, 12:31
http://openwall.info/wiki/p_lkrg/Protected_Features приятных им глюков с kretprobe. Удачи преодолеть ситуацию когда k[ret]probe может быть не вызван.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

13. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	–7 +/–
Сообщение от X4asd (ok), 30-Янв-18, 13:07
хренью занимаются.. придумали какого-то касперского для Linux.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	30. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+1 +/–
	Сообщение от Michael Shigorin jolla (?), 30-Янв-18, 16:41
	> хренью занимаются.. Вы, как обычно, не обладаете даже квалификацией для понимания ее недостатка :( но вот что мешало помолчать или спросить?..
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	40. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	–1 +/–
	Сообщение от pavlinux (ok), 30-Янв-18, 23:51
	>> хренью занимаются.. > Вы, как обычно, не обладаете даже квалификацией для понимания ее недостатка :( > но вот что мешало помолчать или спросить?.. Всё нормально, мы для таких и работаем.
	Ответить \| Правка \| ^ к родителю #30 \| Наверх \| Cообщить модератору


	43. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	–1 +/–
	Сообщение от Аноним (-), 31-Янв-18, 00:04
	недостаток очевиден: медной проволокой прикрутили костылище.. вполне себе обыкновенный антиметирн под названием "Katamari".. вот так стало тебе легче понять фразу "занимаются хренью"?
	Ответить \| Правка \| ^ к родителю #30 \| Наверх \| Cообщить модератору


	44. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+1 +/–
	Сообщение от Аноним (-), 31-Янв-18, 00:04
	антипаттерн*
	Ответить \| Правка \| ^ к родителю #43 \| Наверх \| Cообщить модератору

14. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+4 +/–
Сообщение от Аноним (-), 30-Янв-18, 13:07
> для противостояния эксплоитам для ещё неизвестных уязвимостей, если в них не применяется специальных мер для обхода LKRG Ну то есть всё как обычно. Если эта штука станет достаточно распространена, её быстро научатся обходить, и даже авторы этого не отрицают.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

16. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	–3 +/–
Сообщение от Аноним (-), 30-Янв-18, 13:32
> Openwall > защиты от эксплуатации уязвимостей в ядре Linux Неудачное название для такого класса проектов, — "открытая стена".
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	19. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+4 +/–
	Сообщение от Andrey Mitrofanov (?), 30-Янв-18, 13:44
	>> Openwall >> защиты от эксплуатации уязвимостей в ядре Linux > Неудачное название для такого класса проектов, — "открытая стена". Окна(tm)(R)(sm) -- лучше?
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	23. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+1 +/–
	Сообщение от pavlinux (ok), 30-Янв-18, 15:18
	>>> Openwall >>> защиты от эксплуатации уязвимостей в ядре Linux >> Неудачное название для такого класса проектов, — "открытая стена". > Окна(tm)(R)(sm) -- лучше? Солнышко, Яблоко, Дурдом Ромашка, Конц. лагерь Огонёк. ...
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	26. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+4 +/–
	Сообщение от solardiz (ok), 30-Янв-18, 15:40
	>> Openwall >> защиты от эксплуатации уязвимостей в ядре Linux > Неудачное название для такого класса проектов, — "открытая стена". По-моему, наоборот очень удачное. У нас motto - "bringing security into open environments" - то есть мы обеспечиваем безопасность в открытых системах, почти без снижения их доступности для пользователей. На момент выбора названия (1999 год), была тенденция у веб-хостеров отнимать у пользователей доступ к Unix shell (при этом реально безопасность, может быть, и не повышая - всё равно давался FTP-доступ для размещения едва ограниченных PHP-скриптов). Мы так не хотели, поэтому занялись созданием такого дистрибутива где с приемлемым уровнем риска можно давать доступ в shell. Тенденция с тех пор переломилась, но смысл названия остался, он по-прежнему актуален, и к нему еще можно добавить то что мы не преувеличиваем уровень безопасности наших разработок - что особенно хорошо видно как раз в данном анонсе LKRG.
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору

20. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	–7 +/–
Сообщение от Нанобот (ok), 30-Янв-18, 14:30
жалкое подобие Windows PatchGuard (первые версии которого появились более десяти лет назад)
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	25. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+2 +/–
	Сообщение от solardiz (ok), 30-Янв-18, 15:27
	> жалкое подобие Windows PatchGuard (первые версии которого появились более десяти лет назад) Аналогия уместна, но по-моему она ограничивается тем что мы в анонсе LKRG называем integrity checking, и не включает то что мы называем exploit detection. А чем именно "жалкое", кроме как датой появления?
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору


	31. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+/–
	Сообщение от Michael Shigorin jolla (?), 30-Янв-18, 16:47
	> А чем именно "жалкое", кроме как датой появления? это именно что жалкий виндовбросчик, не стоит внимания
	Ответить \| Правка \| ^ к родителю #25 \| Наверх \| Cообщить модератору


	42. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+2 +/–
	Сообщение от pavlinux (ok), 30-Янв-18, 23:54
	>> жалкое подобие Windows PatchGuard (первые версии которого появились более десяти лет назад) > Аналогия уместна, но по-моему она ограничивается тем что мы в анонсе LKRG > называем integrity checking, и не включает то что мы называем exploit > detection. > А чем именно "жалкое", кроме как датой появления? Нельзя защищать то (от того), чего еще нет. :)
	Ответить \| Правка \| ^ к родителю #25 \| Наверх \| Cообщить модератору

21. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	–2 +/–
Сообщение от Ананас (?), 30-Янв-18, 14:52
Лет 10-12 назад проблема достойно решалась использованием LIDS. Теперь вариант с LKRG... Все вращается по кругу.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	24. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+3 +/–
	Сообщение от solardiz (ok), 30-Янв-18, 15:19
	По-моему, общее с LIDS здесь только то, что в новости в последней фразе последнего абзаца - "Отдельно развивается расширенный вариант модуля, в котором предоставлены дополнительные опции для защиты процессов, файлов и логов" - что в переписке с Адамом (автор LKRG) я называю BSD securelevel on steroids, и что мы сами в нынешний анонс даже не включали (кроме как через ссылку на wiki, где это есть). Это имеет мало общего с той функциональностью, которую мы анонсировали сейчас, и будет ориентировано (если вообще будет) на другой круг пользователей. Анонсированный сейчас основной проект LKRG наиболее актуален для типичных дистрибутивов и "заброшенных" систем, где даже обновления ядра вовремя не ставятся (или перезагрузка в новое ядро делается не сразу), в то время как разумное применение подобия securelevel требует нетривиальной настройки и последующего внимания.
	Ответить \| Правка \| ^ к родителю #21 \| Наверх \| Cообщить модератору


	55. "Проект Openwall подготовил модуль для защиты от эксплуатации..."	+/–
	Сообщение от ПавелС (ok), 31-Янв-18, 14:28
	>[оверквотинг удален] > предоставлены дополнительные опции для защиты процессов, файлов и логов" - что > в переписке с Адамом (автор LKRG) я называю BSD securelevel on > steroids, и что мы сами в нынешний анонс даже не включали > (кроме как через ссылку на wiki, где это есть). Это имеет > мало общего с той функциональностью, которую мы анонсировали сейчас, и будет > ориентировано (если вообще будет) на другой круг пользователей. Анонсированный сейчас > основной проект LKRG наиболее актуален для типичных дистрибутивов и "заброшенных" систем, > где даже обновления ядра вовремя не ставятся (или перезагрузка в новое > ядро делается не сразу), в то время как разумное применение подобия > securelevel требует нетривиальной настройки и последующего внимания. BSD securelevel результат тяжёлой паранойи поверьте мне. Ум рассматривал ситуацию когда в системе два рута он и хакер и решил зацепиться за отключение двух капабилитисов.
	Ответить \| Правка \| ^ к родителю #24 \| Наверх \| Cообщить модератору