Guía de inicio rápido para usar PaX con Gentoo HardenedGentoo Hardened es un proyecto interesado en reforzar el sistema Gentoo. Soportamos diferentes soluciones y existe una flexibilidad adecuada para crear su propia configuración. En el corazón de la configuración de un sistema Gentoo común está PaX. PaX es un parche para el núcleo Linux que ofrece el reforzamiento del mismo de dos formas: La primera, ASLR (Address Space Layout Randomization o Esquema de Aleatorización del Espacio de Direcciones) ofrece una forma de aleatorizar la distribución de direcciones de todos los datos cargados en memoria. Cuando se construye una aplicación como un PIE (Position Independent Executable o Ejecutable Independiente de la Posición), Pax puede aleatorizar las direcciones de la aplicación base. La segunda forma de protección ofrecida por PaX es la memoria no ejecutable. Esto impide una forma muy común de ataque en el cual un atacante inserta código ejecutable en memoria. Se puede encontrar más información sobre PaX en esta misma guía, pero la página oficial está en http://pax.grsecurity.net. 3. Una introducción a PIE y SSP Como se ha mencionado arriba, PaX se complementa con PIE. Este método de construir ejecutables almacena información necesaria para relocalizar partes del ejecutable en memoria, de ahí el nombre Independiente de la Posición. SSP (Stack Smashing Protector o Protector contra Ataques a la Pila) es una tecnología que se añade al ejecutable en el momento de su construcción. SSP fue originalmente introducida por IBM bajo el nombre ProPolice. Modifica el compilador de C para insertar código de inicialización en funciones que crean un buffer en memoria.
Durante la ejecución, cuando se crea un buffer, SSP añade un valor aleatorio secreto al final del buffer: el chivato. Cuando la función retorna, SSP se asegura de que el chivato no ha sido modificado. Si un atacante quisiera intentar un desbordamiento de buffer, sobreescribiría este valor y esto desembocaría en un manejador de ataque a pila. Consecuentemente esto causaría la finalización del proceso atacado. 4. Construyendo un núcleo con PaX habilitado Varios árboles con el núcleo parcheado con PaX están disponibles en Gentoo. Para las máquinas basadas en 2.4/2.6, los núcleos recomendados son hardened-sources Obtenga uno de los árboles fuente recomendados, o aplique los parches apropiados presentes en http://pax.grsecurity.net a su árbol y configúrelo como normalmente lo haría para la máquina destino. En Security Options -> PaX, aplique las opciones que se muestran abajo.
Construya este núcleo como lo haría normalmente e instálelo en /boot. 5. Construyendo una zona de usuario con PIE/SSP habilitado Gentoo Hardened ha añadido soporte para la construcción transparente de PIE/SSP usando un fichero de especificación de GCC. Esto significa que cualquier usuario que realice una actualización de instalaciones anteriores de Hardened deberá eliminar cualquier LDFLAGS o CFLAGS usadas para activar PIE/SSP. También, se debe tener en cuenta que el paquete hardened-gcc es ahora obsoleto y debe ser desinstalado (la versión 5.0 es una paquete inútil). Para obtener la versión actual de GCC, añada USE="hardened pic" a /etc/make.conf si no está usando el perfil hardened. Para mantener un conjunto de herramientas consistente, primero haga emerge binutils gcc virtual/libc. A continuación, reconstruya el sistema completo haciendo emerge -e world. A partir de ese momento todos los paquetes se construirán usando las tecnologías PIE/SSP.
Probablemente quiera también hacer emerge de pax-utils. A menudo, si un fichero ELF tiene relocalizaciones ejecutables en el segmento de texto, éstas pueden causarnos problemas. scanelf -BRylptq 6. Cuando las cosas no van como debieran (PaX Control) Algunas aplicaciones legítimas intentarán generar código en tiempo de ejecución, el cual se ejecuta fuera de memoria. Naturalmente, PaX no lo permitirá y terminará las aplicaciones que intenten hacerlo.
Afortunadamente existe una utilidad para activar o desactivar las protecciones para un ejecutable: paxctl. Al igual que otros paquetes en Gentoo, instale paxctl mediante el comando emerge paxctl. El uso de esta utilidad se muestra mediante paxctl -h.
La primera opción que se suele usar es -v, la cual muestra los ajustes realizados en un binario en particular.
Esto muestra un binario XFree con todas las protecciones deshabilitadas. Para activar una de estas protecciones en un binario, nos será útil la opción -z ya que restaura el valor por defecto de esa protección. Para desactivar las protecciones en Xorg, ejecute paxctl -zpeMRxs /usr/bin/Xorg. Puede probar a activar/desactivar varias protecciones para comprobar cuáles son las mínimas para poder trabajar. A menudo se comprueba que son necesarias las combinaciones -m -sp. El contenido de este documento, a no ser que se especifique expresamente, está registrado bajo los términos de la licencia CC-BY-SA-2.5. Se aplican las Pautas de Utilización del logo y nombre de Gentoo. |
|