Gentoo Hardened - często zadawane pytania
Termin "toolchain" odnosi się do zbioru pakietów oprogramowania, który jest wykorzystywany do rozwijania i budowania aplikacji na konkretną architekturę sprzętową. "Toolchain" o którym można usłyszeć na kanale IRC #gentoo-hardened, składa się z GNU Compiler Collection (GCC), pakietu binutils oraz biblioteki GNU C (glibc). Z czego korzystać: grsecurity, RSBAC czy SELinux? Odpowiedź na to pytanie jest wysoce subiektywna. Projekt Gentoo Hardened wskazuje różne rozwiązania, natomiast wybór należy do użytkowników. Decyzja wymaga analizy, którą - mamy nadzieję - ułatwi niniejsza dokumentacja. Jeśli jednak rodzą się konkretne pytania dotyczące modelu bezpieczeństwa wprowadzanego przez każde z rozwiązań, to zachęcamy do skorzystania z listy mailingowej oraz do zadawania pytań odpowiednim deweloperom. Czy jest możliwe jednoczesne korzystanie z grsecurity, SELinux oraz PaX? Tak, taka kombinacja jest możliwa gdyż PaX pracuje zarówno z grsecurity, RSBAC jak i SELinux. Jedyny konflikt jaki może mieć miejsce ma swoje źródło w tym, że możemy korzystać tylko z jednego systemu kontroli dostępu. Czy należy dodać jakieś flagi do LDFLAGS/CFLAGS, aby włączyć kompilację z PIE/SSP? Nie. Obecny "toolchain" automatycznie dostarcza odpowiednik CFLAGS="-fPIE -fstack-protector-all" LDFLAGS="-Wl,-z,now -Wl,-z,relro", poprzez pliki specyfikacji GCC (ang. specfile). Jest to lepsze rozwiązanie niż flagi. W przypadku, gdy korzystamy ze starszej wersji hardened-gcc musimy dodać USE="hardened pic" do pliku /etc/make.conf, a następnie wykonać aktualizację przy użyciu poleceń:
Jak wyłączyć kompilację z PIE/SSP? Możemy tego dokonać używając programu gcc-config:
Możemy również zmienić nasze flagi CFLAGS: Standardową opcję SSP dla budowania binariów można wyłączyć przez dodanie -fno-stack-protector-all -fno-stack-protector do zmiennej CFLAGS. Jeśli chcemy wyłączyć domyślną opcję PIE, to dodajemy -nopie do naszej zmiennej CFLAGS.
Proces budowy kernela zostaje przerwany i pojawia się błąd "error: structure has no member named `curr_ip'", jak to naprawić? Aby móc korzystać z PaX w pakiecie hardened-sources, musimy włączyć obsługę grsecurity w kernelu. W przyszłej wersji powinno to zostać naprawione. Dopiero poznaję Gentoo Hardened. Czy muszę zainstalować wszystko co zostało wymienione na stronie projektu, by mieć Gentoo w wersji hardened? Nie. Gentoo Harened jest zbiorem podprojektów, które mają wspólne założenia odnośnie bezpieczeństwa. Wiele z nich może być zainstalowana wspólnie z innymi. Niektóre powodują konflikty, jak np. kilka implementacji list kontroli dostępu (ACL) oferowanych przez projekt Gentoo Hardened. Dlaczego programy nie działają jeśli korzysta się z CFLAGS="-O3" i gcc hardened? W niektórych sytuacjach równoczesne używanie flagi -O3 i SSP (ang. stack-smashing protector) powoduje problemy. Flaga -O3 nie jest oficjalnie wspierana i dlatego zespół projektu Hardened odradza jej wykorzystywanie. Raporty problemów, zgłaszane przez użytkowników korzystających z CFLAGS="-O3", będą zamykane ze statusem INVALID/CANTFIX i/lub ignorowane. Co się stało z bootstrap-cascade.sh? Stare wersje bootstrap.sh i bootstrap-2.6.sh stały się nieaktualne i zastąpiono je przez bootstrap-cascade.sh. Następnie zmieniono nazwę skryptu bootstrap-cascade.sh na bootstrap.sh. Jak przełączyć się na profil hardened?
Po zmianie profilu należy przekompilować system korzystając z toolchain w wersji hardened, tak by mieć spójny system podstawowy:
Pierwszym problemem jest fakt, że GDB nie jest w stanie określić symboli w PIE, gdyż nie wie, że adresy w PIE są względne, a nie bezwzględne. Ujawnia się to, gdy staramy się prześledzić działanie programu i widzimy ciąg linii ze znakami '??' w miejscach, gdzie powinny znajdować się symbole. Aby obejść ten problem, należy ostatni etap łączenia programu przeprowadzić z opcją -nopie. Wszystkie wcześniejsze etapy mogą być przeprowadzane tak jak zawsze z opcją -fPIE (jest to domyślny sposób w przypadku kompilatora hardenend). W ten sposób plik wykonywalny jest jak najbardziej bliski prawdziwemu obiektowi, jednak ostatnie dowiązanie tworzy regularny plik wykonywalny. Flagę -nopie można dodać do zmiennej LDFLAGS, jeśli budujemy pakiety przy pomocy emerge. Innym sposobem rozwiązania tego problemu jest instalacja =sys-devel/gdb-6.3-r5, paczka ta daje możliwość debugowania binarek zlinkowanych z -pie. Drugą pułapką jest potencjalne uniemożliwienia przez PAX ustawienia punktów kontrolnych GDB, zależnie od tego jak skonfigurowane jest jądro. Dotyczy to również punktu kontrolnego ustawionego na funkcji main, którego potrzebujemy, aby cokolwiek rozpocząć. Aby zapobiec takiemu działaniu PaX-a, plik wykonywalny, który poddajemy debugowaniu musi posiadać flagi 'm' i 'x'. Flaga 'x' ustawiana jest domyślnie, więc wystarczy wydać jedynie poniższe polecenie:
W tym momencie wszystko powinno być ustawione i gotowe do pracy. GDB uruchamiamy w normalny sposób. Powodzenia w debugowaniu! Jaki jest adres strony domowej PaX? Strona domowa PaX znajduje się pod adresem http://pax.grsecurity.net. Czy istnieje jakaś dokumentacja Gentoo dotycząca PaX? Obecnie jedyną dokumentacją Gentoo dotyczącą PaX jest krótki przewodnik po PaX, dostępny na stronie http://www.gentoo.org/proj/pl/hardened/pax-quickstart.xml. Bez przerwy pojawia się komunikat: "error while loading shared libraries: cannot make segment writable for relocation: Permission denied". Co to oznacza? Informacja o błędzie pojawia się wtedy, gdy włączymy CONFIG_PAX_NOELFRELOCS w następujący sposób:
Jeśli korzystamy z "toolchain" w wersji hardened, to zazwyczaj podczas kompilacji powstają biblioteki ELF z opcją PIC, nie zawierające relokacji sekcji text (text jest jedną z sekcji pliku binarnego ELF - przyp. tłum.). Jednakże z różnych powodów, niektóre biblioteki nadal zawierają relokacje tej sekcji (są to najczęściej te, które zawierają nieprawidłowo obsługiwane fragmenty). Może to stanowić lukę w zabezpieczeniach, gdyż potencjalny agresor może wykorzystać biblioteki skompilowane z opcją non-PIC do wykonania swojego shellcode. Biblioteki z opcją non-PIC mają także niepożądany wpływ na zużycie pamięci, ponieważ podważają sens istnienia bibliotek współdzielonych. Możemy pozbyć się tego błędu i pozwolić by program działał, lecz musimy poświęcić bezpieczeństwo, pozwalając na generowanie kodu w trakcie działania programu. Opcja PaX, która to umożliwia nazywa się MPROTECT. Należy wyłączyć MPROTECT dla każdego pliku wykonywalnego, który korzysta z bibliotek skompilowanych z non-PIC. Aby sprawdzić, czy w naszym systemie znajdują się biblioteki zawierające relokacje sekcji text, możemy wykorzystać program scanelf z pakietu app-misc/pax-utils. Więcej informacji o używaniu pakietu pax-utils znajdziemy w dokumencie Gentoo PaX Utilities Guide.
Dlaczego Java nie działa z PaX? Wirtualna maszyna Javy przy każdym uruchomieniu generuje znaczną ilość kodu, co nie wpływa na PaX zbyt dobrze. Istnieją dwa rozwiązania problemu:
Jeśli już posiadamy program chpax, możemy wykonać polecenie:
Obydwie opcje lekko modyfikują nagłówek ELF, tak by było możliwe ustawienia flag PAX na binariach.
Poniższą komendą można przy włączonym RSBAC poetykietować wszystkie pliki Javy.
4. Pytania dotyczące grsecurity Jaki jest adres strony domowej grsecurity? Strona domowa grsecurity znajduje się pod adresem http://www.grsecurity.net. Czy istnieje jakaś dokumentacja Gentoo dotycząca grsecurity? Najbardziej aktualną dokumentacją na temat grsecurity jest krótki przewodnik po Grsecurity2, znajdujący się pod adresem http://www.gentoo.org/proj/en/hardened/grsecurity.xml. Czy można używać grsecurity z kernelami 2.6.8, 2.6.8.1 albo 2.6.9? W związku ze znacznymi zmianami w kernelu 2.6.8, które uniemożliwiły obsługę PaX, poprawki PaX i grsecurity dla wersji 2.6.8, 2.6.8.1 i 2.6.9 nie są dostępne. Mimo istnienia eksperymentalnej poprawki na kernel 2.6.10, przed jej użyciem należy zapoznać się z oficjalnym stanowiskiem zespołu tworzącego PaX odnośnie serii 2.6: http://forums.grsecurity.net./viewtopic.php?t=968. Jaki jest adres strony domowej RSBAC? Strona domowa RSBAC znajduje się pod adresem http://www.rsbac.org. Czy istnieje jakaś dokumentacja Gentoo, dotycząca RSBAC? Cała dokumentacja Gentoo dotycząca RSBAC znajduje się na stronie podprojektu RSBAC, dostępnej pod adresem: http://www.gentoo.org/proj/en/hardened/rsbac/index.xml Ponadto podręcznik RSBAC, dostępny pod adresem http://www.rsbac.org/documentation/rsbac_handbook, stanowi źródło niezwiązanych bezpośrednio z Gentoo informacji o tym projekcie. Jak można korzystać ze startowego dysku RAM, gdy posiadamy kernel z włączonym RSBAC? W kernelach z włączonym RSBAC, by używać startowego dysku RAM należy zaznaczyć specjalną opcję, która zapobiega traktowaniu initrd jako głównego urządzenia ([ang.] root device).
Gdzie można znaleźć listę odpowiedzi na często zadawane pytania dotyczące SELinux? Odpowiedzi na często zadawane pytania dotyczące SELinux można znaleźć w Podręczniku SELinux. |
|