/dev/ random፣ በምስጢር-ምስጠራ ደህንነቱ የተጠበቀ የውሸት-የዘፈቀደ ቁጥር ጄኔሬተር (CSPRNG) አንድ የሚያበሳጭ ችግር እንዳለው ይታወቃል፡ ማገድ። ይህ ጽሑፍ እንዴት መፍታት እንደሚችሉ ያብራራል.
ባለፉት ጥቂት ወራት ውስጥ፣ በከርነል ውስጥ ያሉት የዘፈቀደ ቁጥር ማመንጨት ፋሲሊቲዎች በትንሹ ተስተካክለው ነበር፣ ነገር ግን በዚህ ንዑስ ስርዓት ውስጥ ያሉ ችግሮች በሰፊው ሂደት ውስጥ ተፈትተዋል . በጣም ሲስተሙ በሚነሳበት ጊዜ የጌራንደም() የስርዓት ጥሪ ለረጅም ጊዜ እንዳይዘጋ ተደርገዋል፣ነገር ግን ለዚህ ዋነኛው ምክንያት የዘፈቀደ ገንዳውን የማገድ ባህሪ ነው። አንድ የቅርብ ጊዜ ጠጋ ይህን ገንዳ ያስወግደዋል እና ወደ ዋናው ኮር ይመራል ተብሎ ይጠበቃል።
አንዲ ሉቶሚርስኪ የሶስተኛውን የ patch እትም በታህሳስ መጨረሻ አሳትሟል። አስተዋጽኦ ያደርጋል "ሁለት ዋና የትርጉም ለውጦች በዘፈቀደ ሊኑክስ ኤ.ፒ.አይ.ዎች". የ patch አዲስ GRND_INSECURE ባንዲራ ወደ getrandom () ስርዓት ጥሪ ያክላል (ሉቶሚርስኪ እንደ ጌቴንትሮፒ () ቢያመለክትም, ይህም በ glibc ውስጥ በጌትራንደም () ቋሚ ባንዲራዎች በመጠቀም ይተገበራል; ይህ ባንዲራ ጥሪው ሁልጊዜ የተጠየቀውን የውሂብ መጠን እንዲመልስ ያደርገዋል፣ ነገር ግን ውሂቡ በዘፈቀደ መሆኑን ሳያረጋግጥ። ከርነሉ በተጠቀሰው ጊዜ ያለውን ምርጥ የዘፈቀደ መረጃ ለማምረት በቀላሉ የተቻለውን ያደርጋል። "ምናልባት በጣም ጥሩው ነገር 'ያልተጠበቀ' ብሎ መጥራት ነው። (ደህንነቱ ያልተጠበቀ) ይህ ኤፒአይ ደህንነት ለሚያስፈልጋቸው ነገሮች እንዳይውል ለመከላከል።
ፕላስተሮቹ በተጨማሪም የማገጃ ገንዳውን ያስወግዳሉ. በዚህ ውስጥ እንደተገለፀው ከርነል በአሁኑ ጊዜ ሁለት የዘፈቀደ የመረጃ ገንዳዎችን ይይዛል ፣ አንዱ ከ/dev/ random እና ከ /dev/urandom ጋር ይዛመዳል። 2015. የማገጃ ገንዳ ገንዳ ለ / dev / የዘፈቀደ; ጥያቄውን ለማርካት “በቃ” ኢንትሮፒ ከስርዓቱ እስኪሰበሰብ ድረስ ያነባል ለዚያ መሳሪያ ያግዳል (ስሙን ማለት ነው)። በገንዳው ውስጥ በቂ ኢንትሮፒ ከሌለ ከዚህ ፋይል ተጨማሪ ንባብ እንዲሁ ታግዷል።
የመቆለፊያ ገንዳውን ማስወገድ ማለት ከ / ዴቭ/ የዘፈቀደ ንባብ ባንዲራዎች ወደ ዜሮ ተቀምጠው (እና የGRND_RANDOM ባንዲራ ወደ ኖፕ ይለውጠዋል) እንደ ጌራንደም () ባህሪይ ነው ማለት ነው። ክሪፕቶግራፊክ የዘፈቀደ ቁጥር ጀነሬተር (CRNG) አንዴ ከተጀመረ፣ ከ/dev/random ማንበብ እና ወደ getrandom(...፣0) ጥሪዎች አይከለክልም እና የተጠየቀውን የዘፈቀደ ውሂብ መጠን ይመልሳል።
ሉቶሚርስኪ እንዲህ ይላል: "የሊኑክስ ማገጃ ገንዳ ጊዜ ያለፈበት ሆኗል ብዬ አምናለሁ። CRNG ሊኑክስ ለቁልፍ ማመንጨት እንኳን በቂ የሆነ ምርት ያመነጫል። የማገጃ ገንዳው በምንም መልኩ ጠንካራ አይደለም እናም እሱን ለመደገፍ ብዙ አጠራጣሪ ዋጋ ያለው መሠረተ ልማት ይፈልጋል።
ለውጦቹ የተከናወኑት ነባር ፕሮግራሞች በትክክል እንደማይነኩ በማረጋገጥ ነው፣ እና እንዲያውም፣ እንደ GnuPG ቁልፍ ማመንጨት ባሉ ነገሮች ረጅም መጠበቅ ችግሮች ያነሱ ይሆናሉ።
“እነዚህ ክፍሎች ማንኛውንም ፕሮግራሞችን ማደናቀፍ የለባቸውም። /dev/urandom ሳይለወጥ ይቆያል። /dev/ random አሁንም ሲነሳ ወዲያውኑ ያግዳል፣ ግን ከበፊቱ ያነሰ ያግዳል። ጌቴንትሮፒ () ከነባር ባንዲራዎች ጋር ልክ እንደበፊቱ ለተግባራዊ ዓላማዎች ተስማሚ የሆነ ውጤት ይመልሳል።
ሉቶሚርስኪ የከርነሉ እገዳው በተወሰነ መጠን ማድረግ የነበረበት “እውነተኛ የዘፈቀደ ቁጥሮች” የሚባሉትን ማቅረብ አለመቻሉ አሁንም ግልጽ ጥያቄ እንደሆነ ጠቁመዋል። ለዚህ አንድ ምክንያት ብቻ ነው የሚያየው፡- “የመንግስትን መስፈርቶች ማክበር”። ሉቶሚርስኪ ከርነል ይህንን የሚያቀርብ ከሆነ ፍፁም በተለየ በይነገጽ መከናወን አለበት ወይም ወደ ተጠቃሚው ቦታ እንዲዛወር በማድረግ ተጠቃሚው እንዲህ አይነት የመቆለፊያ ገንዳ ለመፍጠር የሚያገለግሉ ጥሬ የክስተት ናሙናዎችን እንዲያወጣ ያስችለዋል።
ስቴፋን ሙለር የእሱን ስብስብ ጠቁሟል ለሊኑክስ የዘፈቀደ ቁጥር ጀነሬተር (LRNG) (በአሁኑ ጊዜ የተለቀቀው ስሪት 26) ለሚያስፈልጋቸው መተግበሪያዎች እውነተኛ የዘፈቀደ ቁጥሮችን ለማቅረብ መንገድ ሊሆን ይችላል። LRNG "በ SP800-90B መመሪያዎች በዘፈቀደ ቢትስ ለማመንጨት ጥቅም ላይ በሚውሉ የኢንትሮፒ ምንጮች ላይ የ SPXNUMX-XNUMXB መመሪያዎችን ሙሉ በሙሉ ያከብራል" ይህም ለመንግስት ደረጃዎች ችግር መፍትሄ ያደርገዋል።
ማቲው ጋርሬት “እውነተኛ የዘፈቀደ መረጃ” የሚለውን ቃል ተቃውሟል ፣ ናሙናው የተወሰዱት መሳሪያዎች በመርህ ደረጃ ሊተነብዩ ለማድረግ በበቂ ሁኔታ ሊቀረጹ እንደሚችሉ በመግለጽ “እዚህ የኳንተም ሁነቶችን ናሙና አንወስድም” ብለዋል ።
ሙለር ቃሉ የመጣው ከጀርመን መደበኛ ኤአይኤስ 31 ውጤትን ብቻ የሚያመጣውን የዘፈቀደ ቁጥር ጄኔሬተርን ለመግለጽ ነው "ከሥሩ የድምፅ ምንጭ ኢንትሮፒን እንደሚያመነጭ በተመሳሳይ መጠን" ሲል ምላሽ ሰጥቷል።
የቃላት ልዩነት ወደ ጎን፣ በ LRNG ፕላቶች እንደተጠቆመው የመቆለፊያ ገንዳ መኖሩ በቀላሉ ወደ ተለያዩ ችግሮች ያመራል፣ ቢያንስ ያለ ልዩ መብት የሚደረስ ከሆነ።
ሉቶሚርስኪ እንደተናገረው፡- “ይህ ችግሩን አይፈታውም። ሁለት የተለያዩ ተጠቃሚዎች እንደ gnupg ያሉ ደደብ ፕሮግራሞችን ቢያካሂዱ እርስ በርሳቸው ይሟገታሉ። በአሁኑ ጊዜ በ/dev/ በዘፈቀደ ሁለት ዋና ዋና ችግሮች እንዳሉ አይቻለሁ፡ ለ DoS የተጋለጠ ነው (ማለትም የሀብት መሟጠጥ፣ ተንኮል አዘል ተጽዕኖ ወይም ተመሳሳይ ነገር) እና እሱን ለመጠቀም ምንም ልዩ መብቶች ስለሌለ፣ ለጥቃትም የተጋለጠ ነው። Gnupg ስህተት ነው፣ ሙሉ በሙሉ መፍረስ ነው። gnupg እና መሰል ፕሮግራሞች የሚጠቀሙበትን አዲስ ያልተፈቀደ በይነገጽ ከጨመርን እንደገና እናጣለን።"
ሙለር የጌራንዶም () መጨመር አሁን GnuPG ይህንን በይነገጽ እንዲጠቀም ያስችለዋል, ምክንያቱም ገንዳው ለመጀመር አስፈላጊውን ዋስትና ይሰጣል. ከGnuPG ገንቢ ቨርነር ኮች ጋር በተደረጉ ውይይቶች ላይ በመመስረት፣ሙለር ዋስትናው ብቸኛው ምክንያት GnuPG በቀጥታ ከ/dev/ የዘፈቀደ ማንበብ እንደሆነ ያምናል። ነገር ግን ለአገልግሎት መከልከል የተጋለጠ ያልተፈቀደ በይነገጽ ካለ (እንደ / dev/ random ዛሬ) ፣ ሉቶሚርስኪ በአንዳንድ መተግበሪያዎች አላግባብ ጥቅም ላይ እንደሚውል ይከራከራሉ።
የሊኑክስ የዘፈቀደ ቁጥር ንዑስ ሲስተም ገንቢ ቴዎዶር ዩ ታክ ቲኦ ስለ ማገጃ ገንዳ አስፈላጊነት ሀሳቡን የለወጠው ይመስላል። ይህንን ገንዳ ማስወገድ ሊኑክስ እውነተኛ የዘፈቀደ ቁጥር ጀነሬተር (TRNG) አለው የሚለውን ሀሳብ በተሳካ ሁኔታ ያስወግዳል ብሏል። "ይህ ከንቱ አይደለም፣ ምክንያቱም *BSD ሁልጊዜ የሚያደርገው ይህ ነው።"
በተጨማሪም የTRNG ዘዴን ማቅረብ በቀላሉ ለመተግበሪያ ገንቢዎች ማጥመጃ ሆኖ እንደሚያገለግል እና እንደ እውነቱ ከሆነ በሊኑክስ የሚደገፉትን የተለያዩ የሃርድዌር አይነቶች ግምት ውስጥ በማስገባት TRNGን በከርነል ውስጥ ዋስትና መስጠት እንደማይቻል ያምናል። ከስር መብቶች ጋር ብቻ ከመሳሪያዎች ጋር የመሥራት ችሎታ እንኳን ችግሩን አይፈታውም- "የመተግበሪያ ገንቢዎች መተግበሪያቸው ለደህንነት ሲባል እንደ ስር መጫኑን ይገልፃሉ፣ በዚህም ብቸኛው መንገድ 'በእርግጥ ጥሩ' የሆኑትን የዘፈቀደ ቁጥሮች ማግኘት ይችላሉ።"
ሙለር ካኦ እሱ ራሱ ለረጅም ጊዜ ያቀረበውን የማገጃ ገንዳ ትግበራ ትቶ እንደሆነ ጠየቀ። ካኦ የሉቶሚርስኪን ንጣፎችን ለመውሰድ እንዳቀደ እና ወደ ከርነል መልሶ የሚያግድ በይነገጽ ማከልን በንቃት እንደሚቃወም መለሰ።
“ከርነል የጩኸት ምንጭ በትክክል መገለጹን በተመለከተ ምንም ዓይነት ዋስትና ሊሰጥ አይችልም። የጂፒጂ ወይም የOpenSSL ገንቢ ሊያገኙት የሚችሉት ብቸኛው ነገር እውነት "የተሻለ" ነው የሚል ግልጽ ያልሆነ ስሜት ነው፣ እና ተጨማሪ ደህንነትን ስለሚፈልጉ እሱን ለመጠቀም እንደሚሞክሩ ጥርጥር የለውም። የሆነ ጊዜ ላይ ይታገዳል፣ እና ሌላ ብልህ ተጠቃሚ (ምናልባትም የስርጭት ባለሙያ) ወደ ኢንቲ ስክሪፕቱ ሲያስገቡ እና ስርዓቶቹ መስራት ሲያቆሙ ተጠቃሚዎች ቅሬታቸውን ለሊነስ ቶርቫልድስ እራሱ ብቻ ነው የሚያቀርቡት።
ካኦ በተጨማሪም ክሪፕቶግራፈር አንሺዎች እና TRNG ለሚፈልጉት በተጠቃሚ ቦታ ላይ የራሳቸውን ኢንትሮፒ የሚሰበስቡበት መንገድ እንደፈለጋቸው እንዲጠቀሙ ይደግፋሉ። ኢንትሮፒን መሰብሰብ በከርነል በሚደግፉት የተለያዩ ሃርድዌር ላይ የሚከናወን ሂደት አይደለም፣ ወይም ኮርነሉ ራሱ በተለያዩ ምንጮች የሚሰጠውን የኢንትሮፒ መጠን መገመት አይችልም ብሏል።
"ከርነሉ የተለያዩ የድምፅ ምንጮችን በአንድ ላይ ማደባለቅ የለበትም፣ እና በእርግጠኝነት አንድ ዓይነት "የተጣመመ ኢንትሮፒ ጨዋታ" በሚያስደነግጥ ሲፒዩ ላይ ለመጫወት ሲሞክር ምን ያህል ቢትስ ኢንትሮፒ እንደሚያገኝ ለማወቅ መሞከር የለበትም። አርክቴክቸር ለሸማቾች ተጠቃሚዎች IOT/የተከተቱ ጉዳዮች ከአንድ ማስተር oscillator ጋር ሁሉም ነገር የማይመሳሰልበት፣የመመዝገቢያ ቦታን እንደገና ለመደርደር ወይም ለመሰየም የሲፒዩ መመሪያ ከሌለ ወዘተ.
"እነዚህን ስሌቶች ለመስራት የሚሞክሩ መሳሪያዎችን ስለማቅረብ ማውራት ይችላሉ, ነገር ግን እንደዚህ ያሉ ነገሮች በእያንዳንዱ ተጠቃሚ ሃርድዌር ላይ መደረግ አለባቸው, ይህም ለአብዛኞቹ የስርጭት ተጠቃሚዎች ቀላል አይደለም. ይህ ለክሪፕቶግራፈር አንሺዎች ብቻ የታሰበ ከሆነ በተጠቃሚ ቦታቸው ላይ እንዲደረግ ያድርጉ። እና GPG፣ OpenSSL ወዘተ ሁሉም ሰው "እኛ የምንፈልገው "እውነተኛ የዘፈቀደነት" እንዲል እና ብዙም እንዳንቀመጥ አናድርግ። ዋና ዋና የድምፅ ምንጮችን በመለየት ፣የተለያዩ እና የተሰየሙትን በመድረስ የሚፈልጉትን መረጃ ለማግኘት እንዲችሉ ለክሪፕቶግራፈር ሰሪዎች በይነገጽ እንዴት እንደምናቀርብ እና ምናልባትም እንደምንም የጩኸት ምንጭ እራሱን ለየላይብረሪ ወይም የተጠቃሚ ቦታ መተግበሪያ ማረጋገጥ እንችላለን።
ለምሳሌ ለአንዳንድ ክስተቶች የደህንነት አንድምታዎች ሊኖሩ ስለሚችሉ እንደዚህ አይነት በይነገጽ ምን ሊመስል እንደሚችል አንዳንድ ውይይት ተደርጓል። ካኦ የቁልፍ ሰሌዳ ስካን ኮዶች (ማለትም የቁልፍ ጭነቶች) እንደ ኢንትሮፒ ስብስብ አካል ሆነው ወደ ገንዳ ውስጥ እንደሚደባለቁ ተናግሯል፡ "ይህን ወደ ተጠቃሚ ቦታ ማምጣት፣ በልዩ የስርዓት ጥሪም ቢሆን በትንሹ ለመናገር ጥበብ የጎደለው ነው።" ሌሎች የክስተት ጊዜዎች በጎን ቻናሎች አንዳንድ አይነት የመረጃ ፍሰት ሊፈጥሩ ይችላሉ።
ስለዚህ ከሊኑክስ የዘፈቀደ ቁጥር ንዑስ ስርዓት ጋር ለረጅም ጊዜ የቆየ ችግር ወደ መፍትሄ መንገድ ላይ ያለ ይመስላል። የነሲብ ቁጥር ንዑስ ስርዓት በቅርብ ጊዜ ያደረጋቸው ለውጦች በእርግጥ የዶኤስ ችግሮችን ያስከተሉት እሱን በሚጠቀሙበት ጊዜ ብቻ ነው። አሁን ከርነል የሚያቀርበውን ምርጥ የዘፈቀደ ቁጥሮች ለማግኘት ውጤታማ መንገዶች አሉ። TRNG አሁንም በሊኑክስ ላይ የሚፈለግ ከሆነ፣ ይህ ጉድለት ወደፊት መታረም አለበት፣ ግን ምናልባት ይህ በከርነል ውስጥ አይደረግም።
አንዳንድ ማስታወቂያዎች 🙂
ከእኛ ጋር ስለቆዩ እናመሰግናለን። ጽሑፎቻችንን ይወዳሉ? የበለጠ አስደሳች ይዘት ማየት ይፈልጋሉ? ትእዛዝ በማዘዝ ወይም ለጓደኞች በመምከር ይደግፉን፣ , በእኛ ለእርስዎ የተፈለሰፈው ልዩ የመግቢያ ደረጃ አገልጋዮች አናሎግ፡- (በRAID1 እና RAID10፣ እስከ 24 ኮሮች እና እስከ 40GB DDR4 ድረስ ይገኛል።
በአምስተርዳም ውስጥ በ Equinix Tier IV የመረጃ ማዕከል ውስጥ Dell R730xd 2x ርካሽ? እዚህ ብቻ በኔዘርላንድስ! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - ከ$99! ስለ አንብብ
ምንጭ: hab.com