{"id":29880,"date":"2019-10-31T21:32:27","date_gmt":"2019-10-31T18:32:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/milliony-binarnikov-spustya-kak-ukreplyalsya-linux\/"},"modified":"2019-10-31T21:32:27","modified_gmt":"2019-10-31T18:32:27","slug":"milliony-binarnikov-spustya-kak-ukreplyalsya-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/milliony-binarnikov-spustya-kak-ukreplyalsya-linux","title":{"rendered":"Millioner af bin\u00e6re filer senere. Hvordan Linux blev styrket","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MillionerTL;DR<\/b>. I denne artikel unders\u00f8ger vi sikkerhedsskemata (hardening schemes), der fungerer out-of-the-box i fem popul\u00e6re Linux-distributioner. For hver af dem har vi taget den standard kerne-konfiguration, installeret alle pakker og analyseret beskyttelsesskemaerne i de indlejrede bin\u00e6re filer. Distributionerne der unders\u00f8ges er OpenSUSE 12.4, Debian 9, CentOS, RHEL 6.10 og 7, samt Ubuntu 14.04, 12.04 og 18.04 LTS. <\/p>\n

Resultaterne bekr\u00e6fter, at selv grundl\u00e6ggende ordninger som stack canaries og position-independent code endnu ikke anvendes af alle. Situationen er endnu v\u00e6rre for compilerne, n\u00e5r det kommer til beskyttelse mod s\u00e5rbarheder som stack clash, som kom i fokus i januar efter offentligg\u00f8relsen af informationer om s\u00e5rbarheder i systemd<\/a><\/noindex>. Men alt er ikke h\u00e5bl\u00f8st. En betydelig del af bin\u00e6rerne implementerer grundl\u00e6ggende beskyttelsesmetoder, og deres antal vokser fra version til version. <\/p>\n

Unders\u00f8gelsen viste, at det st\u00f8rste antal beskyttelsesmetoder er implementeret i Ubuntu 18.04 p\u00e5 OS- og applikationsniveau, efterfulgt af Debian 9. P\u00e5 den anden side implementeres der ogs\u00e5 grundl\u00e6ggende beskyttelsesskemaer i OpenSUSE 12.4, CentOS 7 og RHEL 7, og beskyttelse mod stack clash anvendes endnu bredere med et langt mere t\u00e6tsiddende s\u00e6t af standardpakker.
\n<\/a><\/noindex><\/p>\n

Introduktion<\/h1>\n

\nDet er sv\u00e6rt at sikre h\u00f8j kvalitet af software. P\u00e5 trods af det enorme antal avancerede v\u00e6rkt\u00f8jer til statisk kodeanalyse og dynamisk analyse under k\u00f8rsel, samt betydelige fremskridt i udviklingen af compilere og programmeringssprog, lider moderne software stadig af s\u00e5rbarheder, der konstant udnyttes af angrebere. Situationen er endnu v\u00e6rre i \u00f8kosystemer, der inkluderer for\u00e6ldet kode. I s\u00e5danne tilf\u00e6lde st\u00e5r vi ikke kun over for det evige problem med at finde potentielle udnyttelige fejl, men er ogs\u00e5 begr\u00e6nset af strenge krav om bagudkompatibilitet, som ofte kr\u00e6ver at begr\u00e6nse, og endnu v\u00e6rre, s\u00e5rbar eller buggede kode.<\/p>\n

Her kommer metoderne til beskyttelse eller forst\u00e6rkning af programmer (hardening) ind i billedet. Nogle typer fejl kan vi ikke forhindre, men vi kan g\u00f8re livet sv\u00e6rere for angriberen og delvist l\u00f8se problemet ved at forhindre eller hindre. udnyttelse<\/i> disse fejl. Denne beskyttelse anvendes i alle moderne operativsystemer, men metoderne varierer meget i kompleksitet, effektivitet og ydeevne: fra stack canaries og ASLR<\/a><\/noindex> til fuldgyldige beskyttelser CFI<\/a><\/noindex> og ROP<\/a><\/noindex>. I denne artikel vil vi se p\u00e5, hvilke beskyttelsesmetoder der anvendes i de mest popul\u00e6re Linux-distributioner i standardkonfigurationen, samt unders\u00f8ge egenskaberne ved bin\u00e6re filer, der distribueres gennem pakkeh\u00e5ndteringssystemerne for hver distribution.<\/p>\n

CVE og sikkerhed<\/h3>\n

\nVi har alle set artikler med titler som \"\u00c5rets mest s\u00e5rbare applikationer\" eller \"De mest s\u00e5rbare operativsystemer\". Normalt indeholder de statistikker om det samlede antal registreringer af s\u00e5rbarheder af typen CVE (Common Vulnerability and Exposures)<\/a><\/noindex>, hentet fra National Vulnerability Database (NVD)<\/a><\/noindex> fra NIST<\/a><\/noindex> og andre kilder. Disse applikationer eller operativsystemer rangeres derefter efter antallet af CVE. Desv\u00e6rre, selvom CVE er meget nyttige til at spore problemer og informere leverand\u00f8rer og brugere, siger de ikke meget om den reelle sikkerhed af software.<\/p>\n

Som et eksempel vil vi se p\u00e5 det samlede antal CVE over de seneste fire \u00e5r for Linux-kernen og fem af de mest popul\u00e6re server-distributioner, nemlig Ubuntu, Debian, Red Hat Enterprise Linux og OpenSUSE.<\/p>\n

\"Millioner
\nFig. 1<\/i><\/p>\n

Hvad fort\u00e6ller denne graf os? Betyder et h\u00f8jere antal CVE, at en distribution er mere s\u00e5rbar end en anden? Svaret er nej. For eksempel vil du i denne artikel se, at Debian implementerer strengere beskyttelsesmekanismer sammenlignet med for eksempel OpenSUSE eller RedHat Linux, og alligevel har Debian flere CVE. Men de betyder ikke n\u00f8dvendigvis sv\u00e6kket sikkerhed: selv tilstedev\u00e6relsen af CVE indikerer ikke, om en s\u00e5rbarhed kan udnyttes<\/i>. Alvorlighedsscorer giver en indikation af, hvor sandsynligt<\/i> det er, at en s\u00e5rbarhed kan blive udnyttet, men i sidste ende afh\u00e6nger udnytteligheden i h\u00f8j grad af beskyttelsen i de ber\u00f8rte systemer samt ressourcerne og evnerne hos angriberne. Desuden siger frav\u00e6ret af CVE-rapporter ikke noget om andre uregistrerede eller ukendte<\/i> S\u00e5rbarheder. Forskellen i CVE kan forklares ikke ved kvaliteten af softwaren, men af andre faktorer, herunder de ressourcer, der er afsat til testning, eller st\u00f8rrelsen af brugerbasen. I vores eksempel kan det st\u00f8rre antal CVE for Debian simpelthen indikere, at Debian leverer flere softwarepakker. <\/p>\n

Selvf\u00f8lgelig giver CVE-systemet nyttig information, der g\u00f8r det muligt at skabe relevante beskyttelser. Jo bedre vi forst\u00e5r \u00e5rsagerne til programsvigt, desto lettere bliver det at identificere mulige angrebsmetoder og udvikle de relevante mekanismer. opdagelse og reaktion<\/i>. Figur 2 viser kategorier af s\u00e5rbarheder for alle distributioner over de sidste fire \u00e5r (kilde<\/a><\/noindex>). Det er straks tydeligt, at de fleste CVE falder ind under f\u00f8lgende kategorier: tjenesten\u00e6gtelse (DoS), udf\u00f8relse af kode, buffer-overl\u00f8b, hukommelseskorruption, l\u00e6kage (ekskfiltrering) af oplysninger og privilegieforskydning. Selvom mange CVE er blevet registreret flere gange i forskellige kategorier, forbliver de samme problemer stort set u\u00e6ndrede \u00e5r efter \u00e5r. I n\u00e6ste del af artiklen vil vi vurdere brugen af forskellige beskyttelsesskemaer til at forhindre udnyttelse af de n\u00e6vnte s\u00e5rbarheder.<\/p>\n

\"Millioner
\nFigur 2<\/i><\/p>\n

Opgaver<\/h3>\n

\nI denne artikel har vi til hensigt at besvare f\u00f8lgende sp\u00f8rgsm\u00e5l:<\/p>\n