In OpenSSH wurde der Authentifizierungscode in einen separaten Prozess sshd-auth ausgelagert

Die Entwickler von OpenSSH haben die Trennung von sshd in mehrere separate ausführbare Dateien fortgesetzt. In der im Mai umgesetzten ersten Phase der Trennung wurden Funktionen, die mit der Sitzungsbehandlung zu tun haben, von sshd in einen separaten Prozess namens sshd-session ausgelagert, während in sshd nur noch die Funktionalität erhalten blieb, die notwendig ist, um neue Netzwerkverbindungen anzunehmen und sshd-session für jede neue Sitzung zu starten. Gestern wurde eine Änderung in den Code von OpenSSH eingefügt, die einen weiteren Prozess – sshd-auth – hinzufügt, in den der Code zur Durchführung der Authentifizierung von sshd-session übertragen wurde.

Der Prozess sshd-auth wird aus sshd-session gestartet und ermöglicht es, die Authentifizierungsdaten zusätzlich im Adressraum eines separaten Prozesses zu isolieren, was den Zugriff auf diese Daten im Speicher bei Angriffen auf den Code, der für die Bearbeitung der Verbindungsstadien bis zum Abschluss der Authentifizierung verwendet wird, erschwert. Darüber hinaus reduziert die Änderung geringfügig den Speicherverbrauch, da der mit der Authentifizierung verbundene Code nun nur im Speicher vorhanden ist, während die Authentifizierung durchgeführt wird, und anschließend beim Abschluss des Prozesses sshd-auth entladen wird.

Analog zu sshd, ssh-session und ssh-agent wurde beim Prozess sshd-auth die Operation der zufälligen Neukompilierung der ausführbaren Datei während jeder Systemstarts angewendet. Die zufällige Neukompilierung macht es schwer vorhersagbar, wo sich die Funktionen in den ausführbaren Dateien und Bibliotheken befinden, was die Erstellung von Exploits, die Techniken der Rücksprung-programmierung (ROP – Return-Oriented Programming) verwenden, erschwert. Bei der Verwendung der ROP-Technik versucht der Angreifer nicht, seinen eigenen Code im Speicher unterzubringen, sondern arbeitet mit bereits vorhandenen Teilen von Maschinenanweisungen, die mit einer Rücksprunganweisung enden (normalerweise sind dies die Enden von Funktionen). Die Funktionsweise des Exploits besteht darin, eine Kette von Aufrufen solcher Blöcke („Gadgets“) aufzubauen, um die gewünschte Funktionalität zu erhalten.

Quelle: opennet.ru