Ründemudeli ja haavatavuste hindamise eripära Linuxi tuumas

Linus Torvalds lisas tuuma dokumenti, mis reguleerib turvaprobleemide käsitlemise protsessi, määratleb ründemudeli, selgitab, milliseid vigu tuumas käsitletakse haavatavustena, ning käsitleb AI abil tuvastatud vigadega toiminguid. Dokumendi koostas Willy Tarreau, HAProxy autor ja pikaajaline Linuxi tuuma arendaja, kes vastutas mitme stabiilse tuuma haru hoolduse eest. Alusena on kasutatud kokkuleppeid, mis saavutati hiljuti ilmnenud kriitiliste haavatavuste arutelu käigus tuumas (1, 2, 3, 4), mis avati enne paranduste avaldamist ning millele, AI abil, suudeti kohe luua töötavad eksploidid.

Turvalisusega seotud vigade peamine hulk tuleks käsitleda avalikult, et kaasata võimalikult lai publikut ja leida optimaalne lahendus. Eraklasside postitusloendisse tuleks saata ainult erakorralised teated kergesti ära kasutatavate haavatavuste kohta, mis ohustavad paljusid kasutajaid ja võimaldavad laiaulatuslikke privileege või võimalusi.

AI-assistentide abil tuvastatud haavatavusi on alati soovitatav arutada avalikult, kuna sarnaseid probleeme avastavad sageli mitmed teadlased üheaegselt. Samas ei tohiks raportis paljastada eksploitatsiooni — piisab mainida, et see on saadaval, ja edastada see eraviisiliselt vastuseks saatjalt saadud nõudmisele.

Ainult AI-assistentide abil koostatud aruanne edastamise reeglid on eraldi kirjeldatud. Selliseid aruandeid saadetakse väga palju ning nende kaudu on aeg-ajalt võimalik avastada vigu halvasti läbi vaadatud koodiosades, kuid saatjad ignoreerivad neid sageli madala kvaliteedi ja ebatäpsuste tõttu. AI kaasabil koostatud aruannetele kehtivad peamised nõuded:

• Lühidus, ilma liigse tekstita, esitledes sisu ja olulisi detaile juba alguses.
• Ainult puhas tekst ilma Markdowni märkide ja kaunistusteta.
• Ohtude mudeli mõistmine ja kontrollitavate faktide esitamine (nt "viga võimaldab igal kasutajal saada CAP_NET_ADMIN"), mitte teoreetilised arutelud ja oletused haavatavuse tagajärgede üle.
• Enne aruande saatmist tuleb kindlasti hoolikalt testida AI kaudu genereeritud eksploitatsiooni toimivust ja veenduda probleemi kordamise võimaluses.
• AI kaasamine avastatud probleemi parandamise väljatöötamisse ja testimise protsessis.

Statistika kohaselt saadetavate vigade aruannete enamuse puhul, mis esitatakse haavatavuste kõrvaldamisena, ei ole need tegelikult sellised ning neid tuleks töödelda tavapäraste vigade nagu tavaliste vigadega. Linuxi tuuma ohumudelis on kirjeldatud vahendeid ja garantiisid, mille rikkumist võib käsitleda haavatavusena:

• Kasutaja tasemel isoleerimine: juurdepääs failidele ainult omanikule, protsessi mälu ei ole teistele kasutajatele kättesaadav, ptrace on keelatud teiste protsesside puhul, IPC ja võrgu side isoleerimine.
• Capabilities põhine kaitse: ilma CAP_SYS_ADMINita ei saa muuta tuuma konfiguratsiooni, mälu, süsteemi olekut, ilma CAP_NET_ADMINita ei saa muuta võrgu seadeid ega püüda liiklust, ilma CAP_SYS_PTRACEita ei saa jälgida teiste kasutajate protsesse.
• Kasutaja identifikaatorite nimespaci (CONFIG_USER_NS) võimaldab mitteprivileegitud kasutajatel luua oma isoleeritud keskkondi, millest ei saa mõjutada globaalset nimespacet, näiteks muuta aega, laadida mooduleid ja mountida plokiseadmeid.
• Debugging interface'd (/proc/kmsg, perf, debugfs), mille kaudu saab ligi pääseda konfidentsiaalsele teabele, on saadaval ainult pärast administraatori selget juurdepääsu andmist.

Võimalused, mida ei käsitleta haavatavustena:

• Vanade tuumikute harude kasutamine.
• Koostamine koos arendajatele mõeldud valikute või turvalisust vähendavate seadistustega (nt CONFIG_NOMMU).
• Ohtlike sysctl seadete, käsurea valikute, failisüsteemi õiguste, capabilities või privileege avada mitteprivileegitud kasutajatele privileegitud liideste juurde pääsemise (nt kirjutamisõigus procfs ja debugfs).
• Probleemid funktsioonides, mis on ette nähtud ainult tuuma arendamiseks ja silumiseks, nagu LOCKDEP, KASAN ja FAULT_INJECTION, mida ei ole mõeldud tootmis konfiguratsioonidesse sisse lülitamiseks.
• Probleemid draiverites, moodulites ja allüksustes, mis on STAGING sektsioonis või märgitud kui eksperimentaalsed, ohtlikud või mittetöötavad.
• Kolmandate osapoolte tuumamoodulite või mitteametlike tuumakoodide forkide kasutamine.
• Liigne privileegide nõudmised, nagu vajadus teostada toiminguid root-kasutaja õigustega või kasutajalt, kellel on õigused CAP_SYS_ADMIN, CAP_NET_ADMIN, CAP_SYS_RAWIO ja CAP_SYS_MODULE.
• Teoreetilised rünnakud, mis nõuavad laboritingimusi, miljardeid katsetusi, seadmete emuleerimist või modifitseerimist, liiga suuri kulusid ja ebausutavaid konfigureerimisi (näiteks süsteemid, millel on kümneid tuhandeid CPU tuumasid).
• Kaitsemehhanismide (näiteks ASLR) rikkumine ilma ekspluateerimise demonstreerimiseta. Argumentide ja tagastatud veakoodide kontrollide puudumine, mis ei too kaasa selgelt mingeid tagajärgi.
• Juhuslikud teabe lekked, mis on ründajatest sõltumatud, nagu jääkandmed veateadetes ja mälu adresside/viidete lekked tuumale, ilma otsese ekspluateerimise võimaluseta.
• Tõrked vigaste kettapiltide mountimisel, kui draiverit ei ole kuulutatud usaldusväärsete kanduritega kasutamiseks sobivaks. Probleemid kettapiltidega, mis tuvastatakse ja kõrvaldatakse fsck utiliidi kaudu.
• Ärimeetodid, mis nõuavad füüsilist juurdepääsu seadmetele, seadmete muutmist või riistvaraseadmete ühendamist, nagu DMA rünnaku plaadid ja loogilised analüsaatorid, kui süsteem ei ole spetsiaalselt konfigureeritud selliste rünnakute tõkestamiseks (IOMMU).
• Funktsionaalsuse ja jõudluse regressioonid, mida saab lahendada õiguste ja piirangute seadistamisega.

Allikas: opennet.ru