LKRG 0.8 moduli väljaanne Linuxi tuuma haavatavuste kaitseks

Openwall projekt avalikustas tuuma mooduli vabastamine LKRG 0.8 (Linux Kernel Runtime Guard), mis on mõeldud tuvastama ja blokeerima rünnakuid ning tõrkeid tuuma struktuurides. Näiteks saab moodul kaitsta volitamata muudatuste tegemise eest töötavas tuumas ja kasutaja protsesside privileegide muutmise katsete eest (eksploitide rakendamise tuvastamine). Moodul sobib nii olemasolevate kernelite eksploitide kaitseks (näiteks olukordades, kus süsteemis on probleemne tuuma värskendamine) kui ka veel tundmatute haavatavuste eksploitide tõrjumiseks. Projekti kood levitatakse on GPLv2 litsentsi all.

Uues versioonis on järgmised muudatused:

• LKRG projekti positsioneerimine on muutunud, nüüd ei jagata seda eraldi allüksusteks, et kontrollida integriteeti ja tuvastada eksploitide rakendamist, vaid see esitatakse tervikliku tootena rünnakute ja erinevate integriteedi häirimiste tuvastamiseks;
• Tagatakse ühilduvus Linuxi kernelitega alates 5.3 kuni 5.7, samuti kernelitega, mis on kompileeritud agressiivsete GCC optimeerimistega, ilma CONFIG_USB ja CONFIG_STACKTRACE valikuteta või CONFIG_UNWINDER_ORC valikuga, samuti kernelitega, milles puuduvad LKRG katkestustavad funktsioonid, kui nende puudumine ei takista toimimist;
• Kompileerimise käigus kontrollitakse mõningaid kohustuslikke CONFIG_* seadeid tuuma jaoks, et jagada arusaadavaid veateateid ebaselgete tõrgete asemel;
• Lisatud tugi oote(ACPI S3, suspend to RAM) ja unerežiimide(S4, suspend to disk) jaoks;
• Makefile'le on lisatud DKMS tugi;
• Eksperimentaalne tugi 32-bitistele ARM platvormidele on ellu viidud (testitud Raspberry Pi 3 Model B peal). Varasemalt saadaval olnud AArch64 (ARM64) tugi on täiendatud Raspberry Pi 4 plaadi ühilduvuse tagamisega;
• Uued töötlejate (hook) on lisatud, sealhulgas capable() töötlija, et paremini tuvastada eksploitide kasutamist, mis manipuleerivad "capabilities" mitte protsesside identifikaatoritega (credentials);
• Pakutakse välja uus loogika nime ruumide piirangutest väljumise katsete tuvastamiseks (näiteks Docker konteineritest);
• x86-64 süsteemides on tagatud SMAP (Supervisor Mode Access Prevention) bitide kontrollimine ja rakendamine, mis on mõeldud kasutajaandmete ligipääsu blokeerimiseks privileege omava koodi poolt, mis töötab tuuma tasandil. SMEP (Supervisor Mode Execution Prevention) kaitse rakendati varem;
• Töö käigus tagatakse LKRG seadet piisava mälu leheküljel, mis on tavaliselt ainult lugemiseks ette nähtud;
• Logide logitavat teavet, mis võib olla rünnakute jaoks kõige kasulikum (näiteks tuumadresside teave), tuleb piirata silumise režiimiga (log_level=4 ja kõrgem), mis on vaikimisi välja lülitatud.
• Protsesside jälgimise andmebaasi skaleeritavust on suurendatud — ühe seotud spinlockiga kaitstud RB-puu asemel kasutatakse 512 RB-puust koosnevat hash-tabelit, mis on kaitstud vastavalt 512 lugemise-kirjutamise lukuga;
• On rakendatud ja vaikimisi lubatud režiim, kus protsessi tuvastamise terviklikkuse kontrollimist tehakse sageli ainult praeguse ülesande jaoks, samuti valikuliselt aktiveeritavate (ärkavate) ülesannete jaoks. Ülejäänud, magamise või kontrollitava LKRG API tuuma kaudu töötavate ülesannete puhul toimub kontroll harvemini.
• LKRG peenhäälestuseks on lisatud uusi sysctl ja mooduli parameetreid, samuti kaks sysctl, mis lihtsustavad seadistamist, valides arendajate ettevalmistatud peenhäälestuste komplektid (profiilid);
• Vaikimisi seadeid on muudetud, et saavutada paremini tasakaalustatud tasakaal rikete tuvastamise operatiivsuse ja reageerimise efektiivsuse vahel, samuti jõudluse ja valehäirete riski vahel;
• Systemd üksuse fail on ümber töötatud, et laadida LKRG moodul varases laadimisetapis (mooduli väljalülitamiseks võib kasutada tuuma käsurea parameetrit);

Arvesse võttes uue väljaande optimeerimisi on LKRG 0.8 kasutamisel jõudluse langus hinnatud 2.5% võrra vaikerežiimis („heavy“) ja 2% kergemas režiimis („light“).

Hiljuti korraldatud uurimine LKRG ruttkiti tuvastamiseks näitas sai parimaid tulemusi, tuvastades 8 9 testitud ruttkitist, mis töötavad tuumal, ilma valehäireteta (tuvasid ruttkitid Diamorphine, Honey Pot Bears, LilyOfTheValley, Nuk3 Gh0st, Puszek, Reptile, Rootfoo Linux Rootkit ja Sutekh, kuid jättis tuvastamata Keysnifferi, mis on tuumamoodul klahvivahendiga, mitte ruttkit tegelikus mõttes). Võrdluseks, AIDE, OSSEC ja Rootkit Hunter tuvastasid 2 ruttkit 9-st, samas kui Chkrootkit ei tuvastanud ühtegi. Samuti ei toeta LKRG kasutaja ruumis paiknevate ruttkitide tuvastamist, seega saavutatakse kõige suurem efektiivsus AIDE ja LKRG kombinatsiooniga, mis võimaldas tuvastada 14 15 ruttkitist kõikide tüüpide seas.

Lisaks võib märkida, et jaotuse arendaja Whonix alustas valmistatud pakettide koostamist DKMS jaoks Debianile, Whonixile, Qubesile ja Kicksecure'ile, ning pakett Arch Linux on juba värskendatud versioonini 0.8. LKRG paketid on samuti saadaval Venemaal. ALT Linux ja Astra Linux.

LKRG-s teostatakse terviklikkuse kontrolli alusel aktiveerimist, võrreldes praegust koodi ja tuuma ning moodulite andmeid, mõningate oluliste andmestruktuuride ja CPU seadistustega salvestatud hash'ide või vastavate mälupiirkondade, andmestruktuuride või registrite koopiatega. Kontrollimisi aktiveeritakse nii perioodiliselt taimeri alusel kui ka erinevate sündmuste toimumisel.

Võimalike eksploiteerimisvõtmete kindlakstegemine ja rünnakute blokeerimine toimub enne operatsioonisüsteemi juurdepääsu andmist ressurssidele (näiteks enne faili avamist), kuid pärast protsessi volitamata õiguste omandamist (näiteks UID muutmine). Volitamata käitumise tuvastamisel lõpetatakse protsesside tegevus vaikimisi, mis on piisav paljude eksploiteerimiste blokeerimiseks.

Allikas: opennet.ru