{"id":29880,"date":"2019-10-31T21:32:27","date_gmt":"2019-10-31T18:32:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/milliony-binarnikov-spustya-kak-ukreplyalsya-linux\/"},"modified":"2019-10-31T21:32:27","modified_gmt":"2019-10-31T18:32:27","slug":"milliony-binarnikov-spustya-kak-ukreplyalsya-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/milliony-binarnikov-spustya-kak-ukreplyalsya-linux","title":{"rendered":"Miljonid binaarfaile hiljem. Kuidas Linux tugevdati","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MiljonidTL;DR<\/b>. Selles artiklis uurime kaitse skeeme (hardening schemes), mis vaikimisi t\u00f6\u00f6tavad viies populaarses Linuxi jaotuses. Iga\u00fche jaoks v\u00f5tsime vaikimisi tuuma konfiguratsiooni, laadisime alla k\u00f5ik paketid ja anal\u00fc\u00fcsisime kaitse skeeme sisemistes binaarfailides. Arvustatakse jaotusi OpenSUSE 12.4, Debian 9, CentOS, RHEL 6.10 ja 7, samuti Ubuntu 14.04, 12.04 ja 18.04 LTS. <\/p>\n

Tulemused kinnitavad, et isegi p\u00f5hikaitse skeeme, nagu virnastamis-kanariesed ja positsioonist s\u00f5ltumatu kood, ei kasutata veel laialdaselt. Olukord on veelgi halvem kompilaatorite seas, kui r\u00e4\u00e4gime haavatavustest, nagu virnastamise kokkup\u00f5rge (stack clash), mis t\u00f5usid esile jaanuaris, p\u00e4rast info avaldamist haavatavuste kohta systemd<\/a><\/noindex>. Kuid olukord ei ole nii lootusetu. Suurtes osades binaarfaile on rakendatud p\u00f5hilised kaitsemeetodid ja nende arv kasvab versioonist versiooni. <\/p>\n

Kontroll n\u00e4itas, et k\u00f5ige rohkem kaitsemeetodeid on rakendatud Ubuntu 18.04 OS-i ja rakenduste tasemel, sellele j\u00e4rgneb Debian 9. Teiselt poolt on OpenSUSE 12.4, CentOS 7 ja RHEL 7 samuti rakendatud p\u00f5hikaitseskeeme, samas kui virnastamise konflikti kaitse on rakendatud laiemalt palju tihedama vaikimisi pakettide komplektiga.
\n<\/a><\/noindex><\/p>\n

Sissejuhatus<\/h1>\n

\nTarkvara kvaliteedi tagamine on keeruline. Hoolimata suurest hulgast arenenud utiliitidest staatilise koodi anal\u00fc\u00fcsi ja d\u00fcnaamilise k\u00e4itamise anal\u00fc\u00fcsi jaoks ning m\u00e4rkimisv\u00e4\u00e4rsest edusammust kompilaatorite ja programmeerimiskeelte arendamises, kannatab kaasaegne tarkvara endiselt haavatavuste all, mida kurjategijad pidevalt \u00e4ra kasutavad. Olukord on veel hullem \u00f6kos\u00fcsteemides, mis sisaldavad vananenud koodi. Sel juhul seisame silmitsi mitte ainult igavese probleemiga, et leida v\u00f5imalikke haavatavaid vigu, vaid oleme ka rangete tagasip\u00f6\u00f6rdumise \u00fchilduvusraamide t\u00f5ttu piiratud, mis sageli n\u00f5uavad vananenud, ja veel hullem, haavatava v\u00f5i t\u00f5rkuva koodi s\u00e4ilitamist.<\/p>\n

Siin tulevad m\u00e4ngu kaitse- v\u00f5i tugevdamismeetodid (hardening). M\u00f5ningaid vigu me ei suuda ennetada, kuid saame muuta kurjategija elu keerulisemaks ja probleemid osaliselt lahendada, ennetades v\u00f5i takistades haavatavuse<\/i> neid vigu. Sellist kaitset kasutatakse k\u00f5ikides kaasaegsetes operatsioonis\u00fcsteemides, kuid meetodid erinevad oluliselt keerukuse, efektiivsuse ja j\u00f5udluse poolest: alates virnastamiskanareid (stack canaries) ja ASLR<\/a><\/noindex> kuni t\u00e4ie\u00f5iguslike kaitseteni CFI<\/a><\/noindex> ja ROP<\/a><\/noindex>. Selles artiklis vaatleme, millised kaitsemeetodid on rakendatud k\u00f5ige populaarsemates Linuxi distributsioonides vaikeseadistustes, samuti uurime binaaride omadusi, mis levivad iga distributsiooni pakihalduss\u00fcsteemide kaudu.<\/p>\n

CVE ja turvalisus<\/h3>\n

\nMe oleme k\u00f5ik n\u00e4inud artikleid pealkirjadega nagu \u00abAasta k\u00f5ige haavatavamad rakendused\u00bb v\u00f5i \u00abAasta k\u00f5ige haavatavamad operatsioonis\u00fcsteemid\u00bb. Tavaliselt sisaldavad need statistikat, mis k\u00e4sitleb \u00fcldiste haavatavuste arvu t\u00fc\u00fcpi CVE (Common Vulnerability and Exposures)<\/a><\/noindex>, mis on saadud Rahvuslikust haavatavuste andmebaasist (NVD)<\/a><\/noindex> alates NIST<\/a><\/noindex> ja teistest allikatest. Edasi on need rakendused v\u00f5i operatsioonis\u00fcsteemid j\u00e4rjestatud CVE arvu j\u00e4rgi. Kahjuks, kuigi CVE-d on h\u00e4davajalikud probleemide j\u00e4lgimiseks ja tarnijate ning kasutajate teavitamiseks, \u00fctlevad need v\u00e4he tarkvara tegeliku turvalisuse kohta.<\/p>\n

N\u00e4iteks vaatame viimase nelja aasta jooksul Linuxi k\u00e4rje ja viie k\u00f5ige populaarsema serveri jaotuse, sealhulgas Ubuntu, Debian, Red Hat Enterprise Linux ja OpenSUSE, koguarvu CVE-sid.<\/p>\n

\"Miljonid
\nJoon. 1<\/i><\/p>\n

Mida \u00fctleb meile see diagramm? Kas suurem CVE arv t\u00e4hendab, et \u00fcks jaotus on teistega v\u00f5rreldes haavatavam? Vastus on ei. N\u00e4iteks n\u00e4ete selles artiklis, et Debianis on rakendatud rangemaid kaitsemehhanisme v\u00f5rreldes n\u00e4iteks OpenSUSE v\u00f5i RedHat Linuxiga, ja siiski on Debiani CVE arv suurem. Kuid need ei t\u00e4henda tingimata n\u00f5rgenenud turvalisust: isegi CVE olemasolu ei n\u00e4ita, kas haavatavus on kasutatav<\/i>. T\u00f5siduse punktid annavad aimu, kui t\u00f5en\u00e4oline<\/i> haavatavuste kasutamine, kuid l\u00f5ppkokkuv\u00f5ttes s\u00f5ltub \u00e4ra kasutatavus suuresti kahjustatud s\u00fcsteemides olemasolevast kaitsetasemest ning ka r\u00fcndajate ressurssidest ja v\u00f5imalustest. Lisaks ei \u00fctle CVE aruanete puudumine midagi teiste registreerimata v\u00f5i teadmata<\/i> haavatavuste kohta. CVE erinevus ei pruugi olla tingitud tarkvara kvaliteedist, vaid muudest teguritest, sealhulgas katsetamiseks eraldatud ressurssidest v\u00f5i kasutajabaasi suurusest. Meie n\u00e4ites v\u00f5ib suurem CVE arv Debianis lihtsalt t\u00e4hendada, et Debian pakub rohkem tarkvarapakette. <\/p>\n

Muidugi, CVE s\u00fcsteem annab kasulikku teavet, mis v\u00f5imaldab luua vastavaid kaitsemehhanisme. Mida paremini me m\u00f5istame programmi rikke p\u00f5hjuseid, seda lihtsam on m\u00e4\u00e4rata v\u00f5imalikke \u00e4ra kasutamise viise ja arendada vastavaid tuvastamise ja reageerimise<\/i>mehhanisme. Joonisel 2 on n\u00e4idatud haavatavuste kategooriad k\u00f5ikides distributsioonides viimase nelja aasta jooksul (allikas<\/a><\/noindex>). Selgelt on n\u00e4ha, et enamik CVE-d kategooriatesse kuulub j\u00e4rgmistele: teenuse katkestamine (DoS), koodi t\u00e4itmine, \u00fclevool, m\u00e4lukahjustus, teabe leke (ekstraktsioon) ja privileegide eskaleerimine. Kuigi palju CVE-sid on loetletud mitmes kategoorias, j\u00e4\u00e4vad \u00fcldiselt samad probleemid aastast aastasse. J\u00e4rgmises artikli osas hindame erinevate kaitsemeetodite kasutamist nende haavatavuste \u00e4rahoidmiseks.<\/p>\n

\"Miljonid
\nJoon. 2<\/i><\/p>\n

\u00dclesanded<\/h3>\n

\nSelles artiklis kavatseme vastata j\u00e4rgmistele k\u00fcsimustele:<\/p>\n