Plan pou Ranfòse Mekanis Sekirite W^X OpenBSD la

Theo De Raadt pataje plan pou ranfòse mekanis pwoteksyon memwa W ^ X (Write XOR Execute). Sans nan mekanis la se ke paj memwa pwosesis pa ka jwenn aksè ansanm pou ekri ak ekzekisyon. Kidonk, kòd ka egzekite sèlman apre ekriti enfim, epi ekri nan yon paj memwa se posib sèlman apre ekzekisyon enfim. Mekanis W^X la ede pwoteje aplikasyon espas itilizatè yo kont atak komen debòde tanpon, ki gen ladan debòde pil, epi li aktif nan OpenBSD. pa defo.

Depi nan kòmansman travay sou W^X, li te klè ke sa a te yon wout long, paske te gen yon kantite siyifikatif aplikasyon pou itilize JIT. Enplemantasyon JIT yo ka divize an twa kategori:

• Chanje memwa ant eta W ak X, aksepte "pri" apèl sistèm lan mprotect.
• Kreye alyas ant yon pè kat W ak X nan menm memwa a.
• Opsyon ki pi "sal" la se moun ki mande yon modèl memwa W|X ki pèmèt anrejistreman ak ekzekisyon similtane.

Kounye a, gen siyifikativman mwens pwogram ki itilize twazyèm opsyon a ak plis ankò lè l sèvi avèk premye ak dezyèm lan. Sepandan, piske li te nesesè pou kouri pwogram ak W|X JIT (sitou Chromium ak Iridum), yo te ajoute yon opsyon monte sistèm fichye "wxallowed", ki te pèmèt memwa yo dwe itilize ansanm pou tou de ekri ak ekzekisyon, nan ka si ègzèkutabl ELF la. dosye a make ak makè "wxneeded" la, epi aplikasyon yo tèt yo te anplis pwoteje lè l sèvi avèk mekanis. angajman и revele limite lis sistèm apèl yo itilize ak pati nan sistèm dosye ki disponib pou aplikasyon an, respektivman.

Pou plis konplike eksplwatasyon frajilite yo nan aplikasyon sa yo, yo pwopoze yon adisyon nan mekanis lan MAP_STACK, ki tcheke si apèl sistèm lan ap egzekite nan yon paj memwa ekri. Si paj la ka ekri, pwosesis la oblije sispann. Nan fason sa a, yon atakè pa pral kapab eksplwate apèl sistèm epi yo pral fòse yo eseye jwenn gadjèt ki nesesè yo nan aplikasyon an JIT oswa menm fè travay la pi difisil nan detekte souch apèl sistèm dirèkteman andedan. aksidantèlman lye libc.

Pwosesis Chrome/Iridium yo deja byen pwoteje lè l sèvi avèk pwomès ak revele, men retire kapasite nan sèvi ak, pou egzanp, apèl nan sistèm ekri (2) evidamman gen kèk avantaj, paske li kreye difikilte adisyonèl pou atakè a. Sepandan, difikilte ka rive tou si aplikasyon JIT la itilize apèl sistèm natif natal ki soti nan memwa W|X. Sepandan, gen rezon pou espere ke sa a pa pral ka a, depi ABI a te chanje plizyè fwa, men pèsonn pa janm rapòte pwoblèm.

Chanjman yo deja disponib nan snapshots regilye nan branch OpenBSD-Kounye a, tout moun ki enterese yo envite nan tès la.

Nouvèl ki gen rapò sou aparans nan mòd nan Chrome / Iridium merite yon kòmantè separe nan men Theo JITless. Soti nan pwen de vi li, sa a se akseptab pou kèk modèl itilizasyon, men pwobableman pa pou tout moun, depi mòd sa a pral evidamman ogmante chaj la sou processeur a. Kounye a, Chrome ap travay sitou si ou enfim "wxallowed" pou /usr/local, byenke ka gen pwoblèm ak kèk ekstansyon (ghostery se yon egzanp). Yon fason oswa yon lòt, Theo espere ke travay konplè nan mòd JITless yo pral pote nan yon eta konplètman operasyonèl nan fiti prè.

Sous: opennet.ru