מתכננת לחזק את מנגנון האבטחה W^X של OpenBSD

תיאו דה ראאדט משותף מתכננת לחזק את מנגנון הגנת הזיכרון W^X (Write XOR Execute). המהות של המנגנון היא שלא ניתן לגשת לדפי זיכרון תהליך בו זמנית לכתיבה ולביצוע. לפיכך, ניתן להפעיל קוד רק לאחר שהכתיבה מושבתת, וכתיבה לדף זיכרון אפשרית רק לאחר שהביצוע מושבת. מנגנון W^X עוזר להגן על יישומי מרחב משתמש מפני התקפות גלישה נפוצות במאגר, כולל הצפת מחסנית, ופעיל ב-OpenBSD כברירת מחדל.

מתחילת העבודה על W^X, היה ברור שזו דרך ארוכה, שכן יש מספר לא מבוטל של יישומים המשתמשים ב-JIT. ניתן לחלק יישומי JIT לשלוש קטגוריות:

• החלפת זיכרון בין מצבי W ו-X, קבלת ה"עלות" של שיחת המערכת mpprotect.
• יצירת כינויים בין זוג מיפוי W ו-X של אותו זיכרון.
• האפשרות ה"מלוכלכת" ביותר דורשת מודל זיכרון W|X המאפשר הקלטה וביצוע בו זמנית.

נכון לעכשיו, יש הרבה פחות תוכניות המשתמשות באפשרות השלישית ויותר המשתמשות ב-XNUMX ובשנייה. עם זאת, מכיוון שהיה צורך להריץ תוכניות עם W|X JIT (בעיקר Chromium ו-Iridum), נוספה אפשרות הרכבה של מערכת הקבצים "wxallowed", שאפשרה להשתמש בזיכרון בו-זמנית לכתיבה ולביצוע, למקרה ש-ELF בר ההפעלה. הקובץ מסומן בסמן "wxneeded", והיישומים עצמם היו מוגנים בנוסף באמצעות מנגנונים משכון и לַחשׂוֹף להגביל את רשימת קריאות המערכת בשימוש וחלקים ממערכת הקבצים הזמינים לאפליקציה, בהתאמה.

כדי לסבך עוד יותר את ניצול נקודות התורפה ביישומים כאלה, מוצעת תוספת למנגנון MAP_STACK, שבודק אם קריאת המערכת מבוצעת מדף זיכרון הניתן לכתיבה. אם הדף ניתן לכתיבה, התהליך נאלץ להסתיים. בדרך זו, תוקף לא יוכל לנצל שיחות מערכת וייאלץ לנסות למצוא את הגאדג'טים הדרושים ביישום JIT או אפילו לעשות את העבודה הקשה יותר של זיהוי קטעי שיחות מערכת ישירות בפנים קישור libc בטעות.

תהליכי כרום/אירידיום כבר מוגנים בצורה אמינה למדי באמצעות הבטחה וחשיפה, אך להסרת היכולת להשתמש, למשל, בקריאה למערכת write(2) יש כמובן יתרון מסוים, מכיוון שהיא יוצרת קשיים נוספים עבור התוקף. עם זאת, קשיים יכולים להתעורר גם אם יישום JIT משתמש בקריאות מערכת מקוריות מזיכרון W|X. עם זאת, יש סיבה לקוות שזה לא יהיה כך, שכן ה-ABI הוחלף מספר פעמים, אך איש מעולם לא דיווח על בעיות.

השינויים כבר זמינים בתצלומים רגילים של סניף OpenBSD-Current, כל המעוניינים מוזמנים לבדוק.

חדשות קשורות לגבי הופעת המצב בכרום/אירידיום ראויות להערה נפרדת מתיאו ללא JIT. מנקודת המבט שלו, זה מקובל על דגמי שימוש מסוימים, אבל כנראה לא על כולם, שכן מצב זה יגביר כמובן את העומס על המעבד. נכון לעכשיו, Chrome יעבוד בעיקר אם תשבית את "wxallowed" עבור /usr/local, אם כי עשויות להיות בעיות עם כמה תוספים (ghosty היא דוגמה). כך או אחרת, תיאו מקווה שעבודה מלאה במצב JITless תובא למצב מבצעי מלא בעתיד הקרוב.

מקור: OpenNet.ru