LKRG 0.8 მოდულის გამოშვება Linux-ის ბირთვში დაუცველობისგან დასაცავად

Openwall პროექტი გამოქვეყნებული ბირთვის მოდულის გამოშვება LKRG 0.8 (Linux Kernel Runtime Guard), შექმნილია ბირთვის სტრუქტურების თავდასხმებისა და დარღვევის აღმოსაჩენად და დაბლოკვისთვის. მაგალითად, მოდულს შეუძლია დაიცვას გაშვებული ბირთვის არაავტორიზებული ცვლილებებისგან და მომხმარებლის პროცესების ნებართვების შეცვლის მცდელობისგან (ექსპლოიტების გამოყენების გამოვლენა). მოდული შესაფერისია როგორც Linux-ის ბირთვისთვის უკვე ცნობილი ექსპლოიტების წინააღმდეგ დაცვის ორგანიზებისთვის (მაგალითად, იმ სიტუაციებში, როდესაც ძნელია სისტემაში ბირთვის განახლება), ასევე ჯერ უცნობი დაუცველობისთვის ექსპლოიტების დასაპირისპირებლად. პროექტის კოდი ვრცელდება ლიცენზირებული GPLv2-ით.

ახალ ვერსიაში ცვლილებებს შორის:

• შეიცვალა LKRG პროექტის პოზიციონირება, რომელიც აღარ იყოფა ცალკეულ ქვესისტემებად მთლიანობის შესამოწმებლად და ექსპლოიტების გამოყენების დასადგენად, არამედ წარმოდგენილია როგორც სრული პროდუქტი თავდასხმების და სხვადასხვა მთლიანობის დარღვევის იდენტიფიცირებისთვის;
• თავსებადობა უზრუნველყოფილია Linux-ის ბირთვებთან 5.3-დან 5.7-მდე, ასევე ბირთვებთან, რომლებიც შედგენილია აგრესიული GCC ოპტიმიზაციით, CONFIG_USB და CONFIG_STACKTRACE ოფციების გარეშე ან CONFIG_UNWINDER_ORC ოფციონით, ასევე ბირთვებთან, რომლებსაც არ აქვთ LKRG ფუნქციები, თუ მათ შეუძლიათ hook. გაუქმდეს;
• მშენებლობისას, CONFIG_* ბირთვის ზოგიერთი სავალდებულო პარამეტრი მოწმდება, რათა წარმოქმნას მნიშვნელოვანი შეცდომის შეტყობინებები ბუნდოვანი ავარიების ნაცვლად;
• დამატებულია ლოდინის (ACPI S3, შეჩერება RAM-ზე) და ძილის (S4, შეჩერება დისკზე) რეჟიმების მხარდაჭერა;
• დაემატა DKMS მხარდაჭერა Makefile-ს;
• დანერგილია 32-ბიტიანი ARM პლატფორმების ექსპერიმენტული მხარდაჭერა (შემოწმებულია Raspberry Pi 3 Model B-ზე). ადრე ხელმისაწვდომი AArch64 (ARM64) მხარდაჭერა გაფართოვდა Raspberry Pi 4 დაფასთან თავსებადობის უზრუნველსაყოფად;
• დამატებულია ახალი ჰუკები, მათ შორის, ზარის შემმუშავებლის უნარიანი() მანიპულირების მქონე ექსპლოიტების უკეთ იდენტიფიცირებისთვის.შესაძლებლობები", არ დაამუშავოთ ID-ები (რწმუნებათა სიგელების გადაცემის);
• შემოთავაზებულია ახალი ლოგიკა სახელთა სივრცის შეზღუდვებისგან თავის დაღწევის მცდელობების აღმოსაჩენად (მაგალითად, Docker კონტეინერებიდან);
• x86-64 სისტემებზე მოწმდება და გამოიყენება SMAP (Supervisor Mode Access Prevention) ბიტი, რომელიც შექმნილია მომხმარებლის სივრცის მონაცემებზე წვდომის დასაბლოკად ბირთვის დონეზე გაშვებული პრივილეგირებული კოდიდან. ადრე განხორციელდა SMEP (Supervisor Mode Execution Prevention) დაცვა;
• ექსპლუატაციის დროს, LKRG პარამეტრები მოთავსებულია მეხსიერების გვერდზე, რომელიც, როგორც წესი, მხოლოდ წაკითხვადია;
• ინფორმაციის აღრიცხვა, რომელიც შეიძლება იყოს ყველაზე სასარგებლო შეტევებისთვის (მაგალითად, ინფორმაცია ბირთვში მისამართების შესახებ) შემოიფარგლება გამართვის რეჟიმით (log_level=4 და უფრო მაღალი), რომელიც ნაგულისხმევად გამორთულია.
• გაიზარდა პროცესების თვალთვალის მონაცემთა ბაზის მასშტაბურობა - ერთი RB ხის ნაცვლად, რომელიც დაცულია ერთი spinlock-ით, გამოიყენება 512 RB ხეების ჰეშის ცხრილი, რომელიც დაცულია 512 წაკითხვა-ჩაწერის საკეტით;
• ნაგულისხმევად დანერგილია და ჩართულია რეჟიმი, რომელშიც პროცესის იდენტიფიკატორების მთლიანობა ხშირად მოწმდება მხოლოდ მიმდინარე ამოცანებისთვის და ასევე სურვილისამებრ გააქტიურებული (გაღვიძების) ამოცანებისთვის. სხვა ამოცანებისთვის, რომლებიც ძილის მდგომარეობაშია ან მუშაობენ ბირთვის API-ზე წვდომის გარეშე, რომელსაც აკონტროლებს LKRG, შემოწმება ხდება ნაკლებად ხშირად.
• დამატებულია ახალი sysctl და მოდულის პარამეტრები LKRG-ის დახვეწისთვის, ასევე ორი sysctl გამარტივებული კონფიგურაციისთვის დეველოპერების მიერ მომზადებული დახვეწილი პარამეტრების (პროფილების) ნაკრების არჩევით;
• ნაგულისხმევი პარამეტრები შეიცვალა, რათა მიაღწიოს უფრო დაბალანსებულ ბალანსს დარღვევების გამოვლენის სიჩქარესა და რეაგირების ეფექტურობას შორის, ერთი მხრივ, და მეორე მხრივ, შესრულებაზე ზემოქმედებას და ცრუ პოზიტივის რისკს შორის;
• Systemd ერთეულის ფაილი შეიცვალა ისე, რომ ჩატვირთოს LKRG მოდული ადრეულ ჩატვირთვისას (ბირთის ბრძანების ხაზის ვარიანტი შეიძლება გამოყენებულ იქნას მოდულის გამორთვისთვის);

ახალ გამოშვებაში შემოთავაზებული ოპტიმიზაციის გათვალისწინებით, შესრულების შემცირება LKRG 0.8-ის გამოყენებისას შეფასებულია 2.5%-ით ნაგულისხმევ რეჟიმში ("მძიმე") და 2%-ით მსუბუქი რეჟიმში ("მსუბუქი").

ცოტა ხნის წინ გამართულ კვლევა პაკეტების ეფექტურობა rootkits LKRG-ის გამოსავლენად აჩვენა საუკეთესო შედეგი, გამოვლენილია 8-დან 9 ტესტირებული როუტკიტი, რომელიც მუშაობს ბირთვის დონეზე ცრუ პოზიტივის გარეშე (rootkits Diamorphine, Honey Pot Bears, LilyOfTheValley, Nuk3 Gh0st, Puszek, Reptile, Rootfoo Linux Rootkit და Sutekh იყო იდენტიფიცირებული, მაგრამ Keysniffer, რომელიც არის. მოდული, გამოტოვებულია keylogger-ით და არა rootkit-ით პირდაპირი მნიშვნელობით). შედარებისთვის, AIDE, OSSEC და Rootkit Hunter პაკეტებმა აღმოაჩინა 2 როუტკიტიდან 9, ხოლო Chkrootkit-მა ვერ აღმოაჩინა არცერთი. ამავდროულად, LKRG არ უჭერს მხარს მომხმარებლის სივრცეში მდებარე rootkits-ის გამოვლენას, ამიტომ ყველაზე დიდი ეფექტურობა მიიღწევა AIDE-სა და LKRG-ის კომბინაციის გამოყენებისას, რამაც შესაძლებელი გახადა ყველა ტიპის 14-დან 15-ის იდენტიფიცირება.

გარდა ამისა, შეიძლება აღინიშნოს, რომ დისტრიბუციის დეველოპერი ვონიქსი დაიწყო ფორმირება მზა პაკეტები DKMS-ით Debian, Whonix, Qubes და Kicksecure-სთვის და პაკეტი Arch Linux უკვე განახლებულია 0.8 ვერსიამდე. LKRG-ის პაკეტები ასევე ხელმისაწვდომია რუსულ ენაზე ALT Linux и ასტრა Linux.

მთლიანობის შემოწმება LKRG-ში ხორციელდება ბირთვისა და მოდულების ფაქტობრივი კოდისა და მონაცემების, ზოგიერთი მნიშვნელოვანი მონაცემთა სტრუქტურისა და CPU-ის პარამეტრების შენახულ ჰეშებთან ან შესაბამისი მეხსიერების არეების, მონაცემთა სტრუქტურების ან რეგისტრების ასლების შედარებით. ჩეკები გააქტიურებულია როგორც პერიოდულად ტაიმერით, ასევე სხვადასხვა მოვლენის დადგომისას.

ექსპლოიტების შესაძლო გამოყენების და შეტევების დაბლოკვის დადგენა ხორციელდება იმ ეტაპზე, სანამ ბირთვი უზრუნველყოფს რესურსებზე წვდომას (მაგალითად, ფაილის გახსნამდე), მაგრამ მას შემდეგ, რაც პროცესმა მიიღო არასანქცირებული ნებართვები (მაგალითად, UID-ის შეცვლა). როდესაც გამოვლენილია არაავტორიზებული ქცევა, პროცესები იძულებულნი არიან შეწყვიტონ ნაგულისხმევად, რაც საკმარისია მრავალი ექსპლოიტის დასაბლოკად.

წყარო: opennet.ru