ការចេញផ្សាយម៉ូឌុល LKRG 0.8 ដើម្បីការពារប្រឆាំងនឹងការកេងប្រវ័ញ្ចភាពងាយរងគ្រោះនៅក្នុងខឺណែលលីនុច

គម្រោង Openwall បោះពុម្ភ ការចេញផ្សាយម៉ូឌុលខឺណែល LKRG 0.8 (Linux Kernel Runtime Guard) ដែលត្រូវបានរចនាឡើងដើម្បីស្វែងរក និងទប់ស្កាត់ការវាយប្រហារ និងការរំលោភលើភាពសុចរិតនៃរចនាសម្ព័ន្ធខឺណែល។ ឧទាហរណ៍ ម៉ូឌុលអាចការពារប្រឆាំងនឹងការផ្លាស់ប្តូរដែលគ្មានការអនុញ្ញាតចំពោះខឺណែលដែលកំពុងដំណើរការ ហើយព្យាយាមផ្លាស់ប្តូរការអនុញ្ញាតនៃដំណើរការរបស់អ្នកប្រើប្រាស់ (រកឃើញការប្រើប្រាស់ការកេងប្រវ័ញ្ច)។ ម៉ូឌុលនេះគឺសមរម្យសម្រាប់ទាំងការរៀបចំការការពារប្រឆាំងនឹងការកេងប្រវ័ញ្ចដែលគេស្គាល់រួចហើយសម្រាប់ខឺណែលលីនុច (ឧទាហរណ៍ ក្នុងស្ថានភាពដែលវាពិបាកក្នុងការធ្វើបច្ចុប្បន្នភាពខឺណែលនៅក្នុងប្រព័ន្ធ) និងសម្រាប់ការប្រឆាំងការកេងប្រវ័ញ្ចសម្រាប់ភាពងាយរងគ្រោះដែលមិនទាន់ស្គាល់។ កូដគម្រោង ចែកចាយ​ដោយ មានអាជ្ញាប័ណ្ណក្រោម GPLv2.

ក្នុងចំណោមការផ្លាស់ប្តូរនៅក្នុងកំណែថ្មី៖

• ទីតាំងនៃគម្រោង LKRG ត្រូវបានផ្លាស់ប្តូរ ដែលមិនត្រូវបានបែងចែកទៅជាប្រព័ន្ធរងដាច់ដោយឡែកសម្រាប់ត្រួតពិនិត្យភាពសុចរិត និងកំណត់ការប្រើប្រាស់ការកេងប្រវ័ញ្ច ប៉ុន្តែត្រូវបានបង្ហាញជាផលិតផលពេញលេញសម្រាប់កំណត់អត្តសញ្ញាណការវាយប្រហារ និងការរំលោភលើសុចរិតភាពផ្សេងៗ។
• ភាពឆបគ្នាត្រូវបានផ្តល់ជូនជាមួយខឺណែលលីនុចពី 5.3 ដល់ 5.7 ក៏ដូចជាខឺណែលដែលចងក្រងជាមួយនឹងការបង្កើនប្រសិទ្ធភាព GCC ដ៏ឈ្លានពាន ដោយគ្មានជម្រើស CONFIG_USB និង CONFIG_STACKTRACE ឬជាមួយជម្រើស CONFIG_UNWINDER_ORC ក៏ដូចជាខឺណែលដែលមិនមានមុខងារ LKRG ប្រសិនបើពួកវាអាចភ្ជាប់ជាមួយ LKRG ត្រូវបានចែកចាយជាមួយ;
• នៅពេលសាងសង់ ការកំណត់ខឺណែល CONFIG_* ចាំបាច់មួយចំនួនត្រូវបានពិនិត្យ ដើម្បីបង្កើតសារកំហុសដែលមានអត្ថន័យ ជំនួសឱ្យការគាំងដែលមិនច្បាស់លាស់។
• បានបន្ថែមការគាំទ្រសម្រាប់របៀបរង់ចាំ (ACPI S3, ផ្អាកទៅ RAM) និងរបៀបគេង (S4, ផ្អាកទៅថាស) ។
• បានបន្ថែមការគាំទ្រ DKMS ទៅ Makefile;
• ការគាំទ្រសាកល្បងសម្រាប់វេទិកា ARM 32 ប៊ីតត្រូវបានអនុវត្ត (សាកល្បងលើ Raspberry Pi 3 Model B) ។ ការគាំទ្រ AArch64 (ARM64) ដែលអាចប្រើបានពីមុនត្រូវបានពង្រីកដើម្បីផ្តល់នូវភាពឆបគ្នាជាមួយនឹងបន្ទះ Raspberry Pi 4 ។
• ទំពក់ថ្មីត្រូវបានបន្ថែម រួមទាំងឧបករណ៍ដោះស្រាយការហៅដែលមានសមត្ថភាព () ដើម្បីកំណត់អត្តសញ្ញាណការកេងប្រវ័ញ្ចឱ្យកាន់តែប្រសើរឡើងដែលរៀបចំ "សមត្ថភាព", មិនដំណើរការលេខសម្គាល់ (ព័ត៌មានបញ្ជាក់អត្តសញ្ញាណ);
• តក្កវិជ្ជាថ្មីត្រូវបានស្នើឡើងសម្រាប់ការស្វែងរកការប៉ុនប៉ងដើម្បីគេចចេញពីការដាក់កម្រិតនៃទំហំឈ្មោះ (ឧទាហរណ៍ ពីធុង Docker);
• នៅលើប្រព័ន្ធ x86-64 ប៊ីត SMAP (Supervisor Mode Access Prevention) ត្រូវបានពិនិត្យ និងអនុវត្ត ដែលត្រូវបានរចនាឡើងដើម្បីទប់ស្កាត់ការចូលប្រើទិន្នន័យទំហំអ្នកប្រើប្រាស់ពីកូដដែលមានសិទ្ធិដំណើរការនៅកម្រិតខឺណែល។ ការការពារ SMEP (Supervisor Mode Execution Prevention) ត្រូវបានអនុវត្តពីមុន។
• កំឡុងពេលប្រតិបត្តិការ ការកំណត់ LKRG ត្រូវបានដាក់ក្នុងទំព័រអង្គចងចាំ ដែលជាធម្មតាត្រូវបានអានតែប៉ុណ្ណោះ។
• ព័ត៌មាននៃការកត់ត្រាដែលអាចមានប្រយោជន៍បំផុតសម្រាប់ការវាយប្រហារ (ឧទាហរណ៍ ព័ត៌មានអំពីអាសយដ្ឋាននៅក្នុងខឺណែល) ត្រូវបានកំណត់ចំពោះរបៀបបំបាត់កំហុស (log_level=4 និងខ្ពស់ជាងនេះ) ដែលត្រូវបានបិទតាមលំនាំដើម។
• វិសាលភាពនៃមូលដ្ឋានទិន្នន័យតាមដានដំណើរការត្រូវបានកើនឡើង - ជំនួសឱ្យមែកធាង RB មួយដែលត្រូវបានការពារដោយ spinlock មួយ តារាង hash នៃ 512 RB tree ដែលការពារដោយ 512 read-write locks ត្រូវបានប្រើ។
• របៀបត្រូវបានអនុវត្ត និងបើកដំណើរការតាមលំនាំដើម ដែលភាពសុចរិតនៃដំណើរការកំណត់អត្តសញ្ញាណជាញឹកញាប់ត្រូវបានពិនិត្យសម្រាប់តែកិច្ចការបច្ចុប្បន្នប៉ុណ្ណោះ ហើយក៏ជាជម្រើសសម្រាប់កិច្ចការដែលបានធ្វើឱ្យសកម្ម (ភ្ញាក់ឡើង) ផងដែរ។ សម្រាប់កិច្ចការផ្សេងទៀតដែលស្ថិតក្នុងស្ថានភាពងងុយគេង ឬដំណើរការដោយមិនបានចូលប្រើប្រាស់ Kernel API ដែលគ្រប់គ្រងដោយ LKRG ការត្រួតពិនិត្យត្រូវបានអនុវត្តតិចជាងញឹកញាប់។
• បានបន្ថែមប៉ារ៉ាម៉ែត្រ sysctl និងម៉ូឌុលថ្មីសម្រាប់ការលៃតម្រូវ LKRG ក៏ដូចជា sysctl ពីរសម្រាប់ការកំណត់រចនាសម្ព័ន្ធសាមញ្ញដោយជ្រើសរើសពីសំណុំនៃការកំណត់ការកែតម្រូវ (ទម្រង់) ដែលរៀបចំដោយអ្នកអភិវឌ្ឍន៍។
• ការកំណត់លំនាំដើមត្រូវបានផ្លាស់ប្តូរ ដើម្បីសម្រេចបានសមតុល្យដែលមានតុល្យភាពជាងមុនរវាងល្បឿននៃការរកឃើញការបំពាន និងប្រសិទ្ធភាពនៃការឆ្លើយតប ម៉្យាងវិញទៀតផលប៉ះពាល់លើការអនុវត្ត និងហានិភ័យនៃភាពវិជ្ជមានមិនពិត។
• ឯកសារឯកតាប្រព័ន្ធត្រូវបានរៀបចំឡើងវិញដើម្បីផ្ទុកម៉ូឌុល LKRG នៅដើមពេលចាប់ផ្ដើម (ជម្រើសបន្ទាត់ពាក្យបញ្ជាខឺណែលអាចត្រូវបានប្រើដើម្បីបិទម៉ូឌុល);

ដោយគិតពីការបង្កើនប្រសិទ្ធភាពដែលបានស្នើឡើងនៅក្នុងការចេញផ្សាយថ្មី ការកាត់បន្ថយការអនុវត្តនៅពេលប្រើ LKRG 0.8 ត្រូវបានប៉ាន់ប្រមាណថា 2.5% នៅក្នុងរបៀបលំនាំដើម ("ធ្ងន់") និង 2% នៅក្នុងរបៀបពន្លឺ ("ពន្លឺ")។

នៅ​ក្នុង​ការ​ប្រារព្ធ​ធ្វើ​ឡើង​កាល​ពី​ពេល​ថ្មីៗ​នេះ។ ការស្រាវជ្រាវ ប្រសិទ្ធភាពនៃកញ្ចប់សម្រាប់ការរកឃើញ rootkits LKRG បានបង្ហាញ លទ្ធផលល្អបំផុត កំណត់អត្តសញ្ញាណ 8 ក្នុងចំណោម 9 សាកល្បង rootkits ធ្វើការនៅកម្រិតខឺណែលដោយគ្មានវិជ្ជមានក្លែងក្លាយ (rootkits Diamorphine, Honey Pot Bears, LilyOfTheValley, Nuk3 Gh0st, Puszek, Reptile, Rootfoo Linux Rootkit និង Sutekh ត្រូវបានកំណត់អត្តសញ្ញាណ ប៉ុន្តែ Keysniffer ដែលជា ម៉ូឌុលត្រូវបានខកខានជាមួយនឹង keylogger មិនមែនជា rootkit ក្នុងន័យត្រង់) ។ សម្រាប់ការប្រៀបធៀប កញ្ចប់ AIDE, OSSEC និង Rootkit Hunter បានរកឃើញ 2 ក្នុងចំណោម 9 rootkits ខណៈដែល Chkrootkit មិនបានរកឃើញណាមួយឡើយ។ ក្នុងពេលជាមួយគ្នានេះ LKRG មិនគាំទ្រការរកឃើញនៃ rootkits ដែលមានទីតាំងនៅចន្លោះអ្នកប្រើប្រាស់ទេ ដូច្នេះប្រសិទ្ធភាពដ៏អស្ចារ្យបំផុតត្រូវបានសម្រេចនៅពេលប្រើការរួមបញ្ចូលគ្នានៃ AIDE និង LKRG ដែលធ្វើឱ្យវាអាចកំណត់អត្តសញ្ញាណ 14 ក្នុងចំណោម 15 rootkits គ្រប់ប្រភេទ។

លើសពីនេះទៀតវាអាចត្រូវបានកត់សម្គាល់ថាអ្នកអភិវឌ្ឍន៍ចែកចាយ Whonix បានចាប់ផ្តើម រាង កញ្ចប់ដែលផលិតរួចរាល់ជាមួយ DKMS សម្រាប់ Debian, Whonix, Qubes និង Kicksecure និងកញ្ចប់សម្រាប់ Arch លីនុច បានធ្វើបច្ចុប្បន្នភាពទៅកំណែ 0.8 រួចហើយ។ កញ្ចប់ជាមួយ LKRG ក៏មានជាភាសារុស្សីផងដែរ។ លីនុច ALT и អាដ្រាលីនុច.

ការត្រួតពិនិត្យភាពសុចរិតនៅក្នុង LKRG ត្រូវបានអនុវត្តដោយការប្រៀបធៀបកូដ និងទិន្នន័យពិតប្រាកដនៃខឺណែល និងម៉ូឌុល រចនាសម្ព័ន្ធទិន្នន័យសំខាន់ៗមួយចំនួន និងការកំណត់ស៊ីភីយូជាមួយនឹងសញ្ញាដែលបានរក្សាទុក ឬច្បាប់ចម្លងនៃតំបន់អង្គចងចាំ រចនាសម្ព័ន្ធទិន្នន័យ ឬការចុះឈ្មោះដែលត្រូវគ្នា។ ការត្រួតពិនិត្យត្រូវបានធ្វើឱ្យសកម្មទាំងតាមកាលកំណត់ដោយកម្មវិធីកំណត់ម៉ោង និងនៅពេលកើតឡើងនៃព្រឹត្តិការណ៍ផ្សេងៗ។

ការកំណត់លទ្ធភាពនៃការប្រើប្រាស់ការកេងប្រវ័ញ្ច និងការទប់ស្កាត់ការវាយប្រហារត្រូវបានអនុវត្តនៅដំណាក់កាលមុនពេលខឺណែលផ្តល់នូវការចូលប្រើធនធាន (ឧទាហរណ៍ មុនពេលបើកឯកសារ) ប៉ុន្តែបន្ទាប់ពីដំណើរការបានទទួលការអនុញ្ញាតដោយគ្មានការអនុញ្ញាត (ឧទាហរណ៍ ការផ្លាស់ប្តូរ UID)។ នៅពេលរកឃើញឥរិយាបទដែលគ្មានការអនុញ្ញាត ដំណើរការត្រូវបានបង្ខំឱ្យបញ្ចប់តាមលំនាំដើម ដែលវាគ្រប់គ្រាន់ក្នុងការទប់ស្កាត់ការកេងប្រវ័ញ្ចជាច្រើន។

ប្រភព: opennet.ru