Линус Торвальдс ядро үчүн коопсуздукка байланыштуу каталарды иштетүү процессин баяндаган, коркунуч моделин аныктаган, кайсы ядро каталары алсыздык катары каралаарын тактаган жана жасалма интеллекттин жардамы менен аныкталган каталарды кантип чечүү керектигин талкуулаган документти бекитти. Документ HAProxy китебинин автору жана көп жылдык ядро иштеп чыгуучусу Вилли Тарро тарабынан даярдалган. Linux, бир нече туруктуу ядро бутактарын сактоого жооптуу. Бул алкак жакында аныкталган ядронун маанилүү алсыздыктарын (1, 2, 3, 4) талкуулоо учурунда жетишилген келишимдерге негизделген, алар үчүн патчтар жарыяланганга чейин ачыкка чыгарылган жана жасалма интеллекттин аркасында жумушчу эксплуатациялар дароо түзүлгөн.
Коопсуздукка байланыштуу каталардын көпчүлүгү мүмкүн болушунча кеңири аудиторияга жетүү жана оптималдуу чечимди табуу үчүн ачык түрдө чечилиши керек. Өзүнчө жеке почта тизмеси оңой пайдаланылуучу, көптөгөн колдонуучулар үчүн коркунуч туудурган жана кеңейтилген артыкчылыктарга же мүмкүнчүлүктөргө ээ болууга мүмкүндүк берген алсыздыктар жөнүндө шашылыш билдирүүлөрдү гана жөнөтүү үчүн колдонулушу керек.
Жасалма интеллект жардамчыларын колдонуу менен аныкталган алсыздыктарды ар дайым ачык талкуулоого чакырабыз, анткени мындай маселелер көп учурда бир нече изилдөөчүлөр тарабынан бир убакта аныкталат. Бирок, эксплуатациянын өзү отчетто ачыкка чыгарылбашы керек; жөн гана анын бар экендигин айтып, аны тейлөөчүнүн өтүнүчү боюнча жеке бөлүшүү жетиштүү.
Жасалма интеллект жардамчылары тарабынан түзүлгөн отчетторду тапшыруу эрежелери өзүнчө баяндалган. Мындай отчеттор көп санда берилет жана кээде коддун начар каралып чыккан бөлүмдөрүндөгү каталарды аныктоого жардам берет, бирок тейлөөчүлөр көп учурда алардын сапатынын төмөндүгүнөн жана так эместигинен улам аларды этибарга алышпайт. Жасалма интеллект тарабынан түзүлгөн отчетторго коюлуучу негизги талаптар:
- Кыска, жөнөкөй жана башында айтылган маанилүү деталдары менен.
- Markdown тегдери же кооздоолору жок жөн гана жөнөкөй текст.
- Коркунуч моделин түшүнүү жана алсыздыктын кесепеттери жөнүндө теориялык божомолдорду жана божомолдорду эмес, текшерилүүчү фактыларды берүү (мисалы, "ката каалаган колдонуучуга CAP_NET_ADMIN алууга мүмкүндүк берет").
- Отчет тапшырардан мурун, жасалма интеллект тарабынан түзүлгөн эксплойттун функционалдуулугун кылдат текшерип, көйгөйдү кайталоого болорун текшериңиз.
- Аныкталган көйгөйдү чечүүнүн жолун иштеп чыгууга жана сыноого жасалма интеллектти тартуу.
Техникалык тейлөөчүнүн статистикасына ылайык, алсыздыкты оңдоо деген шылтоо менен берилген каталар жөнүндө отчеттордун көпчүлүгү чындыгында алсыздыктар эмес жана кадимки каталар катары каралышы керек. Алсыздыктар менен кадимки каталарды айырмалоо үчүн ядро коркунучунун модели иштелип чыккан. LinuxМүмкүнчүлүктөрдүн жана кепилдиктердин ичинен, алардын бузулушу алсыздык катары каралышы мүмкүн:
- Колдонуучу деңгээлиндеги обочолонуу: файлга кирүү ээси менен чектелген, процесстин эс тутуму башка колдонуучулар үчүн жеткиликтүү эмес, ptrace башка процесстер үчүн өчүрүлгөн, IPC жана тармактык байланыш обочолонгон.
- Мүмкүнчүлүктөргө негизделген коргоо: CAP_SYS_ADMINсиз ядронун конфигурациясын, эс тутумун же системанын абалын өзгөртө албайсыз; CAP_NET_ADMINсиз тармак жөндөөлөрүн өзгөртө албайсыз же трафикти кармап кала албайсыз; CAP_SYS_PTRACEсиз башка колдонуучулардын процесстерин көзөмөлдөй албайсыз.
- Колдонуучунун ID аталыш мейкиндиги (CONFIG_USER_NS) артыкчылыкка ээ эмес колдонуучуларга глобалдык аталыш мейкиндигине таасир эте албаган өздөрүнүн обочолонгон чөйрөлөрүн түзүүгө мүмкүндүк берет, мисалы, убакытты өзгөртүү, модулдарды жүктөө же блок түзмөктөрүн орнотуу.
- Купуя маалыматка кирүүгө мүмкүн болгон мүчүлүштүктөрдү оңдоо интерфейстерине (/proc/kmsg, perf, debugfs) администратор тарабынан ачык мүмкүнчүлүк берилгенден кийин гана кирүүгө болот.
Кемчиликтер деп эсептелбеген өзгөчөлүктөр:
- Эскирген ядро бутактарын колдонуу.
- Иштеп чыгуучунун параметрлери же коопсуздукту төмөндөтүүчү параметрлер иштетилген абалда куруңуз (мисалы, CONFIG_NOMMU).
- Кооптуу sysctl жөндөөлөрүн, буйрук сабынын параметрлерин, файл системасына кирүү укуктарын, мүмкүнчүлүктөрүн орнотуу же артыкчылыксыз колдонуучуларга артыкчылыктуу интерфейстерге кирүүгө уруксат берүү (мисалы, procfs жана debugfs файлдарына жазуу мүмкүнчүлүгү).
- LOCKDEP, KASAN жана FAULT_INJECTION сыяктуу ядрону иштеп чыгуу жана мүчүлүштүктөрдү оңдоо үчүн гана арналган функциялардагы көйгөйлөр, аларды өндүрүштүк конфигурацияларда иштетүүгө болбойт.
- Драйверлердеги, модулдардагы жана кичи системалардагы STAING бөлүмүндө болгон же эксперименталдык, кооптуу же бузулган деп белгиленген көйгөйлөр.
- Үчүнчү тараптын ядро модулдарын же расмий эмес ядро айрыларын колдонуу.
- Ашыкча артыкчылыктарды талап кылуу, мисалы, аракеттерди root катары же CAP_SYS_ADMIN, CAP_NET_ADMIN, CAP_SYS_RAWIO жана CAP_SYS_MODULE укуктары бар колдонуучу тарабынан аткарылышын талап кылуу.
- Лабораториялык шарттарды, миллиарддаган аракеттерди, жабдыктарды эмуляциялоону же модификациялоону, диспропорциялуу чыгымдарды жана реалдуу эмес конфигурацияларды (мисалы, он миңдеген CPU өзөктөрү бар системаларды) талап кылган теориялык чабуулдар.
- Коопсуздук механизмдерин (мисалы, ASLR) эксплойтту көрсөтпөстөн айланып өтүү. Аргументтерди текшерүүнүн жана каталарды кайтаруу коддорунун жоктугу, алардын эч кандай кесепеттери жок.
- Кокусунан маалыматтын чабуулчунун көзөмөлүнөн тышкары агып кетиши, мисалы, ката билдирүүлөрүндөгү калдык маалыматтар жана түздөн-түз пайдалануу мүмкүнчүлүгү жок ядро эс тутумунун дарегинин/көрсөткүчүнүн агып кетиши.
- Эгерде драйвер ишенимсиз медиа менен колдонууга жарактуу деп жарыяланбаса, бузулган диск сүрөттөрүн орнотуудагы каталар. Диск сүрөттөрү менен болгон көйгөйлөрдү fsck утилитасын иштетүү менен аныктоого жана оңдоого болот.
- Эгерде система мындай чабуулдардан коргоо үчүн атайын конфигурацияланбаса (IOMMU), жабдууларга физикалык мүмкүнчүлүк алууну, жабдууларды өзгөртүүнү же DMA чабуул такталары жана логикалык анализаторлор сыяктуу жабдууларды туташтырууну талап кылган чабуулдар.
- Функционалдык жана өндүрүмдүүлүктүн регрессиялары уруксаттарды жана чектөөлөрдү тууралоо менен чечилет.
Source: opennet.ru
