Планира да го зајакне безбедносниот механизам W^X на OpenBSD

Тео Де Радт споделени планира да го зајакне механизмот за заштита на меморијата W^X (Write XOR Execute). Суштината на механизмот е дека не може истовремено да се пристапи до страниците на процесната меморија за пишување и извршување. Така, кодот може да се изврши само откако пишувањето е оневозможено, а пишувањето на мемориска страница е можно само откако извршувањето е оневозможено. Механизмот W^X помага да се заштитат апликациите на корисничкиот простор од вообичаени напади на прелевање на баферот, вклучително и прелевање на стек, и е активен во OpenBSD стандардно.

Од почетокот на работата на W^X, беше јасно дека ова е долг пат, бидејќи имаше значителен број апликации што користат JIT. Имплементацијата на JIT може да се подели во три категории:

• Префрлање на меморијата помеѓу W и X состојби, прифаќање на „цената“ на системскиот повик mpprotec.
• Создавање псевдоними помеѓу пар W и X мапирања на иста меморија.
• „Највалканата“ опција бара модел на меморија W|X што овозможува истовремено снимање и извршување.

Во моментов, има значително помалку програми кои ја користат третата опција и повеќе ја користат првата и втората. Меѓутоа, бидејќи беше неопходно да се извршуваат програми со W|X JIT (главно Chromium и Iridum), додадена е опцијата за монтирање на датотечниот систем „wxallowed“, што овозможи меморијата да се користи истовремено и за пишување и за извршување, во случај ако извршната ELF датотеката е означена со маркерот „wxneeded“, а самите апликации беа дополнително заштитени со помош на механизми залог и открива за да се ограничи списокот на употребени системски повици и делови од датотечен систем достапни за апликацијата, соодветно.

За дополнително да се комплицира искористувањето на ранливостите во таквите апликации, се предлага додаток на механизмот MAP_STACK, кој проверува дали системскиот повик се извршува од страница со меморија што може да се запише. Ако страницата може да се запише, процесот е принуден да се прекине. На овој начин, напаѓачот нема да може да ги искористува системските повици и ќе биде принуден да се обиде да ги пронајде потребните гаџети во имплементацијата на JIT или дури и да ја изврши потешката работа за откривање никулци за системски повици директно внатре. случајно поврзан libc.

Процесите на Chrome/Iridium се веќе сосема сигурно заштитени со користење на залог и откривање, но отстранувањето на можноста за користење, на пример, системскиот повик за пишување(2) очигледно има одредена предност, бидејќи создава дополнителни тешкотии за напаѓачот. Сепак, може да се појават потешкотии ако имплементацијата на JIT користи домашни системски повици од W|X меморија. Сепак, има причина да се надеваме дека тоа нема да биде случај, бидејќи ABI беше менуван неколку пати, но никој никогаш не пријавил проблеми.

Промените се веќе достапни во редовните снимки од гранката OpenBSD-Current, сите заинтересирани се поканети да тестираат.

Поврзани вести за изгледот на режимот во Chrome/Iridium заслужуваат посебен коментар од Тео JITless. Од негова гледна точка, ова е прифатливо за некои модели на употреба, но веројатно не за сите, бидејќи овој режим очигледно ќе го зголеми оптоварувањето на процесорот. Во моментов, Chrome најмногу ќе работи ако го оневозможите „wxallowed“ за /usr/local, иако може да има проблеми со некои екстензии (пример е ghostery). На еден или друг начин, Тео се надева дека полноправната работа во режим без JIT ќе биде доведена во целосно оперативна состојба во блиска иднина.

Извор: opennet.ru