UEFI സുരക്ഷിത ബൂട്ട് വിദൂരമായി മറികടക്കാൻ ഉബുണ്ടുവിലെ ലോക്ക്ഡൗൺ പരിരക്ഷ പ്രവർത്തനരഹിതമാക്കുന്നതിനുള്ള രീതികൾ

ഗൂഗിളിൽ നിന്നുള്ള ആൻഡ്രി കൊനോവലോവ് പ്രസിദ്ധീകരിച്ചു സംരക്ഷണം വിദൂരമായി പ്രവർത്തനരഹിതമാക്കാനുള്ള വഴി ലോക്ക്ഡ .ൺഉബുണ്ടുവിനൊപ്പം ഷിപ്പ് ചെയ്ത ലിനക്സ് കേർണൽ പാക്കേജിൽ വാഗ്ദാനം ചെയ്യുന്നു (സൈദ്ധാന്തികമായി നിർദ്ദേശിച്ച സാങ്കേതിക വിദ്യകൾ ചെയ്യണം ഫെഡോറയുടെയും മറ്റ് വിതരണങ്ങളുടെയും കേർണലുമായി പ്രവർത്തിക്കുക, പക്ഷേ അവ പരീക്ഷിച്ചിട്ടില്ല).

ലോക്ക്ഡൗൺ കേർണലിലേക്കുള്ള റൂട്ട് ഉപയോക്തൃ ആക്‌സസ് നിയന്ത്രിക്കുകയും UEFI സുരക്ഷിത ബൂട്ട് ബൈപാസ് പാഥുകൾ തടയുകയും ചെയ്യുന്നു. ഉദാഹരണത്തിന്, ലോക്ക്ഡൗൺ മോഡിൽ, /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobes ഡീബഗ് മോഡ്, mmiotrace, tracefs, BPF, PCMCIA CIS (കാർഡ് ഇൻഫർമേഷൻ സ്ട്രക്ചർ) എന്നിവയിലേക്കുള്ള ആക്സസ്, ചിലത് ഇന്റർഫേസുകൾ CPU-യുടെ ACPI, MSR രജിസ്റ്ററുകൾ പരിമിതമാണ്, kexec_file, kexec_load എന്നിവയിലേക്കുള്ള കോളുകൾ തടഞ്ഞിരിക്കുന്നു, സ്ലീപ്പ് മോഡ് നിരോധിച്ചിരിക്കുന്നു, PCI ഉപകരണങ്ങൾക്കുള്ള DMA ഉപയോഗം പരിമിതമാണ്, EFI വേരിയബിളുകളിൽ നിന്ന് ACPI കോഡ് ഇറക്കുമതി ചെയ്യുന്നത് നിരോധിച്ചിരിക്കുന്നു, I/O പോർട്ടുകൾ ഉപയോഗിച്ചുള്ള കൃത്രിമങ്ങൾ നിരോധിച്ചിരിക്കുന്നു. സീരിയൽ പോർട്ടിനായി ഇന്ററപ്റ്റ് നമ്പറും I/O പോർട്ടും മാറ്റുന്നത് ഉൾപ്പെടെ അനുവദിച്ചിരിക്കുന്നു.

പ്രധാന ലിനക്സ് കേർണലിലേക്ക് ലോക്ക്ഡൗൺ സംവിധാനം അടുത്തിടെ ചേർത്തു 5.4, എന്നാൽ വിതരണങ്ങളിൽ വിതരണം ചെയ്യുന്ന കേർണലുകളിൽ ഇത് ഇപ്പോഴും പാച്ചുകളുടെ രൂപത്തിൽ നടപ്പിലാക്കുന്നു അല്ലെങ്കിൽ പാച്ചുകൾക്കൊപ്പം അനുബന്ധമായി നൽകുന്നു. ഡിസ്ട്രിബ്യൂഷൻ കിറ്റുകളിൽ നൽകിയിരിക്കുന്ന ആഡ്-ഓണുകളും കേർണലിൽ ബിൽറ്റ് ചെയ്തിട്ടുള്ള നടപ്പിലാക്കലും തമ്മിലുള്ള വ്യത്യാസങ്ങളിൽ ഒന്ന്, നിങ്ങൾക്ക് സിസ്റ്റത്തിലേക്ക് ഫിസിക്കൽ ആക്സസ് ഉണ്ടെങ്കിൽ നൽകിയിരിക്കുന്ന ലോക്കിംഗ് പ്രവർത്തനരഹിതമാക്കാനുള്ള കഴിവാണ്.

ഉബുണ്ടുവിലും ഫെഡോറയിലും, ലോക്ക്ഡൗൺ പ്രവർത്തനരഹിതമാക്കാൻ Alt+SysRq+X എന്ന കീ കോമ്പിനേഷൻ നൽകിയിരിക്കുന്നു. Alt+SysRq+X എന്ന കോമ്പിനേഷൻ ഉപകരണത്തിലേക്കുള്ള ഫിസിക്കൽ ആക്‌സസ് ഉപയോഗിച്ച് മാത്രമേ ഉപയോഗിക്കാനാകൂ എന്ന് മനസ്സിലാക്കാം, റിമോട്ട് ഹാക്കിംഗ്, റൂട്ട് ആക്‌സസ്സ് എന്നിവയിൽ, ആക്രമണകാരിക്ക് ലോക്ക്ഡൗൺ അപ്രാപ്‌തമാക്കാൻ കഴിയില്ല, ഉദാഹരണത്തിന്, ഒരു ലോഡ് കേർണലിലേക്ക് ഡിജിറ്റലായി സൈൻ ചെയ്യാത്ത ഒരു റൂട്ട്കിറ്റ് ഉള്ള മൊഡ്യൂൾ.

ഉപയോക്താവിന്റെ ശാരീരിക സാന്നിധ്യം സ്ഥിരീകരിക്കുന്നതിനുള്ള കീബോർഡ് അധിഷ്ഠിത രീതികൾ ഫലപ്രദമല്ലെന്ന് ആൻഡ്രി കൊനോവലോവ് കാണിച്ചു. ലോക്ക്ഡൗൺ പ്രവർത്തനരഹിതമാക്കാനുള്ള ഏറ്റവും ലളിതമായ മാർഗം പ്രോഗ്രാമാറ്റിക് ആയിട്ടായിരിക്കും അനുകരണം /dev/uinput വഴി Alt+SysRq+X അമർത്തുന്നു, എന്നാൽ ഈ ഐച്ഛികം തുടക്കത്തിൽ തടഞ്ഞിരിക്കുന്നു. അതേസമയം, Alt+SysRq+X മാറ്റിസ്ഥാപിക്കുന്നതിനുള്ള രണ്ട് രീതികളെങ്കിലും തിരിച്ചറിയാൻ സാധിച്ചു.

ആദ്യ രീതി "sysrq-trigger" ഇന്റർഫേസ് ഉപയോഗിക്കുന്നത് ഉൾപ്പെടുന്നു - അത് അനുകരിക്കാൻ, "1" /proc/sys/kernel/sysrq എന്ന് എഴുതി ഈ ഇന്റർഫേസ് പ്രാപ്തമാക്കുക, തുടർന്ന് "x" എന്ന് /proc/sysrq-trigger എന്ന് എഴുതുക. പഴുതു പറഞ്ഞു ഇല്ലാതാക്കി ഡിസംബറിലെ ഉബുണ്ടു കേർണൽ അപ്‌ഡേറ്റിലും ഫെഡോറ 31-ലും. /dev/uinput-ന്റെ കാര്യത്തിലെന്നപോലെ, തുടക്കത്തിൽ ഡെവലപ്പർമാർ എന്നത് ശ്രദ്ധേയമാണ്. ശ്രമിച്ചു ഈ രീതി തടയുക, എന്നാൽ തടയൽ കാരണം പ്രവർത്തിച്ചില്ല തെറ്റുകൾ കോഡിൽ.

രണ്ടാമത്തെ രീതി കീബോർഡ് എമുലേഷൻ വഴി ഉൾപ്പെടുന്നു USB/IP തുടർന്ന് വെർച്വൽ കീബോർഡിൽ നിന്ന് Alt+SysRq+X എന്ന ക്രമം അയയ്ക്കുന്നു. ഉബുണ്ടുവിനൊപ്പം ഷിപ്പ് ചെയ്ത USB/IP കേർണൽ ഡിഫോൾട്ടായി പ്രവർത്തനക്ഷമമാക്കി (CONFIG_USBIP_VHCI_HCD=m, CONFIG_USBIP_CORE=m) കൂടാതെ പ്രവർത്തനത്തിന് ആവശ്യമായ ഡിജിറ്റലായി ഒപ്പിട്ട usbip_core, vhci_hcd മൊഡ്യൂളുകൾ നൽകുന്നു. ആക്രമണകാരിക്ക് കഴിയും സൃഷ്ടിക്കാൻ വെർച്വൽ USB ഉപകരണം, പ്രവർത്തിക്കുന്ന ലൂപ്പ്ബാക്ക് ഇന്റർഫേസിലെ നെറ്റ്‌വർക്ക് ഹാൻഡ്‌ലറും USB/IP ഉപയോഗിച്ച് ഒരു റിമോട്ട് USB ഉപകരണമായി അതിനെ ബന്ധിപ്പിക്കുന്നു. നിർദ്ദിഷ്ട രീതിയെക്കുറിച്ച് അറിയിച്ചു ഉബുണ്ടു ഡെവലപ്പർമാർക്ക്, എന്നാൽ ഒരു പരിഹാരം ഇതുവരെ പുറത്തുവിട്ടിട്ടില്ല.

അവലംബം: opennet.ru