ലിനക്സ് കേർണലിലെ കേടുപാടുകൾ ചൂഷണം ചെയ്യുന്നതിൽ നിന്ന് പരിരക്ഷിക്കുന്നതിന് LKRG 0.8 മൊഡ്യൂളിന്റെ പ്രകാശനം

ഓപ്പൺവാൾ പദ്ധതി പ്രസിദ്ധീകരിച്ചു കേർണൽ മൊഡ്യൂൾ റിലീസ് LKRG 0.8 (ലിനക്സ് കേർണൽ റൺടൈം ഗാർഡ്), കേർണൽ ഘടനകളുടെ സമഗ്രതയുടെ ആക്രമണങ്ങളും ലംഘനങ്ങളും കണ്ടെത്താനും തടയാനും രൂപകൽപ്പന ചെയ്തിട്ടുള്ളതാണ്. ഉദാഹരണത്തിന്, പ്രവർത്തിക്കുന്ന കേർണലിലെ അനധികൃത മാറ്റങ്ങളിൽ നിന്നും ഉപയോക്തൃ പ്രക്രിയകളുടെ അനുമതികൾ മാറ്റാനുള്ള ശ്രമങ്ങളിൽ നിന്നും മൊഡ്യൂളിന് പരിരക്ഷിക്കാൻ കഴിയും (ചൂഷണങ്ങളുടെ ഉപയോഗം കണ്ടെത്തൽ). ലിനക്സ് കേർണലിനായി ഇതിനകം അറിയപ്പെടുന്ന ചൂഷണങ്ങൾക്കെതിരെ പരിരക്ഷ സംഘടിപ്പിക്കുന്നതിനും (ഉദാഹരണത്തിന്, സിസ്റ്റത്തിൽ കേർണൽ അപ്ഡേറ്റ് ചെയ്യാൻ ബുദ്ധിമുട്ടുള്ള സാഹചര്യങ്ങളിൽ), ഇതുവരെ അജ്ഞാതമായ കേടുപാടുകൾക്കുള്ള ചൂഷണങ്ങളെ ചെറുക്കുന്നതിനും മൊഡ്യൂൾ അനുയോജ്യമാണ്. പ്രോജക്റ്റ് കോഡ് വിതരണം ചെയ്തത് GPLv2 പ്രകാരം ലൈസൻസ്.

പുതിയ പതിപ്പിലെ മാറ്റങ്ങളിൽ:

• LKRG പ്രോജക്റ്റിന്റെ സ്ഥാനനിർണ്ണയം മാറ്റി, അത് സമഗ്രത പരിശോധിക്കുന്നതിനും ചൂഷണത്തിന്റെ ഉപയോഗം നിർണ്ണയിക്കുന്നതിനുമുള്ള പ്രത്യേക ഉപസിസ്റ്റങ്ങളായി വിഭജിച്ചിട്ടില്ല, എന്നാൽ ആക്രമണങ്ങളും വിവിധ സമഗ്രത ലംഘനങ്ങളും തിരിച്ചറിയുന്നതിനുള്ള ഒരു സമ്പൂർണ്ണ ഉൽപ്പന്നമായി അവതരിപ്പിക്കുന്നു;
• CONFIG_USB, CONFIG_STACKTRACE ഓപ്ഷനുകൾ ഇല്ലാതെ അല്ലെങ്കിൽ CONFIG_UNWINDER_ORC ഓപ്‌ഷനുകൾ കൂടാതെ, കൂടാതെ 5.3 മുതൽ 5.7 വരെയുള്ള ലിനക്‌സ് കേർണലുകളും അതുപോലെ തന്നെ അഗ്രസീവ് GCC ഒപ്റ്റിമൈസേഷനുകൾ ഉപയോഗിച്ച് കംപൈൽ ചെയ്‌ത കേർണലുകളുമായും കോംപാറ്റിബിളിറ്റി നൽകിയിരിക്കുന്നു. വിതരണം ചെയ്യുക;
• നിർമ്മിക്കുമ്പോൾ, അവ്യക്തമായ ക്രാഷുകൾക്ക് പകരം അർത്ഥവത്തായ പിശക് സന്ദേശങ്ങൾ സൃഷ്ടിക്കുന്നതിന് ചില നിർബന്ധിത CONFIG_* കേർണൽ ക്രമീകരണങ്ങൾ പരിശോധിക്കുന്നു;
• സ്റ്റാൻഡ്ബൈ (ACPI S3, റാമിലേക്ക് സസ്പെൻഡ് ചെയ്യുക), സ്ലീപ്പ് (S4, ഡിസ്കിലേക്ക് സസ്പെൻഡ് ചെയ്യുക) മോഡുകൾക്കുള്ള പിന്തുണ ചേർത്തു;
• Makefile-ലേക്ക് DKMS പിന്തുണ ചേർത്തു;
• 32-ബിറ്റ് എആർഎം പ്ലാറ്റ്‌ഫോമുകൾക്കുള്ള പരീക്ഷണാത്മക പിന്തുണ നടപ്പിലാക്കി (റാസ്‌ബെറി പൈ 3 മോഡൽ ബിയിൽ പരീക്ഷിച്ചു). മുമ്പ് ലഭ്യമായ AArch64 (ARM64) പിന്തുണ Raspberry Pi 4 ബോർഡുമായി അനുയോജ്യത നൽകുന്നതിന് വിപുലീകരിച്ചു;
• കൃത്രിമം കാണിക്കുന്ന ചൂഷണങ്ങളെ നന്നായി തിരിച്ചറിയാൻ കഴിവുള്ള() കോൾ ഹാൻഡ്‌ലർ ഉൾപ്പെടെ പുതിയ ഹുക്കുകൾ ചേർത്തു.കഴിവുകൾ", പ്രോസസ്സ് ഐഡികളല്ല (യോഗ്യതകൾ);
• നെയിംസ്‌പേസ് നിയന്ത്രണങ്ങളിൽ നിന്ന് രക്ഷപ്പെടാനുള്ള ശ്രമങ്ങൾ കണ്ടെത്തുന്നതിന് പുതിയ യുക്തി നിർദ്ദേശിച്ചിട്ടുണ്ട് (ഉദാഹരണത്തിന്, ഡോക്കർ കണ്ടെയ്‌നറുകളിൽ നിന്ന്);
• x86-64 സിസ്റ്റങ്ങളിൽ, SMAP (സൂപ്പർവൈസർ മോഡ് ആക്സസ് പ്രിവൻഷൻ) ബിറ്റ് പരിശോധിക്കുകയും പ്രയോഗിക്കുകയും ചെയ്യുന്നു, ഇത് കേർണൽ തലത്തിൽ പ്രവർത്തിക്കുന്ന പ്രിവിലേജ്ഡ് കോഡിൽ നിന്ന് ഉപയോക്തൃ സ്പേസ് ഡാറ്റയിലേക്കുള്ള ആക്സസ് തടയാൻ രൂപകൽപ്പന ചെയ്തിരിക്കുന്നു. എസ്എംഇപി (സൂപ്പർവൈസർ മോഡ് എക്സിക്യൂഷൻ പ്രിവൻഷൻ) സംരക്ഷണം മുമ്പ് നടപ്പിലാക്കിയിരുന്നു;
• പ്രവർത്തന സമയത്ത്, LKRG ക്രമീകരണങ്ങൾ സാധാരണയായി വായിക്കാൻ മാത്രമുള്ള ഒരു മെമ്മറി പേജിൽ സ്ഥാപിച്ചിരിക്കുന്നു;
• ആക്രമണങ്ങൾക്ക് ഏറ്റവും ഉപയോഗപ്രദമായേക്കാവുന്ന ലോഗിംഗ് വിവരങ്ങൾ (ഉദാഹരണത്തിന്, കേർണലിലെ വിലാസങ്ങളെക്കുറിച്ചുള്ള വിവരങ്ങൾ) ഡീബഗ്ഗിംഗ് മോഡിലേക്ക് പരിമിതപ്പെടുത്തിയിരിക്കുന്നു (log_level=4 ഉം അതിലും ഉയർന്നതും), അത് ഡിഫോൾട്ടായി പ്രവർത്തനരഹിതമാണ്.
• പ്രോസസ് ട്രാക്കിംഗ് ഡാറ്റാബേസിന്റെ സ്കേലബിലിറ്റി വർദ്ധിപ്പിച്ചിരിക്കുന്നു - ഒരു സ്പിൻലോക്ക് ഉപയോഗിച്ച് പരിരക്ഷിച്ചിരിക്കുന്ന ഒരു RB ട്രീക്ക് പകരം, 512 റീഡ്-റൈറ്റ് ലോക്കുകളാൽ സംരക്ഷിതമായ 512 RB മരങ്ങളുടെ ഒരു ഹാഷ് ടേബിൾ ഉപയോഗിക്കുന്നു;
• സ്ഥിരസ്ഥിതിയായി ഒരു മോഡ് നടപ്പിലാക്കുകയും പ്രവർത്തനക്ഷമമാക്കുകയും ചെയ്തിട്ടുണ്ട്, അതിൽ പ്രോസസ്സ് ഐഡന്റിഫയറുകളുടെ സമഗ്രത നിലവിലെ ടാസ്‌ക്കിനായി മാത്രം പരിശോധിക്കുന്നു, കൂടാതെ ഓപ്ഷണലായി സജീവമാക്കിയ (ഉണരുന്ന) ജോലികൾക്കായി. LKRG നിയന്ത്രിത കേർണൽ API ആക്സസ് ചെയ്യാതെ സ്ലീപ് സ്റ്റേറ്റിലുള്ളതോ പ്രവർത്തിക്കുന്നതോ ആയ മറ്റ് ജോലികൾക്കായി, പരിശോധന വളരെ കുറച്ച് തവണ മാത്രമേ നടത്താറുള്ളൂ.
• LKRG ഫൈൻ-ട്യൂണിങ്ങിനായി പുതിയ sysctl, മൊഡ്യൂൾ പാരാമീറ്ററുകൾ ചേർത്തു, കൂടാതെ ഡെവലപ്പർമാർ തയ്യാറാക്കിയ ഫൈൻ-ട്യൂണിംഗ് ക്രമീകരണങ്ങളുടെ (പ്രൊഫൈലുകൾ) സെറ്റുകളിൽ നിന്ന് തിരഞ്ഞെടുത്ത് ലളിതമായ കോൺഫിഗറേഷനായി രണ്ട് sysctl;
• ഒരു വശത്ത്, ലംഘനങ്ങൾ കണ്ടെത്തുന്നതിന്റെ വേഗതയും പ്രതികരണത്തിന്റെ ഫലപ്രാപ്തിയും, മറുവശത്ത്, പ്രകടനത്തിലെ സ്വാധീനവും തെറ്റായ പോസിറ്റീവുകളുടെ അപകടസാധ്യതയും തമ്മിൽ കൂടുതൽ സമതുലിതമായ ബാലൻസ് നേടുന്നതിന് സ്ഥിരസ്ഥിതി ക്രമീകരണങ്ങൾ മാറ്റി;
• ബൂട്ടിന്റെ തുടക്കത്തിൽ LKRG മൊഡ്യൂൾ ലോഡ് ചെയ്യുന്നതിനായി systemd യൂണിറ്റ് ഫയൽ പുനർരൂപകൽപ്പന ചെയ്തിരിക്കുന്നു (മൊഡ്യൂൾ പ്രവർത്തനരഹിതമാക്കുന്നതിന് ഒരു കേർണൽ കമാൻഡ് ലൈൻ ഓപ്ഷൻ ഉപയോഗിക്കാം);

പുതിയ പതിപ്പിൽ നിർദ്ദേശിച്ചിട്ടുള്ള ഒപ്റ്റിമൈസേഷനുകൾ കണക്കിലെടുക്കുമ്പോൾ, LKRG 0.8 ഉപയോഗിക്കുമ്പോൾ പ്രകടനം കുറയ്ക്കുന്നത് ഡിഫോൾട്ട് മോഡിൽ ("ഹെവി") 2.5% ഉം ലൈറ്റ് മോഡിൽ ("ലൈറ്റ്") 2% ഉം ആയി കണക്കാക്കുന്നു.

അടുത്തിടെ നടന്നതിൽ ഗവേഷണം റൂട്ട്കിറ്റുകൾ LKRG കണ്ടുപിടിക്കുന്നതിനുള്ള പാക്കേജുകളുടെ ഫലപ്രാപ്തി കാണിച്ചു മികച്ച ഫലങ്ങൾ, തെറ്റായ പോസിറ്റീവുകളില്ലാതെ കേർണൽ തലത്തിൽ പ്രവർത്തിക്കുന്ന പരീക്ഷിച്ച 8 റൂട്ട്കിറ്റുകളിൽ 9 എണ്ണം തിരിച്ചറിയുന്നു (റൂട്ട്കിറ്റുകൾ Diamorphine, Honey Pot Bears, LilyOfTheValley, Nuk3 Gh0st, Puszek, Reptile, Rootfoo Linux Rootkit, Sutekh എന്നിവ തിരിച്ചറിഞ്ഞു, എന്നാൽ കീസ്നിഫർ ആണ് മൊഡ്യൂൾ, ഒരു കീലോഗർ ഉപയോഗിച്ച് നഷ്‌ടമായി, അക്ഷരാർത്ഥത്തിൽ റൂട്ട്കിറ്റല്ല). താരതമ്യത്തിനായി, AIDE, OSSEC, Rootkit Hunter പാക്കേജുകൾ 2 റൂട്ട്കിറ്റുകളിൽ 9 എണ്ണം കണ്ടെത്തി, അതേസമയം Chkrootkit ഒന്നും കണ്ടെത്തിയില്ല. അതേ സമയം, ഉപയോക്തൃ സ്ഥലത്ത് സ്ഥിതിചെയ്യുന്ന റൂട്ട്കിറ്റുകൾ കണ്ടെത്തുന്നതിനെ LKRG പിന്തുണയ്ക്കുന്നില്ല, അതിനാൽ AIDE, LKRG എന്നിവയുടെ സംയോജനം ഉപയോഗിക്കുമ്പോൾ ഏറ്റവും വലിയ കാര്യക്ഷമത കൈവരിക്കാനാകും, ഇത് എല്ലാ തരത്തിലുമുള്ള 14-ൽ 15 റൂട്ട്കിറ്റുകളും തിരിച്ചറിയാൻ സാധ്യമാക്കി.

കൂടാതെ, ഡിസ്ട്രിബ്യൂഷൻ ഡെവലപ്പർ എന്ന് ശ്രദ്ധിക്കാവുന്നതാണ് വിനോക്സ് ആരംഭിച്ചു രൂപീകരണം Debian, Whonix, Qubes, Kicksecure എന്നിവയ്‌ക്കായി DKMS ഉള്ള റെഡിമെയ്ഡ് പാക്കേജുകൾ, കൂടാതെ ഒരു പാക്കേജ് ആർക്ക് ലിനക്സ് പതിപ്പ് 0.8-ലേക്ക് ഇതിനകം അപ്ഡേറ്റ് ചെയ്തിട്ടുണ്ട്. LKRG ഉള്ള പാക്കേജുകൾ റഷ്യൻ ഭാഷയിലും ലഭ്യമാണ് ALT ലിനക്സ് и ആസ്ട്ര ലിനക്സ്.

കേർണലിന്റെയും മൊഡ്യൂളുകളുടെയും യഥാർത്ഥ കോഡും ഡാറ്റയും, ചില പ്രധാനപ്പെട്ട ഡാറ്റാ ഘടനകളും സിപിയു ക്രമീകരണങ്ങളും സംഭരിച്ചിരിക്കുന്ന ഹാഷുകളോ അല്ലെങ്കിൽ അനുബന്ധ മെമ്മറി ഏരിയകളുടെയോ ഡാറ്റാ ഘടനകളുടെയോ രജിസ്റ്ററുകളുടെയോ പകർപ്പുകളോ താരതമ്യം ചെയ്താണ് LKRG-യിൽ സമഗ്രത പരിശോധിക്കുന്നത്. ടൈമർ വഴിയും വിവിധ ഇവന്റുകൾ സംഭവിക്കുമ്പോഴും പരിശോധനകൾ ഇടയ്ക്കിടെ സജീവമാക്കുന്നു.

കേർണൽ ഉറവിടങ്ങളിലേക്ക് ആക്‌സസ് നൽകുന്നതിന് മുമ്പുള്ള ഘട്ടത്തിലാണ് (ഉദാഹരണത്തിന്, ഒരു ഫയൽ തുറക്കുന്നതിന് മുമ്പ്), എന്നാൽ പ്രക്രിയയ്ക്ക് അനധികൃത അനുമതികൾ ലഭിച്ചതിന് ശേഷം (ഉദാഹരണത്തിന്, യുഐഡി മാറ്റുന്നത്) ചൂഷണത്തിന്റെ സാധ്യമായ ഉപയോഗം നിർണ്ണയിക്കുന്നതും ആക്രമണങ്ങൾ തടയുന്നതും. അനധികൃത സ്വഭാവം കണ്ടെത്തുമ്പോൾ, സ്ഥിരസ്ഥിതിയായി പ്രക്രിയകൾ അവസാനിപ്പിക്കാൻ നിർബന്ധിതരാകുന്നു, ഇത് പല ചൂഷണങ്ങളും തടയാൻ പര്യാപ്തമാണ്.

അവലംബം: opennet.ru