लिनक्स कर्नेलमा कमजोरीहरूको शोषणबाट जोगाउन LKRG 0.8 मोड्युलको रिलीज

ओपनवाल परियोजना प्रकाशित कर्नेल मोड्युल रिलीज LKRG ०.८ (लिनक्स कर्नेल रनटाइम गार्ड), कर्नेल संरचनाहरूको अखण्डताको आक्रमण र उल्लङ्घनहरू पत्ता लगाउन र ब्लक गर्न डिजाइन गरिएको हो। उदाहरणका लागि, मोड्युलले चलिरहेको कर्नेलमा अनाधिकृत परिवर्तनहरू र प्रयोगकर्ता प्रक्रियाहरूको अनुमतिहरू परिवर्तन गर्ने प्रयासहरू (शोषणको प्रयोग पत्ता लगाउने) विरुद्ध सुरक्षा गर्न सक्छ। मोड्युल लिनक्स कर्नेलका लागि पहिले नै ज्ञात शोषणहरू विरुद्ध सुरक्षा व्यवस्थित गर्नका लागि उपयुक्त छ (उदाहरणका लागि, प्रणालीमा कर्नेल अपडेट गर्न गाह्रो भएको अवस्थामा), र अझै अज्ञात कमजोरीहरूको लागि शोषणको प्रतिरोध गर्नका लागि। परियोजना कोड द्वारा वितरित GPLv2 अन्तर्गत इजाजतपत्र प्राप्त।

नयाँ संस्करणमा परिवर्तनहरू मध्ये:

• LKRG परियोजनाको स्थिति परिवर्तन गरिएको छ, जुन अब अखण्डता जाँच गर्न र शोषणहरूको प्रयोग निर्धारण गर्नको लागि अलग-अलग उपप्रणालीहरूमा विभाजित गरिएको छैन, तर आक्रमणहरू र विभिन्न अखण्डता उल्लङ्घनहरू पहिचान गर्नको लागि पूर्ण उत्पादनको रूपमा प्रस्तुत गरिएको छ;
• 5.3 देखि 5.7 सम्म लिनक्स कर्नेलहरूका साथसाथै CONFIG_USB र CONFIG_STACKTRACE विकल्पहरू बिना वा CONFIG_UNWINDER_ORC विकल्पहरू, साथै LKRGok गर्न नसक्ने कर्नेलहरूसँग, आक्रामक GCC अप्टिमाइजेसनहरूसँग कम्पाइल गरिएका कर्नेलहरूसँग अनुकूलता प्रदान गरिन्छ। साथ वितरण गर्न;
• निर्माण गर्दा, केही अनिवार्य CONFIG_* कर्नेल सेटिङहरू अस्पष्ट क्र्यासहरूको सट्टा अर्थपूर्ण त्रुटि सन्देशहरू उत्पन्न गर्न जाँच गरिन्छ;
• स्ट्यान्डबाइ (ACPI S3, RAM मा निलम्बन) र निद्रा (S4, डिस्कमा निलम्बन) मोडहरूको लागि समर्थन थपियो;
• Makefile मा DKMS समर्थन थपियो;
• 32-बिट एआरएम प्लेटफर्महरूको लागि प्रयोगात्मक समर्थन लागू गरिएको छ (रास्पबेरी Pi 3 मोडेल बी मा परीक्षण गरिएको)। पहिले उपलब्ध AArch64 (ARM64) समर्थन Raspberry Pi 4 बोर्ड संग अनुकूलता प्रदान गर्न विस्तार गरिएको छ;
• नयाँ हुकहरू थपिएका छन्, एक सक्षम() कल ह्यान्डलर सहितको हेरफेर गर्ने शोषणहरू राम्रोसँग पहिचान गर्न।क्षमताओं", आईडी प्रशोधन गर्दैन (प्रमाणपत्रहरू);
• नेमस्पेस प्रतिबन्धहरू (उदाहरणका लागि, डकर कन्टेनरहरूबाट) भाग्ने प्रयासहरू पत्ता लगाउनको लागि नयाँ तर्क प्रस्ताव गरिएको छ;
• x86-64 प्रणालीहरूमा, SMAP (पर्यवेक्षक मोड पहुँच रोकथाम) बिट जाँच गरी लागू गरिएको छ, कर्नेल स्तरमा चलिरहेको विशेषाधिकार प्राप्त कोडबाट प्रयोगकर्ता स्पेस डाटामा पहुँच रोक्न डिजाइन गरिएको छ। SMEP (पर्यवेक्षक मोड कार्यान्वयन रोकथाम) सुरक्षा पहिले लागू गरिएको थियो;
• सञ्चालनको क्रममा, LKRG सेटिङहरू मेमोरी पृष्ठमा राखिन्छन् जुन सामान्यतया पढ्न-मात्र हुन्छ;
• लगिङ जानकारी जुन आक्रमणहरूको लागि सबैभन्दा उपयोगी हुन सक्छ (उदाहरणका लागि, कर्नेलमा ठेगानाहरू बारे जानकारी) डिबगिङ मोडमा सीमित छ (log_level=4 र उच्च), जुन पूर्वनिर्धारित रूपमा असक्षम हुन्छ।
• प्रक्रिया ट्र्याकिङ डाटाबेसको स्केलेबिलिटी बढाइएको छ - एउटा स्पिनलकद्वारा सुरक्षित गरिएको एउटा RB रूखको सट्टा, 512 रीड-राइट लकहरूद्वारा सुरक्षित 512 RB रूखहरूको ह्यास तालिका प्रयोग गरिन्छ;
• पूर्वनिर्धारित रूपमा एक मोड लागू र सक्षम गरिएको छ, जसमा प्रक्रिया पहिचानकर्ताहरूको अखण्डता प्रायः हालको कार्यको लागि मात्र जाँच गरिन्छ, र वैकल्पिक रूपमा सक्रिय (ब्यूँझने) कार्यहरूको लागि पनि। अन्य कार्यहरूका लागि जुन सुतिरहेको अवस्थामा छन् वा LKRG द्वारा नियन्त्रित कर्नेल API पहुँच नगरी काम गरिरहेका छन्, जाँच कम पटक गरिन्छ।
• फाइन-ट्युनिङ LKRG को लागि नयाँ sysctl र मोड्युल प्यारामिटरहरू थपियो, साथै विकासकर्ताहरूद्वारा तयार गरिएका फाइन-ट्युनिङ सेटिङहरू (प्रोफाइलहरू) को सेटहरूबाट चयन गरेर सरलीकृत कन्फिगरेसनका लागि दुईवटा sysctl;
• उल्लङ्घनहरू पत्ता लगाउने गति र प्रतिक्रियाको प्रभावकारिता, एकतर्फ, र प्रदर्शनमा प्रभाव र अर्कोमा गलत सकारात्मकहरूको जोखिमको बीचमा थप सन्तुलित सन्तुलन प्राप्त गर्न पूर्वनिर्धारित सेटिङहरू परिवर्तन गरिएको छ;
• LKRG मोड्युल बुटको सुरुमा लोड गर्न systemd एकाइ फाइल पुन: डिजाइन गरिएको छ (मोड्युल असक्षम गर्न कर्नेल आदेश लाइन विकल्प प्रयोग गर्न सकिन्छ);

नयाँ विमोचनमा प्रस्तावित अप्टिमाइजेसनहरूलाई ध्यानमा राख्दै, LKRG 0.8 प्रयोग गर्दा कार्यसम्पादनमा कमी 2.5% पूर्वनिर्धारित मोड ("भारी") र 2% लाइट मोड ("प्रकाश") मा अनुमान गरिएको छ।

हालै आयोजित कार्यक्रममा अनुसन्धान रूटकिट LKRG पत्ता लगाउन प्याकेजहरूको प्रभावकारिता देखियो सबै भन्दा राम्रो नतिजाहरू, कर्नेल स्तरमा झूटा सकारात्मक बिना काम गर्ने 8 मध्ये 9 परीक्षण गरिएका रूटकिटहरू पहिचान गर्दै (रूटकिट्स डायमोर्फिन, हनी पोट बियर, LilyOfTheValley, Nuk3 Gh0st, Puszek, Reptile, Rootfoo Linux Rootkit र Sutekh पहिचान गरियो, तर Keysniffer, जुन एक हो। मोड्युल, किलगरसँग छुटेको थियो, शाब्दिक अर्थमा रूटकिट होइन)। तुलनाको लागि, AIDE, OSSEC र Rootkit Hunter प्याकेजहरूले 2 rootkits मध्ये 9 पत्ता लगाए, जबकि Chkrootkit ले कुनै पनि पत्ता लगाएन। एकै समयमा, LKRG ले प्रयोगकर्ता स्पेसमा अवस्थित रूटकिटहरू पत्ता लगाउन समर्थन गर्दैन, त्यसैले AIDE र LKRG को संयोजन प्रयोग गर्दा सबैभन्दा ठूलो दक्षता प्राप्त हुन्छ, जसले सबै प्रकारका 14 मध्ये 15 रूटकिटहरू पहिचान गर्न सम्भव बनायो।

थप रूपमा, यो वितरण विकासकर्ता उल्लेख गर्न सकिन्छ Whonix सुरु भयो आकार दिँदै Debian, Whonix, Qubes र Kickecure को लागि DKMS को साथ तैयार प्याकेज, र को लागी एक प्याकेज आर्क लिनक्स पहिले नै संस्करण 0.8 मा अद्यावधिक गरिएको छ। LKRG सँग प्याकेजहरू रूसी भाषामा पनि उपलब्ध छन् ALT लिनक्स и एस्ट्रा लिनक्स.

LKRG मा अखण्डता जाँच वास्तविक कोड र कर्नेल र मोड्युलहरूको डेटा, केही महत्त्वपूर्ण डेटा संरचनाहरू र CPU सेटिङहरू भण्डार गरिएको ह्यासहरू वा सम्बन्धित मेमोरी क्षेत्रहरू, डेटा संरचनाहरू वा दर्ताहरूको प्रतिलिपिहरूसँग तुलना गरेर गरिन्छ। चेकहरू आवधिक रूपमा टाइमर र विभिन्न घटनाहरूको घटनामा सक्रिय हुन्छन्।

शोषण र अवरुद्ध आक्रमणहरूको सम्भावित प्रयोग निर्धारण गर्ने चरणमा कर्नेलले स्रोतहरूमा पहुँच प्रदान गर्नु अघि गरिन्छ (उदाहरणका लागि, फाइल खोल्नु अघि), तर प्रक्रियाले अनाधिकृत अनुमतिहरू प्राप्त गरेपछि (उदाहरणका लागि, UID परिवर्तन गर्ने)। जब अनाधिकृत व्यवहार पत्ता लगाइन्छ, प्रक्रियाहरू पूर्वनिर्धारित रूपमा समाप्त गर्न बाध्य हुन्छन्, जुन धेरै शोषणहरू रोक्न पर्याप्त हुन्छ।

स्रोत: opennet.ru