{"id":29880,"date":"2019-10-31T21:32:27","date_gmt":"2019-10-31T18:32:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/milliony-binarnikov-spustya-kak-ukreplyalsya-linux\/"},"modified":"2019-10-31T21:32:27","modified_gmt":"2019-10-31T18:32:27","slug":"milliony-binarnikov-spustya-kak-ukreplyalsya-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/milliony-binarnikov-spustya-kak-ukreplyalsya-linux","title":{"rendered":"Miljoenen binaire bestanden later. Hoe Linux is versterkt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MiljoenenTL;DR<\/b>. In dit artikel onderzoeken we de hardening-schemas die standaard werken in vijf populaire Linux-distributies. Voor elk hebben we de standaard kernelconfiguratie genomen, alle pakketten geladen en de beschermingssyndroms in geneste binaire bestanden geanalyseerd. De distributies die worden behandeld zijn OpenSUSE 12.4, Debian 9, CentOS, RHEL 6.10 en 7, evenals Ubuntu 14.04, 12.04 en 18.04 LTS. <\/p>\n

De resultaten bevestigen dat zelfs basisvoorzieningen zoals stack canaries en position-independent code nog niet door iedereen worden gebruikt. De situatie is nog erger met compilers als het gaat om bescherming tegen kwetsbaarheden zoals stack clash, die in januari in de schijnwerpers kwam na de publicatie van informatie over kwetsbaarheden in systemd<\/a><\/noindex>. Maar alles is niet zo hopeloos. In een aanzienlijk aantal binaire bestanden zijn basisbeschermingsmethoden ge\u00efmplementeerd, en hun aantal groeit van versie tot versie. <\/p>\n

De controle toonde aan dat het grootste aantal beschermingsmethoden is ge\u00efmplementeerd in Ubuntu 18.04 op het niveau van het besturingssysteem en applicaties, gevolgd door Debian 9. Aan de andere kant zijn ook in OpenSUSE 12.4, CentOS 7 en RHEL 7 basisbeschermingsschema's ge\u00efmplementeerd, en de bescherming tegen stack clashes wordt nog breder toegepast met een veel dichter pakketaanbod als standaard.
\n<\/a><\/noindex><\/p>\n

Inleiding<\/h1>\n

\nHet is moeilijk om software van hoge kwaliteit te waarborgen. Ondanks het enorme aantal geavanceerde tools voor statische code-analyse en dynamische analyse tijdens runtime, evenals aanzienlijke vooruitgang in de ontwikkeling van compilers en programmeertalen, kampt moderne software nog steeds met kwetsbaarheden die voortdurend door aanvallers worden uitgebuiten. De situatie is nog erger in ecosystemen die verouderde code bevatten. In dergelijke gevallen worden we niet alleen geconfronteerd met het eeuwige probleem van het zoeken naar mogelijk uitbuitbare fouten, maar zijn we ook beperkt door strikte kaders van achterwaartse compatibiliteit die vaak vereisen dat we beperkte, en nog erger, kwetsbare of glitchy code behouden.<\/p>\n

Hier komen hardening methoden van programma's in het spel. Sommige soorten fouten kunnen we niet voorkomen, maar we kunnen het leven van de aanvaller moeilijker maken en gedeeltelijk het probleem oplossen door te voorkomen of te hinderen uitbuiting<\/i> deze fouten. Deze bescherming wordt in alle moderne besturingssystemen gebruikt, maar de methoden verschillen sterk in complexiteit, effectiviteit en prestaties: van stack canaries en ASLR<\/a><\/noindex> tot volledige bescherming CFI<\/a><\/noindex> en ROP<\/a><\/noindex>. In dit artikel bekijken we welke beschermingsmethoden worden toegepast in de meest populaire Linux-distributies in de standaardconfiguratie, en we onderzoeken de eigenschappen van de binaire bestanden die worden verspreid via de pakketbeheersystemen van elke distributie.<\/p>\n

CVE en beveiliging<\/h3>\n

\nWe hebben allemaal artikelen gezien met titels zoals 'De kwetsbaarste applicaties van het jaar' of 'De kwetsbaarste besturingssystemen'. Gewoonlijk geven ze statistieken over het totale aantal meldingen van kwetsbaarheden, type CVE (Common Vulnerability and Exposures)<\/a><\/noindex>, verkregen uit de Nationale Kwetsbaarheidsdatabase (NVD)<\/a><\/noindex> van NIST<\/a><\/noindex> en andere bronnen. Vervolgens worden deze applicaties of besturingssystemen gerangschikt op basis van het aantal CVE. Helaas, hoewel CVE zeer nuttig zijn voor het volgen van problemen en het informeren van leveranciers en gebruikers, zeggen ze weinig over de werkelijke veiligheid van software.<\/p>\n

Als voorbeeld bekijken we het totale aantal CVE in de afgelopen vier jaar voor de Linux-kernel en de vijf meest populaire serverdistributies, namelijk Ubuntu, Debian, Red Hat Enterprise Linux en OpenSUSE.<\/p>\n

\"Miljoenen
\nFiguur 1<\/i><\/p>\n

Wat vertelt deze grafiek ons? Betekent een groter aantal CVE dat \u00e9\u00e9n distributie kwetsbaarder is dan de andere? Het antwoord is nee. Bijvoorbeeld, in dit artikel zult u zien dat Debian striktere beschermingsmechanismen heeft in vergelijking met bijvoorbeeld OpenSUSE of RedHat Linux, en toch heeft Debian meer CVE. Dit betekent echter niet noodzakelijk dat er sprake is van verminderde beveiliging: zelfs de aanwezigheid van CVE zegt niets over de exploiteerbaarheid van een kwetsbaarheid. exploiteerbaar<\/i>. Ernstscores geven een idee van hoe waarschijnlijk<\/i> het gebruik van een kwetsbaarheid is, maar uiteindelijk hangt de exploiteerbaarheid in belangrijke mate af van de bescherming die aanwezig is in de getroffen systemen, evenals van de middelen en mogelijkheden van aanvallers. Bovendien zegt het ontbreken van CVE-meldingen niets over andere niet-geregistreerde of onbekende kwetsbaarheden<\/i> kwetsbaarheden. Het verschil in CVE kan worden verklaard door andere factoren dan de kwaliteit van de software, zoals de middelen die zijn toegewezen voor testen of de omvang van de gebruikersbasis. In ons voorbeeld kan het hogere aantal CVE voor Debian eenvoudigweg aangeven dat Debian meer softwarepakketten levert. <\/p>\n

Natuurlijk biedt het CVE-systeem nuttige informatie die helpt bij het cre\u00ebren van passende beveiligingen. Hoe beter we de oorzaken van softwarefalen begrijpen, hoe gemakkelijker het is om mogelijke exploitatiemethoden te identificeren en geschikte mechanismen te ontwikkelen. detectie en respons<\/i>. Figuur 2 toont de categorie\u00ebn van kwetsbaarheden voor alle distributies in de afgelopen vier jaar (bron<\/a><\/noindex>). Het is meteen duidelijk dat de meeste CVE in de volgende categorie\u00ebn vallen: denial of service (DoS), code-executie, buffer overflow, geheugenbeschadiging, informatielek (exfiltratie) en privilege-escalatie. Hoewel veel CVE meerdere keren in verschillende categorie\u00ebn zijn geteld, blijven dezelfde problemen in grote lijnen van jaar tot jaar bestaan. In het volgende deel van het artikel zullen we het gebruik van verschillende beschermingsschema's beoordelen ter voorkoming van de exploitatie van de genoemde kwetsbaarheden.<\/p>\n

\"Miljoenen
\nFiguur 2<\/i><\/p>\n

Taken<\/h3>\n

\nIn dit artikel willen we de volgende vragen beantwoorden:<\/p>\n