ਲੀਨਕਸ 5.4 ਕਰਨਲ ਨੇ ਕਰਨਲ ਅੰਦਰੂਨੀ ਤੱਕ ਰੂਟ ਪਹੁੰਚ ਨੂੰ ਸੀਮਿਤ ਕਰਨ ਲਈ ਪੈਚ ਪ੍ਰਾਪਤ ਕੀਤੇ ਹਨ

ਲੀਨਸ ਟੋਰਵਾਲਡਸ ਸਵੀਕਾਰ ਕੀਤਾ ਲੀਨਕਸ 5.4 ਕਰਨਲ ਦੇ ਆਉਣ ਵਾਲੇ ਰੀਲੀਜ਼ ਵਿੱਚ ਸ਼ਾਮਲ ਪੈਚਾਂ ਦਾ ਇੱਕ ਸੈੱਟ ਹੈ"ਤਾਲਾਬੰਦ", ਪ੍ਰਸਤਾਵਿਤ ਡੇਵਿਡ ਹਾਵੇਲਜ਼ (ਰੈੱਡ ਹੈਟ) ਅਤੇ ਮੈਥਿਊ ਗੈਰੇਟ (ਮੈਥਿ gar ਗੈਰੇਟ, ਗੂਗਲ 'ਤੇ ਕੰਮ ਕਰਦਾ ਹੈ) ਕਰਨਲ ਤੱਕ ਰੂਟ ਉਪਭੋਗਤਾ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰਨ ਲਈ। ਲੌਕਡਾਊਨ-ਸਬੰਧਤ ਕਾਰਜਕੁਸ਼ਲਤਾ ਇੱਕ ਵਿਕਲਪਿਕ ਤੌਰ 'ਤੇ ਲੋਡ ਕੀਤੇ LSM ਮੋਡੀਊਲ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ ਹੈ (ਲੀਨਕਸ ਸੁਰੱਖਿਆ ਮੋਡੀਊਲ), ਜੋ UID 0 ਅਤੇ ਕਰਨਲ ਦੇ ਵਿਚਕਾਰ ਇੱਕ ਰੁਕਾਵਟ ਪਾਉਂਦਾ ਹੈ, ਕੁਝ ਨਿਮਨ-ਪੱਧਰੀ ਕਾਰਜਸ਼ੀਲਤਾ ਨੂੰ ਸੀਮਤ ਕਰਦਾ ਹੈ।

ਜੇਕਰ ਕੋਈ ਹਮਲਾਵਰ ਰੂਟ ਅਧਿਕਾਰਾਂ ਨਾਲ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ, ਤਾਂ ਉਹ ਕਰਨਲ ਪੱਧਰ 'ਤੇ ਆਪਣੇ ਕੋਡ ਨੂੰ ਚਲਾ ਸਕਦਾ ਹੈ, ਉਦਾਹਰਨ ਲਈ, kexec ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਜਾਂ /dev/kmem ਦੁਆਰਾ ਮੈਮੋਰੀ ਨੂੰ ਰੀਡਿੰਗ/ਰਾਈਟਿੰਗ ਕਰਕੇ। ਅਜਿਹੀ ਗਤੀਵਿਧੀ ਦਾ ਸਭ ਤੋਂ ਸਪੱਸ਼ਟ ਨਤੀਜਾ ਹੋ ਸਕਦਾ ਹੈ ਚੱਕਰ UEFI ਸੁਰੱਖਿਅਤ ਬੂਟ ਜਾਂ ਕਰਨਲ ਪੱਧਰ 'ਤੇ ਸਟੋਰ ਕੀਤੇ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਨੂੰ ਮੁੜ ਪ੍ਰਾਪਤ ਕਰਨਾ।

ਸ਼ੁਰੂ ਵਿੱਚ, ਪ੍ਰਮਾਣਿਤ ਬੂਟ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਮਜ਼ਬੂਤ ​​ਕਰਨ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਰੂਟ ਪਾਬੰਦੀ ਫੰਕਸ਼ਨ ਵਿਕਸਿਤ ਕੀਤੇ ਗਏ ਸਨ, ਅਤੇ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਕੁਝ ਸਮੇਂ ਤੋਂ UEFI ਸੁਰੱਖਿਅਤ ਬੂਟ ਦੇ ਬਾਈਪਾਸ ਨੂੰ ਰੋਕਣ ਲਈ ਥਰਡ-ਪਾਰਟੀ ਪੈਚਾਂ ਦੀ ਵਰਤੋਂ ਕਰ ਰਹੇ ਹਨ। ਉਸੇ ਸਮੇਂ, ਅਜਿਹੀਆਂ ਪਾਬੰਦੀਆਂ ਕਾਰਨ ਕਰਨਲ ਦੀ ਮੁੱਖ ਰਚਨਾ ਵਿੱਚ ਸ਼ਾਮਲ ਨਹੀਂ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ ਅਸਹਿਮਤੀ ਉਹਨਾਂ ਦੇ ਲਾਗੂ ਕਰਨ ਅਤੇ ਮੌਜੂਦਾ ਪ੍ਰਣਾਲੀਆਂ ਵਿੱਚ ਵਿਘਨ ਦੇ ਡਰ ਵਿੱਚ। ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨਾਂ ਵਿੱਚ ਪਹਿਲਾਂ ਹੀ ਵਰਤੇ ਗਏ "ਲਾਕਡਾਊਨ" ਮੋਡੀਊਲ ਵਿੱਚ ਜਜ਼ਬ ਕੀਤੇ ਗਏ ਪੈਚ, ਜੋ ਕਿ UEFI ਸਿਕਿਓਰ ਬੂਟ ਨਾਲ ਨਹੀਂ ਜੁੜੇ ਇੱਕ ਵੱਖਰੇ ਸਬ-ਸਿਸਟਮ ਦੇ ਰੂਪ ਵਿੱਚ ਮੁੜ ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਗਏ ਸਨ।

ਲੌਕਡਾਊਨ ਮੋਡ /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobes ਡੀਬੱਗ ਮੋਡ, mmiotrace, tracefs, BPF, PCMCIA CIS (ਕਾਰਡ ਜਾਣਕਾਰੀ ਢਾਂਚਾ), ਕੁਝ ACPI ਇੰਟਰਫੇਸਾਂ ਅਤੇ CPU ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਪ੍ਰਤਿਬੰਧਿਤ ਕਰਦਾ ਹੈ। MSR ਰਜਿਸਟਰ, kexec_file ਅਤੇ kexec_load ਕਾਲਾਂ ਨੂੰ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਹੈ, ਸਲੀਪ ਮੋਡ ਦੀ ਮਨਾਹੀ ਹੈ, PCI ਡਿਵਾਈਸਾਂ ਲਈ DMA ਦੀ ਵਰਤੋਂ ਸੀਮਤ ਹੈ, EFI ਵੇਰੀਏਬਲ ਤੋਂ ACPI ਕੋਡ ਆਯਾਤ ਕਰਨ ਦੀ ਮਨਾਹੀ ਹੈ,
I/O ਪੋਰਟਾਂ ਨਾਲ ਹੇਰਾਫੇਰੀ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਹੈ, ਜਿਸ ਵਿੱਚ ਸੀਰੀਅਲ ਪੋਰਟ ਲਈ ਇੰਟਰੱਪਟ ਨੰਬਰ ਅਤੇ I/O ਪੋਰਟ ਨੂੰ ਬਦਲਣਾ ਸ਼ਾਮਲ ਹੈ।

ਮੂਲ ਰੂਪ ਵਿੱਚ, ਲਾਕਡਾਊਨ ਮੋਡੀਊਲ ਕਿਰਿਆਸ਼ੀਲ ਨਹੀਂ ਹੁੰਦਾ ਹੈ, ਇਹ ਉਦੋਂ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ ਜਦੋਂ SECURITY_LOCKDOWN_LSM ਵਿਕਲਪ kconfig ਵਿੱਚ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਕਰਨਲ ਪੈਰਾਮੀਟਰ “lockdown=”, ਕੰਟਰੋਲ ਫਾਈਲ “/sys/kernel/security/lockdown” ਜਾਂ ਅਸੈਂਬਲੀ ਵਿਕਲਪਾਂ ਰਾਹੀਂ ਕਿਰਿਆਸ਼ੀਲ ਹੁੰਦਾ ਹੈ। LOCK_DOWN_KERNEL_FORCE_*, ਜੋ "ਇਮਾਨਦਾਰੀ" ਅਤੇ "ਗੁਪਤਤਾ" ਮੁੱਲ ਲੈ ਸਕਦਾ ਹੈ। ਪਹਿਲੀ ਸਥਿਤੀ ਵਿੱਚ, ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਜੋ ਉਪਭੋਗਤਾ ਸਪੇਸ ਤੋਂ ਚੱਲ ਰਹੇ ਕਰਨਲ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀਆਂ ਹਨ, ਬਲੌਕ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਅਤੇ ਦੂਜੇ ਕੇਸ ਵਿੱਚ, ਕਾਰਜਸ਼ੀਲਤਾ ਜੋ ਕਰਨਲ ਤੋਂ ਸੰਵੇਦਨਸ਼ੀਲ ਜਾਣਕਾਰੀ ਨੂੰ ਐਕਸਟਰੈਕਟ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਨੂੰ ਵੀ ਅਯੋਗ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ।

ਇਹ ਨੋਟ ਕਰਨਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿ ਲੌਕਡਾਊਨ ਸਿਰਫ ਕਰਨਲ ਤੱਕ ਮਿਆਰੀ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰਦਾ ਹੈ, ਪਰ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਸ਼ੋਸ਼ਣ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਸੋਧਾਂ ਤੋਂ ਸੁਰੱਖਿਆ ਨਹੀਂ ਕਰਦਾ ਹੈ। ਚੱਲ ਰਹੇ ਕਰਨਲ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਨੂੰ ਰੋਕਣ ਲਈ ਜਦੋਂ ਓਪਨਵਾਲ ਪ੍ਰੋਜੈਕਟ ਦੁਆਰਾ ਸ਼ੋਸ਼ਣ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਵਿਕਸਤ ਕਰਦਾ ਹੈ ਵੱਖਰਾ ਮੋਡੀਊਲ LKRG (ਲੀਨਕਸ ਕਰਨਲ ਰਨਟਾਈਮ ਗਾਰਡ)।

ਸਰੋਤ: opennet.ru