ProHoster >> Blog >> Lajmet e internetit >> Modeli i kërcënimeve dhe veçoritë e vlerësimit të vulneraibiliteteve në bërthamën Linux

Modeli i kërcënimeve dhe veçoritë e vlerësimit të vulneraibiliteteve në bërthamën Linux

Linus Torvalds pranoi në bërthama një dokument që rregullon procesin e trajtimit të gabimeve të lidhura me sigurinë, përcakton modelin e kërcënimeve, shpjegon se cilat gabime në bërthamë interpretohen si vulnerabilitete, dhe analizon veprimet ndaj gabimeve të identifikuara me anë të AI. Dokumenti është përgatitur nga Willy Tarreau, autori i HAProxy dhe një zhvillues i gjatë i bërthamës Linux, i cili ka qenë përgjegjës për mbështetje të disa degëve stabile të bërthamës. Si bazë janë përdorur marrëveshjet e arritura gjatë diskutimeve mbi vulnerabilitetet kritike që u zbuluan kohët e fundit në bërthamë, të cila u zbuluan përpara publikimit të patches, dhe për të cilat, përmes AI, u arrit të krijoheshin menjëherë exploit të punës.

Masën kryesore të gabimeve të lidhura me sigurinë është e rekomanduar të trajtohet publikisht, për të tërhequr një audiencë sa më të gjerë dhe për të gjetur zgjidhjen optimale. Në një listë private të dërgimit rekomandohet të dërgohen vetëm mesazhe emergjente mbi vulnerabilitetet që janë lehtësisht të shfrytëzueshme, që paraqesin kërcënime për shumë përdorues dhe që lejojnë fitimin e privilegjeve ose mundësive të zgjeruara.

DobitĂ«, tĂ« zbuluara me ndihmĂ«n e asistentĂ«ve AI, gjithmonĂ« sugjerohet tĂ« diskutohen publikisht, pasi kĂ«to probleme shpesh zbulohen nĂ« tĂ« njĂ«jtĂ«n kohĂ« nga disa hulumtues. NĂ« kĂ«tĂ« rast, nuk duhet tĂ« zbuloni nĂ« raport eksploitimin — mjafton tĂ« pĂ«rmendni qĂ« ai Ă«shtĂ« i disponueshĂ«m dhe ta transferoni atĂ« nĂ« kod tĂ« mbyllur nĂ« pĂ«rgjigje tĂ« njĂ« kĂ«rkese nga pĂ«rfaqĂ«suesi.

Veçmas përshkruhen rregullat për transferimin e raporteve të krijuara me ndihmën e asistentëve AI. Ka shumë raporte të tilla që dërgohen dhe falë tyre herë pas here arrihet të zbulohen gabimet në pjesët e kodit të pakontrolluara mirë, por përfaqësuesit shpesh i injorojnë ato për shkak të cilësisë së ulët dhe pasaktësive. Kërkesat kryesore për raportet e krijuara me asistencë AI janë:

  • ShkurtĂ«si, pa ujĂ« dhe me shĂ«nimin e thelbit dhe detajeve tĂ« rĂ«ndĂ«sishme nĂ« fillim.
  • VetĂ«m tekst i pastĂ«r pa etiketa Markdown dhe dekorime.
  • Kuptimi i modelit tĂ« kĂ«rcĂ«nimeve dhe shĂ«nimi i fakteve qĂ« kontrollohen (p.sh., "gabimi i lejon çdo pĂ«rdoruesi tĂ« marrĂ« CAP_NET_ADMIN"), dhe jo spekulime teorike dhe pĂ«rfundime mbi pasojat e dobĂ«sisĂ«.
  • Para dĂ«rguar raportin, Ă«shtĂ« thelbĂ«sore tĂ« testohet me kujdes funksionaliteti i exploitatit tĂ« formuar pĂ«rmes AI dhe tĂ« sigurohet mundĂ«sia e riprodhimit tĂ« problemit.
  • PĂ«rfshirja e AI nĂ« zhvillimin dhe testimin e zgjidhjes sĂ« problemit tĂ« identifikuar.

Sipas statistikave të shoqëruesve, shumica e raporteve të gabimeve të dërguara nën pretekstin e eliminimit të cenimeve, nuk janë të tilla dhe duhet të trajtohen si gabime të zakonshme. Për të ndarë cenimet nga gabimet e zakonshme, është përshkruar një model kërcënimi i bërthamës Linux. Midis mundësive dhe garantive, shkelja e të cilave mund të konsiderohet si cënim:

  • Izolimi nĂ« nivelin e pĂ«rdoruesve: qasje nĂ« skedarĂ« vetĂ«m pĂ«r pronarin, memoria e procesit e papĂ«rshkueshme pĂ«r pĂ«rdoruesit e tjerĂ«, ptrace i ndaluar pĂ«r proceset e huaja, izolimi i IPC dhe komunikimeve rrjet.
  • Mbrojtja e bazuar nĂ« capabilities: pa CAP_SYS_ADMIN nuk mund tĂ« ndryshohet konfigurimi i bĂ«rthamĂ«s, memoria, gjendja e sistemit, pa CAP_NET_ADMIN nuk mund tĂ« ndryshohen cilĂ«simet rrjet ose tĂ« kapet trafiku, pa CAP_SYS_PTRACE nuk mund tĂ« monitorohen proceset e pĂ«rdoruesve tĂ« tjerĂ«.
  • HapĂ«sira e emrave tĂ« id-sĂ« sĂ« pĂ«rdoruesve (CONFIG_USER_NS) ÄŒĂ«son pĂ«rdoruesve pa privilegje tĂ« krijojnĂ« ambientet e tyre tĂ« izoluara, nga tĂ« cilat nuk mund tĂ« ndikojnĂ« nĂ« hapĂ«sirĂ«n globale tĂ« emrave, si ndryshimi i kohĂ«s, ngarkimi i moduleve dhe montimi i pajisjeve bllokuese.
  • Interface tĂ« debuggimit (/proc/kmsg, perf, debugfs), pĂ«rmes tĂ« cilave mund tĂ« aksesoni informacion tĂ« ndjeshĂ«m, janĂ« tĂ« disponueshme vetĂ«m pas ofrimit tĂ« aksesit nĂ« mĂ«nyrĂ« eksplicite nga administratori.

Aftësi që nuk konsiderohen si vulnerabilitete:

  • PĂ«rdorimi i degĂ«ve tĂ« vjetra tĂ« kernel-it.
  • NdĂ«rtimi me pĂ«rfshirjen e opsioneve pĂ«r zhvilluesit ose qĂ« zvogĂ«lojnĂ« sigurinĂ« (p.sh., CONFIG_NOMMU).
  • Ndryshimi i cilĂ«simeve tĂ« pasigurta sysctl, opsioneve tĂ« vijĂ«s sĂ« komandĂ«s, tĂ« drejtave tĂ« aksesit nĂ« FS, capabilities ose hapja e qasjes pĂ«r pĂ«rdoruesit pa privilegje nĂ« interface tĂ« privilegjuara (p.sh., akses pĂ«r shkrim nĂ« procfs dhe debugfs).
  • Probleme nĂ« funksionet qĂ« janĂ« tĂ« destinuara vetĂ«m pĂ«r zhvillimin dhe debugimin e kernel-it, si LOCKDEP, KASAN dhe FAULT_INJECTION, tĂ« cilat nuk janĂ« tĂ« destinuara pĂ«r tĂ« qenĂ« tĂ« pĂ«rfshira nĂ« konfigurimet operative.
  • Problemet nĂ« drejtorĂ«t, modulet dhe nĂ«n-sistemet qĂ« ndodhen nĂ« seksionin STAGING ose janĂ« shĂ«nuar si eksperimentale, tĂ« pasigurta ose tĂ« paefektshme.
  • PĂ«rdorimi i moduleve tĂ« palĂ«ve tĂ« treta tĂ« bĂ«rthamĂ«s ose forkeve jozyrtare tĂ« bĂ«rthamĂ«s.
  • KĂ«rkimi i privilegjeve tĂ« tepĂ«rta, siç Ă«shtĂ« nevoja pĂ«r tĂ« kryer veprime me tĂ« drejtat root ose nga njĂ« pĂ«rdorues qĂ« ka tĂ« drejta CAP_SYS_ADMIN, CAP_NET_ADMIN, CAP_SYS_RAWIO dhe CAP_SYS_MODULE.
  • Sulmet teorike qĂ« kĂ«rkojnĂ« kushte laboratorike, miliarda pĂ«rpjekje, emulimin ose modifikimin e harduerit, shpenzime tĂ« papĂ«rshtatshme dhe konfigurime tĂ« pabesueshme (p.sh., sisteme me dhjetĂ«ra mijĂ«ra bĂ«rthama CPU).
  • Anashkalimi i mekanizmave tĂ« mbrojtjes (p.sh., ASLR) pa demonstruar njĂ« eksploat. Mungesa e kontrollit tĂ« argumenteve dhe kodeve tĂ« kthejshĂ«m tĂ« gabimeve qĂ« nuk kanĂ« pasoja tĂ« dukshme.
  • LĂ«vizjet e rastit tĂ« informacionit, tĂ« pa kontrolluara nga sulmuesit, siç janĂ« tĂ« dhĂ«nat mbetĂ«se nĂ« mesazhet e gabimeve dhe rrjedhjet e adresave/pointerĂ«ve tĂ« memories sĂ« bĂ«rthamĂ«s pa mundĂ«si tĂ« drejtpĂ«rdrejtĂ« pĂ«r eksploatim.
  • Gabimet gjatĂ« montimit tĂ« imazheve tĂ« dĂ«mtuara tĂ« diskut, nĂ«se drejtuesi nuk Ă«shtĂ« shpallur i pĂ«rshtatshĂ«m pĂ«r t’u pĂ«rdorur me burime tĂ« pasigurt. Probleme me imazhet e diskut qĂ« zbulohet dhe zgjidhen pĂ«rmes ekzekutimit tĂ« utilitarit fsck.
  • Sulmet qĂ« kĂ«rkojnĂ« qasje fizike nĂ« pajisjet, modifikimin e pajisjeve ose lidhjen e pajisjeve tĂ« harduerit, si pllakat pĂ«r sulme DMA dhe analizatorĂ« logjikĂ«, nĂ«se sistemi nuk konfigurohet posaçërisht pĂ«r t'u mbrojtur nga kĂ«to sulme (IOMMU).
  • Regresionet me funksionalitetin dhe performancĂ«n, qĂ« mund tĂ« zgjidhen duke pĂ«rshtatur tĂ« drejtat dhe kufijtĂ«.

Burimi: opennet.ru

Bli njĂ« hosting tĂ« besueshĂ«m pĂ«r faqet me mbrojtje DDoS, VPS VDS serverĂ« đŸ”„ Bli njĂ« hosting tĂ« besueshĂ«m pĂ«r faqet me mbrojtje DDoS, VPS VDS serverĂ« | ProHoster