ProHoster > Blog > Lajmet e internetit > Modeli i kërcënimeve dhe karakteristikat e vlerësimit të dobësive në bërthamën Linux

Modeli i kërcënimeve dhe karakteristikat e vlerësimit të dobësive në bërthamën Linux

Linus Torvalds ka pranuar një dokument në bërthamën e tij që rregullon procesin e trajtimit të gabimeve të lidhura me sigurinë, që përcakton modelin e kërcënimeve, shpjegon se cilat gabime në bërthamë interpretohen si vulnerabilitete dhe shqyrton veprimet me gabimet e zbuluara me ndihmën e AI. Dokumenti është përgatitur nga Willy Tarreau, autori i HAProxy dhe një zhvillues i njohur i bërthamës Linux, i cili ka mbajtur disa degë stabile të bërthamës. Si bazë janë përdorur marrëveshjet e arritura gjatë diskutimeve mbi vulnerabilitetet kritike të zbuluara në bërthamë (1, 2, 3, 4), të zbuluara para publikimit të rregullimeve dhe për të cilat, falë AI-së, arriti të krijohej menjëherë eksploitativë funksional.

Masën kryesore të gabimeve të lidhura me sigurinë rekomandohet të përpunohen publikisht, për të tërhequr audiencën sa më të gjerë dhe për të gjetur zgjidhjen optimale. Në një listë të veçantë private shpërndarjeje, sugjerohet që të dërgohen vetëm mesazhe emergjente rreth vulnerabiliteteve, të cilat janë të lehta për t'u shfrytëzuar, që paraqesin rrezik për shumë përdorues dhe mundësojnë përfitimin e privilegjeve ose mundësive të zgjeruara.

Vulnerabilitetet e zbuluara me ndihmĂ«n e asistentĂ«ve AI gjithmonĂ« rekomandohet tĂ« diskutohen publikisht, pasi probleme tĂ« tilla shpesh zbulohen njĂ«kohĂ«sisht nga disa kĂ«rkues. NĂ« kĂ«tĂ« rast, nuk duhet tĂ« zbulohet nĂ« raport eksploitativ — Ă«shtĂ« e mjaftueshme tĂ« pĂ«rmendet se ai Ă«shtĂ« i disponueshĂ«m dhe t'i dĂ«rgohet nĂ« mĂ«nyrĂ« private nĂ« pĂ«rgjigje tĂ« kĂ«rkesĂ«s sĂ« mbikĂ«qyrĂ«sit.

Veçmas përshkruhen rregullat për dërgimin e raporteve të krijuara me ndihmën e asistentëve AI. Të tilla raporte dërgohen shumë dhe falë tyre herë pas here arrihet të zbulohet gabime në pjesët e kodit që nuk janë rishikuar mirë, por mbikëqyrësit shpesh i injorojnë ato për shkak të cilësisë së ulët dhe pasaktësive. Kërkesat kryesore për raportet e krijuara me ndihmën e AI janë:

  • ShkurtĂ«si, pa ujĂ« dhe me pĂ«rshkrimin e asaj qĂ« Ă«shtĂ« thelbĂ«sore dhe detajet e rĂ«ndĂ«sishme nĂ« fillim.
  • VetĂ«m tekst i pastĂ«r, pa etiketa Markdown dhe dekorime.
  • Kuptimi i modelit tĂ« kĂ«rcĂ«nimeve dhe shĂ«nimi i fakteve tĂ« verifikueshme (p.sh., 'gabimi lejon çdo pĂ«rdorues tĂ« fitojĂ« CAP_NET_ADMIN'), jo imagjinata teorike dhe supozime pĂ«r pasojat e vulnerabilitetit.
  • Para dĂ«rguar raportin, Ă«shtĂ« e domosdoshme tĂ« testoni me kujdes funksionalitetin e exploit-it tĂ« formuar pĂ«rmes AI dhe tĂ« siguroheni pĂ«r mundĂ«sinĂ« e riprodhimit tĂ« problemit.
  • PĂ«rfshirja e AI pĂ«r zhvillimin dhe testimin e njĂ« zgjidhjeje pĂ«r problemin e identifikuar.

Sipas statistikave të shoqëruesve, shumica e raporteve të gabimeve të dërguara si rregullime të vulnerabiliteteve nuk janë ato, dhe duhet të trajtohen në mënyrë të zakonshme si gabime të zakonshme. Për të ndarë vulnerabilitetet nga gabimet e zakonshme, është përshkruar një model kërcënimi për bërthamën Linux. Mes mundësive dhe garancive, shkelja e të cilave mund të konsiderohet si vulnerabilitet:

  • Izolimi nĂ« nivelin e pĂ«rdoruesve: qasje nĂ« skedarĂ«t vetĂ«m pĂ«r pronarin, memoria e procesit e pa aksesueshme pĂ«r pĂ«rdoruese tĂ« tjerĂ«, ptrace i ndaluar pĂ«r proceset e huaja, izolimi IPC dhe komunikimeve rrjet.
  • Mbrojtja e bazuar nĂ« capabilities: pa CAP_SYS_ADMIN nuk mund tĂ« ndryshohet konfigurimi i bĂ«rthamĂ«s, memoria, gjendja e sistemit, pa CAP_NET_ADMIN nuk mund tĂ« ndryshohen cilĂ«simet rrjetore ose tĂ« kapet trafik, pa CAP_SYS_PTRACE nuk mund tĂ« gjurmohen proceset e pĂ«rdoruesve tĂ« tjerĂ«.
  • HapĂ«sira e emrave tĂ« identifikuesve tĂ« pĂ«rdoruesve (CONFIG_USER_NS) lejon pĂ«rdoruesit e papĂ«rjashtuar tĂ« krijojnĂ« ambientet e tyre tĂ« izoluar, nga tĂ« cilat nuk mund tĂ« ndikojnĂ« nĂ« hapĂ«sirĂ«n globale tĂ« emrave, pĂ«r shembull, tĂ« ndryshojnĂ« kohĂ«n, tĂ« ngarkojnĂ« module dhe tĂ« montojnĂ« pajisje bllokuese.
  • Interface-t e debug-imit (/proc/kmsg, perf, debugfs), pĂ«rmes tĂ« cilave mund tĂ« toeganget informacioni konfidencial, janĂ« nĂ« dispozicion vetĂ«m pas autorizimit tĂ« qartĂ« nga administratori.

Mundësitë që nuk konsiderohen si vulnerabilitete:

  • PĂ«rdorimi i degĂ«ve tĂ« vjetra tĂ« bĂ«rthamĂ«s.
  • Krijimi me aktivizimin e opsioneve pĂ«r zhvillues ose qĂ« zvogĂ«lojnĂ« sigurinĂ« (pĂ«r shembull, CONFIG_NOMMU).
  • Caktimi i cilĂ«simeve tĂ« pasigurta sysctl, opsioneve tĂ« linjĂ«s sĂ« komandĂ«s, tĂ« drejtat e aksesit nĂ« FS, capabilities ose hapja e qasjes pĂ«r pĂ«rdoruesit e papĂ«rjashtuar nĂ« interface tĂ« privilegjuara (pĂ«r shembull, qasja pĂ«r shkrim nĂ« procfs dhe debugfs).
  • Problemet nĂ« funksionet e destinuara vetĂ«m pĂ«r zhvillimin dhe debug-imin e bĂ«rthamĂ«s, si LOCKDEP, KASAN dhe FAULT_INJECTION, tĂ« cilat nuk janĂ« tĂ« destinuara pĂ«r t'u aktivizuar nĂ« konfigurime operative.
  • Problemet nĂ« drivera, module dhe nĂ«n-sisteme qĂ« ndodhen nĂ« seksionin STAGING ose janĂ« shĂ«nuar si eksperimentale, tĂ« pasigurta ose jashtĂ« funksionit.
  • PĂ«rdorimi i moduleve tĂ« palĂ«ve tĂ« treta nĂ« bĂ«rthamĂ« ose fork-eve tĂ« paformale tĂ« bĂ«rthamĂ«s.
  • KĂ«rkesa pĂ«r privilegje tĂ« tepruara, siç Ă«shtĂ« nevoja pĂ«r tĂ« kryer veprime me tĂ« drejtat root ose nga njĂ« pĂ«rdorues me tĂ« drejta CAP_SYS_ADMIN, CAP_NET_ADMIN, CAP_SYS_RAWIO dhe CAP_SYS_MODULE.
  • Sulmet teorike qĂ« kĂ«rkojnĂ« kushte laboratorike, miliarda pĂ«rpjekje, emulimin ose modifikimin e pajisjeve, shpenzime disproporcionale dhe konfigurime jorealiste (p.sh. sisteme me dhjetĂ«ra mijĂ«ra bĂ«rthama CPU).
  • Shmangia e mekanizmave tĂ« mbrojtjes (p.sh. ASLR) pa demonstruar njĂ« eksploatues. Mungesa e kontrollimeve tĂ« argumenteve dhe kodet e kthyera tĂ« gabimeve qĂ« nuk kanĂ« pasoja tĂ« qarta.
  • Leak-a rastĂ«sore tĂ« informacionit, tĂ« cilat nuk kontrollohen nga sulmuesit, siç janĂ« tĂ« dhĂ«nat mbetĂ«se nĂ« mesazhet e gabimeve dhe leak-et e adresave/pikave tĂ« memories sĂ« bĂ«rthamĂ«s pa mundĂ«si direkte pĂ«r t'u shfrytĂ«zuar.
  • Gabimet gjatĂ« montimit tĂ« imazheve tĂ« dĂ«mtuara tĂ« disqeve, nĂ«se drejtuesi nuk Ă«shtĂ« shpallur i pĂ«rshtatshĂ«m pĂ«r t'u pĂ«rdorur me bartĂ«s tĂ« pabesueshĂ«m. Problemet me imazhet e disqeve, tĂ« zbuluara dhe tĂ« korrigjuara pĂ«rmes ekzekutimit tĂ« mjeteve fsck.
  • Sulmet qĂ« kĂ«rkojnĂ« qasje fizike nĂ« pajisje, modifikimin e pajisjeve ose lidhjen e pajisjeve harduerike, tĂ« tilla si karta pĂ«r sulm nĂ« DMA dhe analizatorĂ« logjikĂ«, nĂ«se sistemi nuk Ă«shtĂ« konfiguruar posaçërisht pĂ«r tĂ« mbrojtur nga kĂ«to sulme (IOMMU).
  • Regresionet me funksionalitet dhe performancĂ«, tĂ« cilat mund tĂ« zgjidhen duke konfiguruar tĂ« drejtat dhe kufizimet.

Burimi: opennet.ru

Bleni hostin e besueshĂ«m pĂ«r faqet me mbrojtje nga DDoS, VPS VDS servera đŸ”„ Bli hostin e besueshĂ«m pĂ«r faqet me mbrojtje nga DDoS, VPS VDS servera | ProHoster