{"id":29880,"date":"2019-10-31T21:32:27","date_gmt":"2019-10-31T18:32:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/milliony-binarnikov-spustya-kak-ukreplyalsya-linux\/"},"modified":"2019-10-31T21:32:27","modified_gmt":"2019-10-31T18:32:27","slug":"milliony-binarnikov-spustya-kak-ukreplyalsya-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sq\/blog\/milliony-binarnikov-spustya-kak-ukreplyalsya-linux","title":{"rendered":"Miliona binar\u00ebsh m\u00eb von\u00eb. Si forcohej Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MilionaTL;DR<\/b>. N\u00eb k\u00ebt\u00eb artikull, ne do t\u00eb shqyrtojm\u00eb skemat e mbrojtjes (hardening schemes) q\u00eb funksionojn\u00eb nga kutia n\u00eb pes\u00eb distribucione t\u00eb njohura t\u00eb Linux. P\u00ebr secilin, ne mor\u00ebm konfigurimin e default t\u00eb b\u00ebrtham\u00ebs, ngarkuam t\u00eb gjitha paketat dhe analizuam skemat e mbrojtjes n\u00eb skedar\u00ebt binar\u00eb t\u00eb integruar. Distribucionet q\u00eb shqyrtohen p\u00ebrfshijn\u00eb OpenSUSE 12.4, Debian 9, CentOS, RHEL 6.10 dhe 7, si dhe Ubuntu 14.04, 12.04 dhe 18.04 LTS. <\/p>\n

T\u00eb dh\u00ebnat konfirmojn\u00eb se madje edhe skemat baze, t\u00eb tilla si canary-stacks dhe kod i pavarur nga pozita, nuk p\u00ebrdoren ende nga t\u00eb gjith\u00eb. Situata \u00ebsht\u00eb edhe m\u00eb e keqe p\u00ebr kompajler\u00ebt, kur b\u00ebhet fjal\u00eb p\u00ebr mbrojtjen nga dob\u00ebsit\u00eb si p\u00ebrplasja e stack-ut (stack clash), t\u00eb cilat mor\u00ebn v\u00ebmendje n\u00eb janar pas publikimit t\u00eb informacionit mbi dob\u00ebsit\u00eb n\u00eb systemd<\/a><\/noindex>. Por nuk \u00ebsht\u00eb gjith\u00e7ka aq pa shpres\u00eb. Nj\u00eb pjes\u00eb e konsiderueshme e binar\u00ebve implementojn\u00eb metoda t\u00eb bazave mbrojt\u00ebse, dhe numri i tyre po rritet nga versioni n\u00eb version. <\/p>\n

Kontrolli tregoi se numri m\u00eb i madh i metodave mbrojt\u00ebse \u00ebsht\u00eb implementuar n\u00eb Ubuntu 18.04 n\u00eb nivelin e OS dhe aplikacioneve, pastaj ndjek Debian 9. Nga ana tjet\u00ebr, OpenSUSE 12.4, CentOS 7 dhe RHEL 7 gjithashtu kan\u00eb implementuar skemat baz\u00eb mbrojt\u00ebse, nd\u00ebrsa mbrojtja nga p\u00ebrplasja e stack-ut aplikohet m\u00eb gjer\u00ebsisht me nj\u00eb set m\u00eb t\u00eb dendur paketash si defolt.
\n<\/a><\/noindex><\/p>\n

Hyrje<\/h1>\n

\nT\u00eb sigurosh cil\u00ebsi t\u00eb lart\u00eb t\u00eb softuerit \u00ebsht\u00eb e v\u00ebshtir\u00eb. Pavar\u00ebsisht numrit t\u00eb madh t\u00eb veglave t\u00eb avancuara p\u00ebr analiz\u00ebn statike t\u00eb kodit dhe analiz\u00ebn dinamike gjat\u00eb ekzekutimit, si dhe p\u00ebrparimeve t\u00eb konsiderueshme n\u00eb zhvillimin e kompajler\u00ebve dhe gjuh\u00ebve programimi, softueri modern ende vuajti nga dob\u00ebsit\u00eb q\u00eb vazhdimisht shfryt\u00ebzohen nga aktor\u00ebt keqdash\u00ebs. Situata \u00ebsht\u00eb edhe m\u00eb e keqe n\u00eb ekosistemet q\u00eb p\u00ebrfshijn\u00eb kod t\u00eb vjet\u00ebruar. N\u00eb k\u00ebto raste, ne jo vet\u00ebm q\u00eb ballafaqohemi me problemin e p\u00ebrhersh\u00ebm t\u00eb gjetjes s\u00eb gabimeve t\u00eb mundshme t\u00eb shfryt\u00ebzueshme, por gjithashtu jemi t\u00eb kufizuar nga kornizat rigoroze t\u00eb pastrimit t\u00eb prapambetjes, t\u00eb cilat shpesh k\u00ebrkojn\u00eb t\u00eb ruajn\u00eb kodin e kufizuar, dhe sa m\u00eb keq, t\u00eb dob\u00ebt apo me gabime.<\/p>\n

K\u00ebtu hyjn\u00eb n\u00eb loj\u00eb metodat e mbrojtjes ose forcimit t\u00eb programeve (hardening). Disa lloje gabimesh nuk jemi n\u00eb gjendje t'i parandalojm\u00eb, por mund t\u00eb b\u00ebjm\u00eb jet\u00ebn e aktor\u00ebve keqdash\u00ebs m\u00eb t\u00eb v\u00ebshtir\u00eb dhe t\u00eb zgjidhim pjes\u00ebrisht problemin duke parandaluar ose penguar shfryt\u00ebzimin<\/i> k\u00ebtyre gabimeve. Kjo mbrojtje p\u00ebrdoret n\u00eb t\u00eb gjitha sistemet operative moderne, megjithat\u00eb metodat ndryshojn\u00eb shum\u00eb n\u00eb kompleksitet, efektivitet dhe performanc\u00eb: nga kanaret e stack-ut (stack canaries) dhe ASLR<\/a><\/noindex> deri n\u00eb mbrojtje t\u00eb plot\u00eb CFI<\/a><\/noindex> dhe ROP<\/a><\/noindex>. N\u00eb k\u00ebt\u00eb artikull do t\u00eb shqyrtojm\u00eb metodat e mbrojtjes q\u00eb aplikohen n\u00eb distribucionet m\u00eb t\u00eb njohura t\u00eb Linux n\u00eb konfigurimin e parazgjedhur, si dhe do t\u00eb studiojm\u00eb tiparet e binar\u00ebve q\u00eb shp\u00ebrndahen p\u00ebrmes sistemeve t\u00eb menaxhimit t\u00eb paketave t\u00eb \u00e7do distribucioni.<\/p>\n

CVE dhe siguria<\/h3>\n

\nT\u00eb gjith\u00eb ne kemi par\u00eb artikuj me tituj si \"Aplikacionet m\u00eb t\u00eb cenueshme t\u00eb vitit\" ose \"Sistemet operative m\u00eb t\u00eb cenueshme\". Zakonisht, aty jepet statistika mbi numrin total t\u00eb regjistrimeve p\u00ebr cenueshm\u00ebri t\u00eb tipit CVE (Cenueshm\u00ebri dhe Ekspozita e zakonshme)<\/a><\/noindex>, e marr\u00eb nga Baza Komb\u00ebtare e Cenueshm\u00ebrive (NVD)<\/a><\/noindex> nga NIST<\/a><\/noindex> dhe burime t\u00eb tjera. M\u00eb pas, k\u00ebto aplikacione ose sisteme operative renditen sipas numrit t\u00eb CVE. Fatkeq\u00ebsisht, ndon\u00ebse CVE jan\u00eb shum\u00eb t\u00eb dobishme p\u00ebr gjurmimin e problemeve dhe informimin e ofruesve dhe p\u00ebrdoruesve, ato flasin pak p\u00ebr sigurin\u00eb reale t\u00eb softuerit.<\/p>\n

Si nj\u00eb shembull, le t\u00eb shqyrtojm\u00eb numrin total t\u00eb CVE-ve p\u00ebr kat\u00ebr vitet e fundit p\u00ebr b\u00ebrtham\u00ebn Linux dhe pes\u00eb distribucionet m\u00eb popullor\u00eb n\u00eb sh\u00ebrbim, konkretisht Ubuntu, Debian, Red Hat Enterprise Linux dhe OpenSUSE.<\/p>\n

\"Miliona
\nFig. 1<\/i><\/p>\n

\u00c7far\u00eb na thot\u00eb ky graf? A do t\u00eb thot\u00eb m\u00eb shum\u00eb CVE se nj\u00eb distribucion \u00ebsht\u00eb m\u00eb i cenuesh\u00ebm se nj\u00eb tjet\u00ebr? Nuk ka nj\u00eb p\u00ebrgjigje. P\u00ebr shembull, n\u00eb k\u00ebt\u00eb artikull do t\u00eb shihni se Debian ka mekanizma mbrojt\u00ebs m\u00eb t\u00eb rrept\u00eb n\u00eb krahasim me OpenSUSE ose RedHat Linux, dhe megjithat\u00eb Debian ka m\u00eb shum\u00eb CVE. Megjithat\u00eb, ato nuk n\u00ebnkuptojn\u00eb domosdoshm\u00ebrisht nj\u00eb siguri t\u00eb dob\u00ebsuar: edhe prania e CVE nuk tregon n\u00ebse nj\u00eb cenueshm\u00ebri \u00ebsht\u00eb e shfryt\u00ebzueshme<\/i>. Pikat e rrezikshm\u00ebris\u00eb ofrojn\u00eb nj\u00eb ide se sa e mundshme<\/i> \u00ebsht\u00eb shfryt\u00ebzimi i cenueshm\u00ebris\u00eb, por n\u00eb fund t\u00eb fundit shfryt\u00ebzueshm\u00ebria varet n\u00eb mas\u00eb t\u00eb madhe nga mbrojtja e pranishme n\u00eb sistemet e prekur, si dhe nga burimet dhe mund\u00ebsit\u00eb e sulmuesve. P\u00ebr m\u00eb tep\u00ebr, mungesa e raporteve CVE nuk thot\u00eb asgj\u00eb p\u00ebr cenueshm\u00ebrive t\u00eb pa regjistruara ose t\u00eb panjohura<\/i> vuln\u00e9rabilitetet. Dallimi n\u00eb CVE mund t\u00eb shpjegohet jo nga cil\u00ebsia e softuerit, por nga faktor\u00eb t\u00eb tjer\u00eb, p\u00ebrfshir\u00eb burimet e ndara p\u00ebr testim ose madh\u00ebsin\u00eb e baz\u00ebs s\u00eb p\u00ebrdoruesve. N\u00eb shembullin ton\u00eb, numri m\u00eb i madh i CVE-s\u00eb p\u00ebr Debian mund t\u00eb tregoj\u00eb thjesht se Debian ofron m\u00eb shum\u00eb paketa softueri. <\/p>\n

Sigurisht, sistemi CVE ofron informacion t\u00eb dobish\u00ebm q\u00eb lejon krijimin e mbrojtjeve p\u00ebrkat\u00ebse. Sa m\u00eb mir\u00eb t\u00eb kuptojm\u00eb arsyet e d\u00ebshtimit t\u00eb programit, aq m\u00eb e leht\u00eb \u00ebsht\u00eb t\u00eb p\u00ebrcaktojm\u00eb m\u00ebnyrat e mundshme t\u00eb shfryt\u00ebzimit dhe t\u00eb zhvillojm\u00eb mekanizmat p\u00ebrkat\u00ebs. identifikimit dhe reagimit<\/i>. N\u00eb fig. 2 jan\u00eb paraqitur kategorit\u00eb e vulnerabiliteteve p\u00ebr t\u00eb gjitha distribucionet gjat\u00eb kat\u00ebr viteve t\u00eb fundit (burimi<\/a><\/noindex>). \u00cbsht\u00eb e qart\u00eb q\u00eb shumica e CVE-ve bien n\u00eb kategorit\u00eb e m\u00ebposhtme: ndalim sh\u00ebrbimi (DoS), ekzekutimi i kodit, mbingarkesa, d\u00ebmtimi i memories, rrjedhja (ekstraktimi) i informacionit dhe eskalimi i privilegjeve. Megjith\u00ebse shum\u00eb CVE jan\u00eb renditur disa her\u00eb n\u00eb kategori t\u00eb ndryshme, n\u00eb p\u00ebrgjith\u00ebsi, t\u00eb nj\u00ebjtat probleme mbeten nga viti n\u00eb vit. N\u00eb pjes\u00ebn e ardhshme t\u00eb artikullit do t\u00eb vler\u00ebsojm\u00eb p\u00ebrdorimin e skemave t\u00eb ndryshme t\u00eb mbrojtjes p\u00ebr t\u00eb parandaluar shfryt\u00ebzimin e k\u00ebtyre vulnerabiliteteve.<\/p>\n

\"Miliona
\nFig. 2<\/i><\/p>\n

Detyrat<\/h3>\n

\nN\u00eb k\u00ebt\u00eb artikull ne synojm\u00eb t\u00eb p\u00ebrgjigjemi n\u00eb pyetjet e m\u00ebposhtme:<\/p>\n