{"id":29880,"date":"2019-10-31T21:32:27","date_gmt":"2019-10-31T18:32:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/milliony-binarnikov-spustya-kak-ukreplyalsya-linux\/"},"modified":"2019-10-31T21:32:27","modified_gmt":"2019-10-31T18:32:27","slug":"milliony-binarnikov-spustya-kak-ukreplyalsya-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sq\/blog\/milliony-binarnikov-spustya-kak-ukreplyalsya-linux","title":{"rendered":"Miliona binar\u00ebsh m\u00eb von\u00eb. Si u forcua Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MilionaTL;DR<\/b>. N\u00eb k\u00ebt\u00eb artikull ne shqyrtojm\u00eb skemat mbrojt\u00ebse (hardening schemes) q\u00eb funksionojn\u00eb nga kutia n\u00eb pes\u00eb distribucione t\u00eb njohura Linux. P\u00ebr secilin kemi marr\u00eb konfigurimin e b\u00ebrthames si ndihm\u00eb, kemi shkarkuar t\u00eb gjitha paketat dhe kemi analizuar skemat e mbrojtjes n\u00eb skedar\u00ebt binar\u00eb t\u00eb p\u00ebrfshir\u00eb. Diskutohen distribucionet OpenSUSE 12.4, Debian 9, CentOS, RHEL 6.10 dhe 7, si dhe Ubuntu 14.04, 12.04 dhe 18.04 LTS. <\/p>\n

T\u00eb dh\u00ebnat konfirmojn\u00eb se madje edhe skemat baz\u00eb, si kanarinat n\u00eb sked\u00eb dhe kodi i pavarur nga pozita, ende nuk p\u00ebrdoren nga t\u00eb gjith\u00eb. Situata \u00ebsht\u00eb edhe m\u00eb e keqe me kompjilator\u00ebt kur b\u00ebhet fjal\u00eb p\u00ebr mbrojtjen nga dob\u00ebsit\u00eb si\u00e7 \u00ebsht\u00eb p\u00ebrplasjeja e skedave (stack clash), e cila ka marr\u00eb v\u00ebmendje n\u00eb janar pas publikimit t\u00eb informacionit mbi dob\u00ebsit\u00eb n\u00eb systemd<\/a><\/noindex>. Por nuk \u00ebsht\u00eb gjith\u00e7ka kaq d\u00ebshp\u00ebruese. N\u00eb nj\u00eb pjes\u00eb t\u00eb madhe t\u00eb binar\u00ebve jan\u00eb zbatuar metoda t\u00eb bazuara mbrojt\u00ebse, dhe numri i tyre po rritet nga versioni n\u00eb version. <\/p>\n

Kontrolli tregoi se numri m\u00eb i madh i metodave t\u00eb mbrojtjes \u00ebsht\u00eb realizuar n\u00eb Ubuntu 18.04 n\u00eb nivelin e OS dhe aplikacioneve, t\u00eb ndjekur nga Debian 9. Nga ana tjet\u00ebr, n\u00eb OpenSUSE 12.4, CentOS 7 dhe RHEL 7 gjithashtu jan\u00eb realizuar skemat themelore t\u00eb mbrojtjes, dhe mbrojtja nga p\u00ebrplasje t\u00eb stack-ut aplikohet edhe m\u00eb gjer\u00ebsisht n\u00eb nj\u00eb grup shum\u00eb m\u00eb t\u00eb dendur paketash si\u00e7 \u00ebsht\u00eb n\u00eb m\u00ebnyr\u00eb t\u00eb parazgjedhur.
\n<\/a><\/noindex><\/p>\n

Hyrje<\/h1>\n

\n\u00cbsht\u00eb e v\u00ebshtir\u00eb t\u00eb sigurohet nj\u00eb cil\u00ebsi e lart\u00eb e softuerit. Megjith\u00ebse ekziston nj\u00eb num\u00ebr i madh mjetesh t\u00eb avancuara p\u00ebr analiz\u00ebn statike t\u00eb kodit dhe analiz\u00ebn dinamike gjat\u00eb ekzekutimit, si dhe p\u00ebrparime t\u00eb konsiderueshme n\u00eb zhvillimin e kompajler\u00ebve dhe gjuh\u00ebve t\u00eb programimit, softueri modern ende vuajti nga dob\u00ebsi q\u00eb vazhdojn\u00eb t\u00eb shfryt\u00ebzohen nga sulmuesit. Situata \u00ebsht\u00eb akoma m\u00eb e keqe n\u00eb ekosistemet q\u00eb p\u00ebrfshijn\u00eb kod t\u00eb vjetruar. N\u00eb k\u00ebto raste, ne jo vet\u00ebm q\u00eb p\u00ebrballemi me problemin e p\u00ebrhersh\u00ebm t\u00eb identifikimit t\u00eb gabimeve q\u00eb mund t\u00eb shfryt\u00ebzohen, por jemi t\u00eb kufizuar nga korniza rigoroze t\u00eb p\u00ebrputhshm\u00ebris\u00eb prapa, t\u00eb cilat shpesh k\u00ebrkojn\u00eb q\u00eb t\u00eb ruajm\u00eb kodin e kufizuar, dhe akoma m\u00eb keq, t\u00eb dob\u00ebt ose me probleme.<\/p>\n

K\u00ebtu hyjn\u00eb n\u00eb loj\u00eb metodat e mbrojtjes ose forcuese (hardening). Disa lloje gabimesh ne nuk mund t'i parandalojm\u00eb, por mund t'i b\u00ebjm\u00eb jet\u00ebn nj\u00eb sulmuesi m\u00eb t\u00eb v\u00ebshtir\u00eb dhe t\u00eb zgjidhim pjes\u00ebrisht problemin duke parandaluar ose penguar k\u00ebto gabime. eksploatimi<\/i> Kjo mbrojtje p\u00ebrdoret n\u00eb t\u00eb gjitha sistemet operuese moderne, por metodat ndryshojn\u00eb shum\u00eb n\u00eb kompleksitet, eficienc\u00eb dhe performanc\u00eb: nga kanaret e stackut (stack canaries) dhe ASLR<\/a><\/noindex> deri te mbrojtjet e plota. CFI<\/a><\/noindex> dhe ROP<\/a><\/noindex>. N\u00eb k\u00ebt\u00eb artikull do t\u00eb shqyrtojm\u00eb se cilat metoda mbrojtjeje p\u00ebrdoren n\u00eb shp\u00ebrndarjet m\u00eb t\u00eb njohura t\u00eb Linux n\u00eb konfigurimin e tyre si\u00e7 \u00ebsht\u00eb parazgjedhur, si dhe do t\u00eb studiojm\u00eb vetit\u00eb e binar\u00ebve q\u00eb shp\u00ebrndahen p\u00ebrmes sistemeve t\u00eb menaxhimit t\u00eb paketave p\u00ebr \u00e7do shp\u00ebrndarje.<\/p>\n

CVE dhe siguria<\/h3>\n

\nT\u00eb gjith\u00eb ne kemi par\u00eb artikuj me tituj t\u00eb till\u00eb si \"Aplikacionet m\u00eb t\u00eb prekura t\u00eb vitit\" ose \"Sistemet operuese m\u00eb t\u00eb prekura.\" Zakonisht, atje paraqiten statistika p\u00ebr numrin e p\u00ebrgjithsh\u00ebm t\u00eb regjistrimeve t\u00eb dob\u00ebsive, t\u00eb tilla si CVE (Dob\u00ebsit\u00eb dhe Ekspozitat e zakonshme)<\/a><\/noindex>, e marr\u00eb nga Baza Komb\u00ebtare e Dob\u00ebsive (NVD)<\/a><\/noindex> nga NIST<\/a><\/noindex> dhe burimeve t\u00eb tjera. M\u00eb von\u00eb, k\u00ebto aplikacione ose OS renditen sipas numrit t\u00eb CVE. Fatkeq\u00ebsisht, megjith\u00ebse CVE jan\u00eb shum\u00eb t\u00eb dobishme p\u00ebr ndjekjen e problemeve dhe informimin e ofruesve dhe p\u00ebrdoruesve, ato thon\u00eb pak p\u00ebr sigurin\u00eb reale t\u00eb software-it.<\/p>\n

P\u00ebr shembull, le t\u00eb shikojm\u00eb numrin e p\u00ebrgjithsh\u00ebm t\u00eb CVE p\u00ebr kat\u00ebr vitet e fundit p\u00ebr b\u00ebrtham\u00ebn Linux dhe pes\u00eb shp\u00ebrndarjet m\u00eb t\u00eb njohura t\u00eb server\u00ebve, konkretisht Ubuntu, Debian, Red Hat Enterprise Linux dhe OpenSUSE.<\/p>\n

\"Miliona
\nFig. 1<\/i><\/p>\n

\u00c7far\u00eb na thot\u00eb ky grafik? A do t\u00eb thot\u00eb numri m\u00eb i madh i CVE se nj\u00eb shp\u00ebrndarje \u00ebsht\u00eb m\u00eb e ekspozuar se tjetra? P\u00ebrgjigjja \u00ebsht\u00eb jo. P\u00ebr shembull, n\u00eb k\u00ebt\u00eb artikull do t\u00eb shihni se Debian ka mekanizma mbrojtjeje m\u00eb t\u00eb fort\u00eb n\u00eb krahasim me, p\u00ebr t\u00eb th\u00ebn\u00eb, OpenSUSE ose RedHat Linux, dhe megjithat\u00eb Debian ka m\u00eb shum\u00eb CVE. Megjithat\u00eb, ato nuk do t\u00eb thon\u00eb domosdoshm\u00ebrisht nj\u00eb siguri m\u00eb t\u00eb dob\u00ebt: edhe pranimi i CVE nuk thot\u00eb n\u00ebse nj\u00eb vler\u00ebsim \u00ebsht\u00eb i shfryt\u00ebzuesh\u00ebm<\/i>. Pik\u00ebt e r\u00ebnd\u00ebsis\u00eb japin nj\u00eb pasqyr\u00eb se sa e mundshme<\/i> p\u00ebrdorimi i dob\u00ebsive, por n\u00eb fund t\u00eb fundit shfrytshm\u00ebria n\u00eb mas\u00eb t\u00eb madhe varet nga mbrojtja e pranishme n\u00eb sistemet e prekura, si dhe nga burimet dhe kapacitetet e sulmuesve. P\u00ebr m\u00eb tep\u00ebr, mungesa e raporteve CVE nuk tregon asgj\u00eb p\u00ebr t\u00eb tjera t\u00eb pa regjistruara ose t\u00eb panjohura<\/i> dob\u00ebsi. Diferenca n\u00eb CVE mund t\u00eb shpjegohet jo nga cil\u00ebsia e softuerit, por nga faktor\u00eb t\u00eb tjer\u00eb, duke p\u00ebrfshir\u00eb burimet e ndara p\u00ebr testim, ose madh\u00ebsin\u00eb e baz\u00ebs s\u00eb p\u00ebrdoruesve. N\u00eb rastin ton\u00eb, nj\u00eb num\u00ebr m\u00eb i madh CVE n\u00eb Debian mund t\u00eb tregoj\u00eb thjesht se Debian ofron m\u00eb shum\u00eb paketa softueri. <\/p>\n

Natyrisht, sistemi CVE ofron informacion t\u00eb dobish\u00ebm q\u00eb lejon krijimin e mbrojtjeve p\u00ebrkat\u00ebse. Sa m\u00eb mir\u00eb ta kuptojm\u00eb shkakun e d\u00ebshtimit t\u00eb programit, aq m\u00eb e leht\u00eb \u00ebsht\u00eb t\u00eb p\u00ebrcaktojm\u00eb mund\u00ebsit\u00eb e shfryt\u00ebzimit dhe t\u00eb zhvillojm\u00eb mekanizma p\u00ebrkat\u00ebs p\u00ebr zbulim dhe reagim<\/i>. N\u00eb fig. 2 jan\u00eb treguar kategorit\u00eb e dob\u00ebsive p\u00ebr t\u00eb gjitha shp\u00ebrndarjet gjat\u00eb kat\u00ebr viteve t\u00eb fundit (burimi<\/a><\/noindex>). \u00cbsht\u00eb menj\u00ebher\u00eb e dukshme se shumica e CVE-t\u00eb bien n\u00eb kat\u00ebr kategori kryesore: sh\u00ebrbimi i refuzuar (DoS), ekzekutimi i kodit, mbushja e kufijve, d\u00ebmtimi i memories, shkalla e informacionit dhe escalimi i privilegjeve. Megjith\u00ebse shum\u00eb CVE jan\u00eb regjistruar disa her\u00eb n\u00eb kategori t\u00eb ndryshme, n\u00eb p\u00ebrgjith\u00ebsi t\u00eb nj\u00ebjtat probleme p\u00ebrs\u00ebriten nga viti n\u00eb vit. N\u00eb pjes\u00ebn tjet\u00ebr t\u00eb artikullit do t\u00eb vler\u00ebsojm\u00eb p\u00ebrdorimin e skemave t\u00eb ndryshme t\u00eb mbrojtjes p\u00ebr t\u00eb parandaluar shfryt\u00ebzimin e dob\u00ebsive t\u00eb p\u00ebrmendura.<\/p>\n

\"Miliona
\nFig. 2<\/i><\/p>\n

Detyrat<\/h3>\n

\nN\u00eb k\u00ebt\u00eb artikull, ne synojm\u00eb t\u00eb p\u00ebrgjigjemi n\u00eb pyetje t\u00eb m\u00ebposhtme:<\/p>\n