grsecurity

• 11 sierpnia, 2009
• Tagi: bezpieczeństwo, chroot, grsecurity, kernel, linux

grsecurity nie jest softem samo w sobie, jest to zestaw poprawek i zmian, które służą do zwiększenia bezpieczeństwa maszyny do której jest zdalny dostęp z miejsc o niepotwierdzonym statusie bezpieczeństwa np. logowanie do shell’a.

po co mi to wszystko

Zainstalowanie pakietu poprawek zwiększa bezpieczeństwo systemu i jest kolejnym elementem zabezpieczenia przed atakami zarówno z zewnątrz jaki i z wewnątrz systemu.

• losowo przydzielane: uid, gid i pid
• zabezpieczenie /proc przed pokazywaniem właścicieli procesów
• zabezpieczenie symlinków przed wyścigiem/tmp
• zabezpiczenie FIFO
• zabezpieczenie dmesg(8)
• audyty i alerty mogą logować IP atakującego

Użycie tego zestawu do środowiska w którym używamy chroot’ów pozwala na

• uniemożliwia wyjście z chroota, nawet rootowi
• zabezpiecza pamięć używaną przez chrooty
• uniemożliwia killowanie procesów nie należących do chroota
• uniemożliwia wykonania z zewnątrz chroota poleceń: ptrace, capget, setpgid, getpgid, getsid
• brak możliwości przeglądania procesów z poza chroota
• uniemożliwia mount i remount
• wyłącza komendę pivot_root
• zabezpiecza przed podwójnym chrootowaniem
• wyłącz fchdir poza chrootem
• inne…

instalacja i konfiguracja

Proces instalacji wygląda dość ciekawie, ponieważ nie polega na „zwykłym” instalowaniu pakietów, tylko na przekompilowaniu kernela wraz z poprawkami grsecurity. W tym celu należy ściągnąć grsecurity, gradm oraz niezmodyfikowane, oficjalne źródło kernela. Ważne jest to aby wybrać wersję dokładnie zgodne ze sobą.

Ze względów bezpieczeństwa (chcemy przecież je zwiększyć) należy po ściągnięciu zweryfikować archiwa za pomocą GPG i dostępnych sygnatur. Proces weryfikacji plików jest dokładnie opisany po angielsku i nie ma sensu go przepisywać.

Następnym krokiem jest nałożenie patcha na źródła kernela i skompilowanie go. Mamy do wybory trzy poziomy od niskiego do wysokiego oraz wybór ręczny dla zaawansowanych użytkowników.

Po skompilowaniu najłatwiej użyć nowego jądra na debianowatych, po prostu poprzez stworzenie deb’a i jego instalację, co również opisane jest na wikibooks.

• feed z komentarzami
• trackback