[rfree]

Hej #spamlistawolnosci / #cypherpunk
jeżeli nie znacie jeszcze #grsecurity to polecam zobaczyć http://grsecurity.net/ ten projekt Open Source to olbrzymi patch na #kernel #linux (aktualnie serii 3.2, 3.14, 4.0)
który rewelacyjnie podnosi jego bezpieczeństwo.

Patch PaX broni kernela i programów na poziomie pamięci: strony ram są non-executable, strony kernela też. To oni byli pionierami tej techniki, którą potem wprowadziły nowoczesne procesory jako NX-bit, windows potem tego używał, OpenBSD też.

Losowy układ pamięci (potem linux i windows zaczeli ten pomysł kopiować od nich - ASLR).

Pozostają pionierami w tej dziedzinie, o lata przed Linux vanilla / #openbsd / i oczywiście przed #windows oraz Macintosh.

Drugą połową tego patcha jest właściwie grsecurity czyli system RBAC.
To super dokładne reguły, trochę jak firewall, mówiące jaki program które pliki może kiedy używać w jaki sposób.

Na przykład:
tylko program ssh ma prawo czytać pliki z ~/.ssh/id_rsa*
inny program który by próbował to zrobić będzie zabity i zgłoszony (w logach systemu). Jeżeli program był zdalny to IP sprawcy też powinno być zalogowane.

W praktyce albo stosuje się to samemu na kernel, np. Hardened #gentoo to robi, albo bierze się gotową paczkę.

Gotowe paczki dla #debian są opracowywane przez projekt #mempo nad którym pracuję, ale o tym napiszę przy innej okazji oraz gdy całość będzie 100% gotowa do wygodnego używania (natomiast admin/programiści mogą pobrać kod z http://deb.pl.mempo.org i z github.com/mempo/mempo-kernel/ mały skrypt który pobiera patche, buduje, itd)

#security #it #hacking

[b.....i]

@rfree: takie haki to ja lubię, poczytam o tym wieczorem

[WMPP]

@rfree: Fajnie to opisałeś, grsecurity znam od lat i używam na serwerach, ale zawsze kończyło się na ustawieniu odpowiednich opcji w konfiguracji kernela.

[fervi]

@rfree: Jak napiszesz o Mempo to daj znać, bo chętnie parę rzeczy się zapytam :P

[rfree]

@WMPP: dzięki. No właśnie, teraz mamy różne wydania kernela z tym wbudowanym, najlepszy ma WSZYSTKIE opcje, plus jeszcze różne dziwne opcje kernela, np. czyszczenie i/lub debugowanie pamięci RAM przed/po każdej alokacji.

Działa dużo wolniej ale pewnie wiele nieznanych dziś błedów 0day by zablokowało.

A co do profili RBAC to też jest to temat którym musimy się zająć (z znajomymi od grsec/debian) ale to w przyszłości :)

[T.....t]

@rfree: Słuchaj, mam Nokię N900 na Maemo 5 (ARMowy Debian z nakładką Hildon), można to jakoś dodać do jądra?

[rfree]

@Trzyzet: na kanale "#grsecurity" na #irc w sieci irc.oftc.net jest gość strcat bodajrze, on się zajmuje używanie grsec na telefonach komórkowych; chyba głównie na Android.

Jak będziesz uprzejmy i poczekasz na odpowiedź i mądrze zagadasz to pewnie nawet pomoże ;) a raczej sie na tym dobrze zna. Oczywiście po angielsku.
Oczywiście najpierw wyszukiwarka żeby nie pytać o coś oczywistego :)

Natomiast, skoro Maemo jest oparete jak czytam też o Linux

[WMPP]

@rfree: Jakoś strasznie dużo tych opcji pododawanych, na serwerze typu shell trzeba o wiele mniej ich zaznaczać, inaczej nie da się pracować ;)

Mam o GRsec duży kawałem pracy inżynierskiej napisany.

[rfree]

@WMPP: Oo fajnie. Może podeślesz na PM

Co do opcji, to ja mam testowy serwer gdzie jest absolutnie każda jedna opcja GR i jeszcze więcej dołożone potem z kernel hacking.

Działa bez problemu, tylko wolno :)

Oczywiście trzeba potem porobić odpowiednie ustawienia, dodać do grup które mają odpowiednie prawa itd

[T.....t]

@rfree: źródła do kompilacji kernela są, ale niestety dla 2.6 :/

[rfree]

@Trzyzet: jeżeli tylko 2.6 to nic z tego. Używanie tak bardzo starej wersji grsec które jeszcze miała wsparcie dla 2.6 jest bez sensu odnośnie bezpieczeństwa.

Może do autorów Maemo napisz czy nie będą przechodzić na 3.14 lub po prostu na 4.0. Ten Twoim sprzymierzeńcem pewnie, jeżeli byś z tym działał.

[T.....t]

Niestety platforma jest oficjalnie od 2012go roku martwa, jest wsparcie wyłącznie pisane przez użytkowników w postaci CSSU. poszukam, bo może da radę skompilować nowszy kernel.

[T.....t]

@rfree: Opadła mi kopara https://github.com/pali/linux-n900/tree/v4.1-rc4-n900 ( ͡° ͜ʖ ͡°)ﾉ⌐■-■

[rfree]

@Trzyzet: fajnie ʕ•ᴥ•ʔ

[T.....t]

@rfree: Napisał mi że ze źródłami, które mu podesłałem (ten sam link co wyżej) Nie będzie najmniejszego problemu skompilować całość po prostu dodając patcha. Aż mnie zamurowało.

[rfree]

@Trzyzet: No widzisz ( ͡° ͜ʖ ͡°)

Zbieram znajomych aby pisać coś ciekawego w trym tagu #kryptografia i #spamlistawolnosci może napiszesz jak się uda z tym eksperyment gdy spróbujesz użyć? (też taguj #grsecurity).

P.s. ciągle znajomi szukają (dodatkowych) firm/inwestorów/partnerów które mogły by coś pomóc w promocji lub w wydawaniu rozwiązań z takimi technologiami (komercyjnych lub darmowych, no ale zyskownych - w każdym razie ogólnie open source

[T.....t]

@rfree: Okej. W ogóle polecam samą Nokię N900 albo Jollę, ponieważ obydwa telefony to nieco zmodowany Debian na ARMowych sterydach. Na obydwu można postawić pełnego, ARMowego liniacza, polecam Archa, ewentualnie gotowego KaliLinux. Jolla uruchamia Androidowe aplikacje (posiada Dalvika, Nokia też kiedyś miała ale zaginął w akcji).

Co do samej kompilacji to przysiądę się do niej w weekend, to trzeba na spokojnie odpalić.