Re: [OBORONA-SPAM] Re: [gentoo-user-ru] hardened

[Vladimir Solomatin]

Alex Efros wrote:



Спасибо, очень познавательно.



> Краткое описание что подразумевается под "Hardened Gentoo" и что оно даёт.
> Hardened Gentoo это просто объединение нескольких разных, часто независимых
> друг от друга, проектов:
>
> - Hardened toolchain - специальные патчи на gcc/glibc/binutils:
>   * SSP - добавляет в бинарник защиту от переполнения буфера, т.е.
>     прога откомпилированная с SSP сама проверяет что у неё не
>     переполнили буфер и киляет сама себя если обнаруживает переполнение
>     (как следствие бага в самой программе или попытки её взломать
>     эксплойтом).
>   * PIE - не увеличивает защищённость сам по себе, но приводит к
>     генерации более гибкого кода, благодаря чему его можно будет
>     защитить на уровне ядра через PaX.
>   PIE и SSP не зависят друг от друга, и их можно использовать вместе и
>   по отдельности (по сути, после компиляции hardened toolchain можно
>   будет через gcc-config переключаться между всеми вариантами - PIE+SSP,
>   только PIE, только SSP, ничего (т.е. обычный gcc) - например, если
>   какая-то прога не будет компилироваться.


Сразу ставил stage1-x86-hardened-2.6-2005.1, bootstrap.sh и пр. Ядро - 

hardened-sources-2.6.11



Hardened Gentoo (http://www.gentoo.org/proj/en/hardened/index.xml) не 

читал, думал сначала поставлю, а потом уже разберусь.



# gcc-config -c

i686-pc-linux-gnu-3.3.6



# gcc-config -l

  [1] i686-pc-linux-gnu-3.3.6 *

  [2] i686-pc-linux-gnu-3.3.6-hardenednopie

  [3] i686-pc-linux-gnu-3.3.6-hardenednopiessp

  [4] i686-pc-linux-gnu-3.3.6-hardenednossp

  [5] i686-pc-linux-gnu-3.3.6-vanilla



Хм.. в хендбуке про hardened практически не слова.

Должно быть нужный gcc'шный профайл надо было выбрать до 'emerge 

--emptytree system'. Получается что у меня hardened только ядро.

Кто-то в рассылке спрашивал чем отличается stage1-x86-2005.1 от 

stage1-x86-hardened-2.X-2005.1 Я вижу всего лишь два отличия : 

/etc/make.profile и hardened toolchain





>
> - Патчи на ядро. Их бывает много, и разных, :) но в Gentoo есть
>   поддержка только четырёх из них - PaX, SeLinux, GrSecurity и RSBAC.
>   Функциональность они добавляют трех типов:


Странно, у себя в hardened-sources я обнаружил только PaX и 

GrSecurity, хотя вроде не указывал что мне нужно именно это.



[..skip..]



> Ожидаемые проблемы:
> - не всё может скомпилироваться с PIE+SSP - возможно отдельные пакеты
>   нужно будет патчить или компилировать без одной или обоих из них
>   (мне пока потребовалось через gcc-config переключаться на vanilla gcc
>   только для компиляции X-ов чтобы они работали с ATI-дровами)
> - не всё может нормально работать, т.к. некоторые программы (обычно
>   упоминают X-ы и java) используют выполнение динамически
>   сгенерированного кода для вполне легальных целей, а теперь при попытке
>   это делать они будут киляться либо SSP либо PIE+PaX - для этих
>   программ нужно будет индивидуально отключать часть защит PaX (для этого
>   есть специальные утилиты, например paxctl) и/или компилировать их без SSP
> - не всё может работать из-за ограничений "фич" ядра GrSecurity - в этом
>   случае нужно будет часть защит GrSecurity отключать (глобально, в
>   make menuconfig)
> - настроить ограничения прав доступа может оказаться не просто, и в
>   любой момент когда какая-нить прога сделает что-то, что мы при
>   настройке её прав не учли - она будет прибита ядром... и придётся
>   эти правила в срочном порядке фиксить


Получается что все эти проблемы ожидаемы на workstation, а на сервере 

маловероятны?





> Ну что, поехали... :)
>
> Слишком сильная оптимизация (-O3) вместе с hardened toolchain может
> приводить к разным глюкам и сбоям компиляции, поэтому нужно в
> /etc/make.conf заменить -O3 на -O2.
>
> Переходим на hardened-профайл. (Теоретически вместо этого можно было просто
> добавить в USE-флаги: "hardened pie ssp".)


# emerge -vp gcc

[ebuild   R   ] sys-devel/gcc-3.3.6  (-altivec) -bootstrap 

-boundschecking -build -fortran -gcj -gtk +hardened -ip28 -multilib 

-multislot -n32 -n64 +nls -nocxx -nopie -nossp -objc -static -vanilla 0 kB



хотя может это из-за того что gcc уже собран с поддержкой pie и ssp



[..skip..]



> Компиляция hardened-toolchain и пересборка им всех остальных пакетов:


Что есть "компиляция hardened-toolchain"?

# 'USE="hardened pie ssp" hardened pie ssp' - это?



>     emerge binutils gcc glibc
>     emerge -e world
>     dispatch-conf
>
> Далее, нужно поставить ещё несколько пакетов:
>
>     emerge paxtest paxctl gradm


[..skip..]



> Что касается настроек ядра. Я для начала настроил всё так, как описано в доке
> Gentoo и GrSecurity - при этом не все защиты включены, но


Что за доки? http://www.gentoo.org/proj/en/hardened ?



-- 

Vladimir Solomatin (littleslash@×××××.ru)

Phone: + 7 (0732) 711711

Relex Inc, Voronezh.



-- 

gentoo-user-ru@g.o mailing list