Linux Forum — Hardened Gentoo

Re: Hardened Gentoo

2014-06-27T11:22:42Z

Поиграйся с флагами для бинарника плазмы

Консоль:

# paxctl
PaX control v0.7
Copyright 2004,2005,2006,2007,2009,2010,2011,2012 PaX Team

usage: paxctl

options:
-p: disable PAGEEXEC -P: enable PAGEEXEC
-e: disable EMUTRAMP -E: enable EMUTRAMP
-m: disable MPROTECT -M: enable MPROTECT
-r: disable RANDMMAP -R: enable RANDMMAP
-x: disable RANDEXEC -X: enable RANDEXEC
-s: disable SEGMEXEC -S: enable SEGMEXEC

-v: view flags -z: restore default flags
-q: suppress error messages -Q: report flags in short format
-c: convert PT_GNU_STACK into PT_PAX_FLAGS (see manpage!)
-C: create PT_PAX_FLAGS (see manpage!)

Re: Hardened Gentoo

2014-06-26T15:11:25Z

Собрал hardened-sources (добавил genpatches), пересобрал gcc, glibc, binutils. plasma-desktop вылетает с сегфолтом при входе в кеды.

Re: Hardened Gentoo

2014-06-26T13:04:51Z

Обычная система:

# paxtest blackhat
PaXtest - Copyright(c) 2003,2004 by Peter Busser 
Released under the GNU Public Licence version 2 or later

Writing output to paxtest.log
It may take a while for the tests to complete
Test results:
PaXtest - Copyright(c) 2003,2004 by Peter Busser 
Released under the GNU Public Licence version 2 or later

Mode: blackhat
Linux locus 3.15.0-gentoo-r1 #1 SMP PREEMPT Sun Jun 15 16:07:09 GMT 2014 x86_64 Intel(R) Core(TM) i7-2600 CPU @ 3.40GHz GenuineIntel GNU/Linux

Executable anonymous mapping             : Killed
Executable bss                           : Killed
Executable data                          : Killed
Executable heap                          : Killed
Executable stack                         : Killed
Executable shared library bss            : Killed
Executable shared library data           : Killed
Executable anonymous mapping (mprotect)  : Vulnerable
Executable bss (mprotect)                : Vulnerable
Executable data (mprotect)               : Vulnerable
Executable heap (mprotect)               : Vulnerable
Executable stack (mprotect)              : Vulnerable
Executable shared library bss (mprotect) : Vulnerable
Executable shared library data (mprotect): Vulnerable
Writable text segments                   : Vulnerable
Anonymous mapping randomisation test     : 28 bits (guessed)
Heap randomisation test (ET_EXEC)        : 14 bits (guessed)
Heap randomisation test (PIE)            : 28 bits (guessed)
Main executable randomisation (ET_EXEC)  : 28 bits (guessed)
Main executable randomisation (PIE)      : 28 bits (guessed)
Shared library randomisation test        : 28 bits (guessed)
Stack randomisation test (SEGMEXEC)      : 28 bits (guessed)
Stack randomisation test (PAGEEXEC)      : 28 bits (guessed)
Return to function (strcpy)              : paxtest: return address contains a NULL byte.
Return to function (memcpy)              : Killed
Return to function (strcpy, PIE)         : paxtest: return address contains a NULL byte.
Return to function (memcpy, PIE)         : Killed

Hardened Gentoo

2014-06-26T13:03:34Z

По сути, Hardened Gentoo - это ядро с патчами, флаги сборки пакетов и настройки. Я подумал, что необязательно пересобирать всю систему, для домашней системы достаточно использовать модифицированное ядро с некоторыми настройками, а также пересобрать системное окружение + самые дырявые и потенциально опасные программы типа веб-браузера и торрент-клиента.

Насколько такой подход оправдан, будет ли реальное повышение уровня безопасности, или это самообман, и в hardened должна быть превращена вся система?