форумы  помощь  поиск  регистрация  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
Сообщение от opennews (ok) on 07-Фев-17, 12:14
Проект grsecurity представил (https://www.grsecurity.net/rap_announce_full.php) первый выпуск набора патчей с реализацией механизма защиты RAP (Reuse Attack Protector) для ядра Linux, позволяющего блокировать работу эксплоитов, основанных на технике заимствования кусков кода (https://ru.wikipedia.org/wiki/%D0%92%D0%...). Набор патчей включает всю запланированную функциональность и опубликован под лицензией GPLv2 в публичной тестовой ветке (https://www.grsecurity.net/download.php#test) grsecurity для ядра Linux 4.9 (стабильные ветки grsecurity распространяются (https://www.opennet.me/opennews/art.shtml?num=42856) платно). Техника заимствования кусков кода используется для эксплуатации переполнений буфера в условиях, когда в страницах памяти стека и буфера установлен запрет на исполнение кода. Для организации выполнения кода атакующего в таких условиях логика выполнения shell-кода формируется с использованием методов возвратно-ориентированного программирования (ROP) -  атакующий не пытается разместить свой код в памяти, а оперирует уже имеющимися в загруженных библиотеках кусками машинных инструкций, завершающихся инструкцией возврата управления (как правило, это окончания библиотечных функций).  Работа эксплоита сводится к построению цепочки вызовов подобных блоков ("гаджетов") для получения нужной функциональности. Для автоматизации выявления гаджетов применяются специальные инструменты (https://github.com/JonathanSalwan/ROPgadget/). Используя готовые блоки  машинных инструкций (гаджеты) можно организовать достаточно сложные операции, в том числе организовать работу условных операторов и циклов. Реализованная на уровне ядра защита RAP основана (https://www.grsecurity.net/rap_faq.php) на организации контроля за переходом в точку вызова функции. Для проверки адресов, по которым производится возврат из функций, используется проверочный ключ (RAP cookie), который сохраняется в резервном регистре (r12). Ключ вычисляется сразу после сохранения в стек адреса возврата и проверяется перед осуществлением выхода из функции. Если в момент выхода сохранённый и вычисленный ключи не совпадают, то переход на код функции был произведён не на начало функции. Кроме отслеживания адресов возврата предлагается реализуемая на стороне компилятора техника определения какие функции могут быть вызваны из данного места и куда может быть возвращено управление. Данная часть защиты основана на идее категоризации функций по типам и определении допустимых мест, где могут применяться данные типы. При сборке приложения RAP формирует хэши, идентифицирующие используемые в программе функции, их параметры и тип возвращаемого значения. В процессе работы хэши проверяются на этапе косвенного вызова функции или выхода из функции. Ранее предлагаемые способы защиты от атак с использованием методов возвратно-ориентированного программирования, как правило, основывались на рандомизации адреса загрузки библиотеки, который при технике ASLR меняется при каждом запуске программы. Слабая сторона такого способа в том, что атакующий может подобрать точку входа в библиотеку (определить адрес известной функции) и вычислить смещение для вызова используемых в эксплоите гаджетов, относительная позиция которых в библиотеке сохраняется. Для нарушения вычисленных атакующим смещений гаджетов предлагаются методы перемешивания всех функций системной библиотеки, но они достаточно ресурсоёмки, что мешает их практическому внедрению. Предложенный проектом grsecurity подход позволяет достаточно надёжно блокировать атаки на основе заимствования кусков кода, но при этом оказывает минимальное влияние на производительность. Накладные расходы от применения RAP оцениваются в замедлении работы ядра на 5.4%, что ниже, чем при применении системы защиты от эксплуатации стека SSP (http://wiki.osdev.org/Stack_Smashing_Protector) (Stack Smashing Protector), используемой в Chrome OS. Отмечается, что в реальных условиях паразитная нагрузка от RAP заметно ниже, чем показатели синтетического теста, оценивающего производительность при  наихудшем стечении обстоятельств. В анонсе также упоминается о подготовке расширенной коммерческой реализации RAP, демонстрирующую более высокую производительность, снабжённую средствами статического анализа во время компиляции, включающую дополнительный высокооптимизированный вероятностный механизм XOR-защиты адресов возврата, поддерживающую C++ и LTO (оптимизация на этапе связывания).  Коммерческая редакция развивается (https://www.opennet.me/opennews/art.shtml?num=42856) для организации финансирования продолжения разработки и проведения исследований в новых направлениях. Также отмечается, что  подана заявка на получение патента, описывающего методы, лежащие в основе технологии RAP. URL: https://www.grsecurity.net/rap_announce_full.php Новость: http://www.opennet.me/opennews/art.shtml?num=45992
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

2. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–3 +/–
Сообщение от Аноним (??) on 07-Фев-17, 12:28
> В анонсе также упоминается о подготовке расширенной коммерческой реализации RAP, демонстрирующую более... Типа, ну вы тут жуйте плебеи, а за нормальную версию нуно платить. А как же https://www.grsecurity.net/contribute.php ? Получается кинули донатчиков.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	35. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Андрей (??) on 07-Фев-17, 20:41
	Точно так же, как сотрудники Intel, которые комитят в gcc. А их коллеги работают над Intel Compiler, которые в разы опережает gcc, когда речь заходит об использовании распараллеливающих инструкций.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

3. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–4 +/–
Сообщение от Аноним (??) on 07-Фев-17, 12:38
А чо - хавленый selinux, который шляпа так активно двигала, не помогает?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	4. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+10 +/–
	Сообщение от Владимир (??) on 07-Фев-17, 12:50
	Хваленый SELinux - это когда вы вешаете замок чтобы никто не пролез. Защиты всякие. Но если уж пролез - тут RAP его поймает и надает по попе. Вы же не возмущаетесь что замки не нужны из-за того, что их иногда пилят и ломают.
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	18. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+2 +/–
	Сообщение от . on 07-Фев-17, 17:22
	> Хваленый SELinux - это когда вы вешаете замок чтобы никто не пролез. Защиты всякие. Но текущая реализация больше похожа на понапутанную как попало колючую проволоку - где-то и танк не проедет, где-то рота строем пройдет, а банальная задача выбросить мусор превращается в сложную ритуальную процедуру а-ля смена караула у мавзолея. > если уж пролез - -то на полу стоит медвежий капкан. Судя о описанию, вполне способный хватануть за ногу и вполне легальный код (мало ли, зачем мне в функции две точки входа). Ну и занимающий регистр, не факт что без последствий на всех процессорах и всех вариантах (см виртуальные, к примеру - собираются ли виртуальные машины виртуализовать этот r12?)
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	25. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–2 +/–
	Сообщение от Валик228 on 07-Фев-17, 18:36
	нормальная реализация. сложновата чуток... в grsecurity есть возможность отключать подобные ловушки для той или иной программы или библиотеки. а виртуальные машины ничего не виртуализируют. виртуализирует процессор, как бы добавляя еще одно кольцо защиты (ring -1) и состояние всех регистров, в т.ч. и r12 (обычный в общем-то регистр) сохраняется в специально-отведенной для того области памяти...
	Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

	56. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–1 +/–
	Сообщение от vitvegl on 08-Фев-17, 10:56
	Что там сложного? Все просто - пользователь, роль, тип
	Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

6. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+3 +/–
Сообщение от Аноним (??) on 07-Фев-17, 13:19
Можетю. "защиты от RAP"?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	48. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+1 +/–
	Сообщение от irinat (ok) on 08-Фев-17, 01:24
	Нет. RAP (Reuse Attack Protector) защищает от ROP (Return Oriented Programming) атак.
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

9. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
Сообщение от Аноним (??) on 07-Фев-17, 15:16
Объясните, кто грамотный. Вот, они под эту защиту целый регистр (r12) резеривруют. Зачем тогда возня с cookie? Вот у нас теперь 2 регистра есть, зарезервированных под стек: rsp и r12 (а вместе с rbp и все 3). Почему тогда не сделать 2 стека, один только для адресов возврата, другой только для локальных переменных? Тогда адрес возврата принципиально невозможно будет переписать.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Часть нити удалена модератором

	14. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+15 +/–
	Сообщение от Crazy Alex (ok) on 07-Фев-17, 15:47
	Экий печальный бред...
	Ответить | Правка | ^ к родителю #48 | Наверх | Cообщить модератору

	64. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+1 +/–
	Сообщение от Аноним (??) on 08-Фев-17, 16:16
	> ... ЯП (java, C#, ..) ... в них стеков нет А куда ж этот стек из процессора (речь ведь о x86_64 архитектуре?) то делся? Или CALL/RET научились мистическим образом выяснять, на каком ЯП был написан код, и если на "защищённых" - то работать без стека?
	Ответить | Правка | ^ к родителю #48 | Наверх | Cообщить модератору

	77. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–1 +/–
	Сообщение от die_russofobs Не раб STEAMDRM on 14-Фев-17, 21:30
	> "... Почему тогда не сделать ..." Потому что тогда хакеру будет сложней работать... Ему прйдётся найти другие дыры заложенные разработчиком, а значит разработчику занеся их в errata в следующей еврсии ЦПУ - ломать голову какую другую дырку сделать, а так все довольны - и волки сыты и шакалы. А, изначально, в начале становлени x86 - потому что в [MS-]DOS безопасность - даже номинально отсутствовала в ОС, по той же причине.
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

10. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
Сообщение от Аноним (??) on 07-Фев-17, 15:25
А с каких пор можно продавать патчи на ядро ?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	13. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 07-Фев-17, 15:37
	Всегда можно было. Более того, они не обязательно должны быть под GPL.
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	32. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 07-Фев-17, 20:22
	Ты перепутал патчи и модули ядра.
	Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

	38. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Crazy Alex (ok) on 07-Фев-17, 21:24
	И патчи тоже можно. Другое дело, что после наложения патча ты получившийся продукт распространять не сможешь.
	Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

	39. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 07-Фев-17, 22:04
	то есть GPL не мешает пропринетарщикам зажимать код ?
	Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

	51. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–2 +/–
	Сообщение от Crazy Alex (??) on 08-Фев-17, 04:31
	Скажем так - сильно затрудняет это дело. Настолько, что как мейнстрим такой подход не годится. А так - теоретически можно вообще бинарный патч для ksplice делать и распространять, пожалуй.
	Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

	55. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Вы все врете on 08-Фев-17, 09:23
	> сильно затрудняет это дело Ребята из grsecurity чувствую себя при этом прекрасно.
	Ответить | Правка | ^ к родителю #51 | Наверх | Cообщить модератору

	78. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 17-Фев-17, 09:24
	> Ребята из grsecurity чувствую себя при этом прекрасно. Перед GPL и Столманом все ровны, но ребята из grsecurity ровнее других. Альтернативы нет. Вообще нет. Остальное просто недоделанные тормоза. Вот чтобы народ дружно не свалил с GNU/Linux на OpenBSD - терпят все причуды PaX и GrSec. PaX вообще анонимщики кого там поймаешь чтобы наказать? Линус помахал в их сторону пальчиком и сказал что их кода в официальном ядре никогда не будет. Вот и всё собственно наказание. Хуже им не сделают, вот они и срут на GPL.
	Ответить | Правка | ^ к родителю #55 | Наверх | Cообщить модератору

	76. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Michael Shigorin (ok) on 11-Фев-17, 13:25
	> Скажем так - сильно затрудняет это дело. Это вбросчик был, если что. PS re #19: порой ещё и автомодер по результатам отсмотра набросов людьми...
	Ответить | Правка | ^ к родителю #51 | Наверх | Cообщить модератору

19. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
Сообщение от Crazy Alex (ok) on 07-Фев-17, 17:31
О, да тут, я смотрю, модер порезвился. Непонятно, правда, с чего. Ну повторю, не жалко. Чем бы дитя не тешалось - лишь бы в мейнлайн не совало. А пока где-то в левом патче сидит эта штука - вреда вроде не особо много, может, даже польза для кого-то есть.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	21. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от . on 07-Фев-17, 17:36
	> А пока где-то в левом патче сидит эта штука - вреда grsecurity все же не какой-то левый патч. И настолько странных идей в нем ранее, по-моему, не наблюдалось. (см выше - странность не в том, что это вообще малонужно, а в том, что это не очень надежно, ну, во всяком случае, как читается в данном переводо-пересказе, неохота читать оригинал в трех томах)
	Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

	23. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 07-Фев-17, 17:42
	>grsecurity все же не какой-то левый патч. Давай ты прямо сейчас назовешь имена людей, которые представляют компанию Pax Team.
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

	27. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–3 +/–
	Сообщение от пох on 07-Фев-17, 18:52
	давай ты прямо сейчас не подглядывая в файлик назовешь имена людей, которые не "представляют", для рекламного хайпа, а реально влияют на содержимое архива linux-4.xxxx.tar.xz линуса вычеркнем, рекламный хайп. Кого из оставшихся ты помнишь? При том что это как минимум на пару порядков более распространенный проект. Правда, и на пару порядков более крупный, так что помнить надо хотя бы первых пятнадцать человек.
	Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

	36. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 07-Фев-17, 21:12
	Стоп. Давай сначала отвечать за базар. Нонейм шлет патчи. Нонейм НЕ является персоной с финансовой независимости. Он продался. И продался очень некрасиво: пишет значит GPLv2 код, продает его. Не выпускает стейбл-версии (они лишь для покупателей). Небось еще и продает как пирожки: одна лицензия на одну версию. Вобщем, плохой анонимус. Не надо пытаться перекинуть стрелку на других и тем самым ДОКАЗАТЬ невиновность человека. Один человек не отвечает за поступки другого. Если я прыгну в окно, ты прыгнешь за мной? [или как там было?] Итог: анон, продает GPL-код по лицензиям (он 100500 раз получил разные суммы денег за один и тот же код, Столлман негодуе), код влияющий на безопасность. Можно ли доверять такому коду от анона? ИМХО, нет. В любой момент ФБР зашлет ему мильон баксов и он пропихнет бэкдор.
	Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

	42. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от тоже аноним on 07-Фев-17, 23:52
	> Нонейм шлет патчи. кому это он их шлет? Он их никому не шлет, в паблик вываливает. > Нонейм НЕ является персоной с финансовой независимости. ровно наоборот. У него есть источник финансирования, который не спрашивает с него конкретный результат. А вот те кто живут с donate - никакой финансовой независимостью не обладают, потому что любое резкое движение (необязательно неправильное) - и поток падает до нуля. Вариант продаться рекламодателям, понятное дело, в этом случае не работает. > Не выпускает стейбл-версии что такое "стейбл версия" в понимании grsec? Что такое "stable version" в понимании linux crowd? Ok, давай я отвечу на второй вопрос, причем это будет ответ из 2002-го года (возможно, даже можно найти его где-то в недрах гугля, хотя вряд ли, учитывая, что он сделал с базой dejanews): "это означает только то, что не будут меняться _внутриядерные_ интерфейсы - и мы, разработчики, можем на это полагаться".(c) ank в моем примерном пересказе. С тех пор понятия стабильной версии нет вообще - "стабильная версия- в вашем дистрибутиве" (c) линус. > Можно ли доверять такому коду от анона? ИМХО, нет. В любой момент ФБР зашлет ему мильон > баксов и он пропихнет бэкдор. что мешает ФБР заслать счет на пиццот баксов ежемесячно и уведомление что в интервью Линуса или кого-то из его окружения USCIS нашли некоторые неувязочки, и от его поведения (а так же своевременной выплаты) зависит, не полетит ли он в наручниках обратно в свою финляндию (или в Бангалор, там в окрестностях CREDITS десяток лет как полно людей с характерными именами) вот прямо завтрашним рейсом? Ну вот конкретно линуса - хайп может помешать. А имена индусов ты сам только что и ниасилил вспомнить, и никто их не вспомнит. А анонимоуса еще надо найти и прищучить (если он сидит на территории какой-нибудь не слишком дружественной к ФБР страны, это тоже может оказаться несколько затруднительно)
	Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

	44. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 08-Фев-17, 00:11
	>кому это он их шлет? Он их никому не шлет, в паблик вываливает. https://bugzilla.kernel.org/show_bug.cgi?id=123211 >У него есть источник финансирования, который не спрашивает с него конкретный результат. https://www.grsecurity.net/download-restrict/download-redire... >что такое "стейбл версия" в понимании grsec? >... в моем примерном пересказе. Смотри changelog: https://www.grsecurity.net/download-restrict/download-redire... Изменения засекречены! А вот история почему все так секретно: https://www.grsecurity.net/announce.php >If this does not resolve the issue, despite strong indications that it will have a large impact, we may need to resort to a policy similar to Red Hat's, described here or eventually stop the stable series entirely as it will be an unsustainable development model. >stop the stable series entirely Он еще угрожает. Думает, что он бессмертный и б-г. Который крутит на *** весь GPL. И что никто не сможет писать патчи не хуже чем он. Ничего. Осталось несколько десятков лет и прах постигнет умника. >что мешает ФБР заслать счет на пиццот баксов ежемесячно и уведомление что в интервью Линуса Линус не живет на донатах.  См. пруф об уровнях жизни выше.
	Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

	46. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–1 +/–
	Сообщение от тоже аноним on 08-Фев-17, 01:04
	>>кому это он их шлет? Он их никому не шлет, в паблик вываливает. > https://bugzilla.kernel.org/show_bug.cgi?id=123211 ну вот. вывалено в паблик - хотите пользуйтесь, не хотите - мимо идите. хорошо что кто-то другой не поленился, донес до багзилы > https://www.grsecurity.net/download-restrict/download-redire... и что? Кисо обижено, ему не дают? >>что такое "стейбл версия" в понимании grsec? > Смотри changelog: https://www.grsecurity.net/download-restrict/download- я тебя спросил - что такое "stable версия", которой тебе, обиженому кисе, не дают. Получается, ты сам этого не знаешь. Я, кстати, осилил прочитать, но тебе не скажу. > Изменения засекречены! А вот история почему все так секретно: по-моему, банально: Our stable series have existed solely due to the financial support of our sponsors. Соответственно, автору совершенно не с руки, чтобы их тырил копипастом какой-нибудь редхат, потому что спонсоры могут потерять к нему интерес и начать чохом платить редхату за то же самое. Сценарий вполне правдоподобный - оракл же кинул таким образом самого redhat'а? Тырить методом ручного анализа и бэкпорта в свои ядра, заметим, ничто не мешает, но это - работа. Сложная. Некоторые, кстати, так делают. >>stop the stable series entirely > Он еще угрожает. он говорит что ему эти stable нафиг не уперлись, он этот код уже один раз написал и оттестировал, и трахается по второму разу только за деньги. ну не умеешь ты читать по-английски, что поделать. > Думает, что он бессмертный и б-г. Который крутит на > *** весь GPL. И что никто не сможет писать патчи не gpl ничуть не запрещает не публиковать свои патчи (снова твоя проблема нечитания по-английски дальше тривиальных фраз). Их всего лишь надо предоставить _пользователю_(заплатившему тебе денег и возможно подписавшему nda) - если он попросит. Предоставлять их еще кому-то, например, автору оригинального кода, не говоря уже о тебе, любимом - совершенно не требует. >>что мешает ФБР заслать счет на пиццот баксов ежемесячно и уведомление что в интервью > Линус не живет на донатах.  См. пруф об уровнях жизни выше. повторяю вопрос: что мешает ФБР прищемить яйца дверью если не лично Линусу, которого кое-как защитит шумиха, то любому другому крупному разработчику, чей код смотрят спустя рукава или вообще не смотрят? _бесплатно_. А миллион положить себе в карман, да еще с него потребовать, за беспокойство. При том что его адреса, привычки и любимый сорт кофе им прекрасно известны, и находятся они заведомо на территории федералов, а анонима надо еще сперва вычислить, а потом добывать (ФБР этим не занимается, понадобится подключать конкурирующие фирмы), и зацепишь ты при этом дай Б-же 0.01% линуксюзеров, а не все 100 в предыдущем случае. Прецеденты уже были, к счастью, в netbsd.
	Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

	50. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от gogo on 08-Фев-17, 03:50
	>gpl ничуть не запрещает не публиковать свои патчи (снова твоя проблема нечитания по-английски дальше тривиальных фраз). Их всего лишь надо предоставить _пользователю_(заплатившему тебе денег и возможно подписавшему nda) - если он попросит Фишка GPL в том, что они должны предоставить пользователю свои патчи ПОД ЛИЦЕНЗИЕЙ GPL. И  GLP не предусматривает никаких nda в принципе. А то, что эти урюки творят сейчас - это беспредел.
	Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

	52. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–2 +/–
	Сообщение от Crazy Alex (??) on 08-Фев-17, 04:38
	Э... grsecurity  я в гробу видел по десятку причин, но вот тут ты не прав. Патч - это ж не производный продукт, он может вообще под какой угодно лицензией поставляться. Ну представь себе, что он поставляет вообще блоб, который каким-то образом трансформирует исходники ядра - никаких проблем же нет? Вот и здесь то же самое. А вот тот, кто эту штуку приложил, должен при распространении бинаря ядра, полученного сборкой модифицированного кода давать и исходники. Либо не распространять сам бинарь ядра - но к исходному блобу-препроцессору или патчу это не относится, у него своя лицензия.
	Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

	54. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+1 +/–
	Сообщение от gogo on 08-Фев-17, 08:43
	> Э... grsecurity  я в гробу видел по десятку причин, но вот > тут ты не прав. Патч - это ж не производный продукт, > он может вообще под какой угодно лицензией поставляться. > Ну представь себе, что он поставляет вообще блоб, который каким-то образом трансформирует > исходники ядра - никаких проблем же нет? Вот и здесь то > же самое. А вот тот, кто эту штуку приложил, должен при > распространении бинаря ядра, полученного сборкой модифицированного кода давать и исходники. > Либо не распространять сам бинарь ядра - но к исходному блобу-препроцессору > или патчу это не относится, у него своя лицензия. Вы неправы. В GPL указано "распространять экземпляры такого произведения, производного от Программы, или собственно экземпляры изменений". То есть, патч к конкретному GPL-коду обязан быть под GPL. Урюки опубликовали под GPL патч для одной версии ядра, а продают для других. Что есть однозначное нарушение GPL.
	Ответить | Правка | ^ к родителю #52 | Наверх | Cообщить модератору

	58. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–1 +/–
	Сообщение от Аноним (??) on 08-Фев-17, 11:20
	Производный продукт: http://www.gnu.org/licenses/gpl-faq.en.html#GPLInProprietary... The substantive part is this: if the two programs are combined so that they become effectively two parts of one program, then you can't treat them as two separate programs. So the GPL has to cover the whole thing. Ядро с патчами - GPL, патч без ядра - под чем угодно, т.к. патч - это не производный продукт.
	Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

	70. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+2 +/–
	Сообщение от gogo on 09-Фев-17, 14:43
	Дорогая, патч без ядра - это вообще ничто. Сам по себе он ничего не может делать. Выпуск отдельно патча - это просто способ распространения производного продукта, коим является пропатченное ядро. То, что урюки все таки публикуют свои патчи - вот это их отмазка, что они торгуют GPL-продуктом.
	Ответить | Правка | ^ к родителю #58 | Наверх | Cообщить модератору

	57. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 08-Фев-17, 10:58
	>я тебя спросил - что такое "stable версия", которой тебе, обиженому кисе, не дают. >Получается, ты сам этого не знаешь. Я, кстати, осилил прочитать, но тебе не скажу. Да, я не знаю, что такое stable-версия. Мне что, надо купить чтобы узнать? Вот ты скажи, раз умный, что такое это stable-версия представляет. И где, главное, архив старых СТАБИЛЬНЫХ версий? Или их тоже надо покупать? Расскажи, нам всем будет интересно. Копаться в тоне текста ради непонятно чего дело неблагодарное. Расскажи, в двух предложениях. >он говорит что ему эти stable нафиг не уперлись, он этот код уже один раз написал и оттестировал, и трахается по второму разу только за деньги. Да ну. Он говорит, что он хочет чтобы его нанимали по поводу и без. Только его. Только он способен разобраться в своем коде. Ведь он б-г! >gpl ничуть не запрещает не публиковать свои патчи Перефразируй, ибо это тупость. Патч может быть в бинарном виде, но под GPL должна быть ЕЩЕ и рукопись в виде исходного кода, который можно скомпилировать в бинарь. В данном случае, патч это исходник. Да, он может делиться своими патчами. Аналогично, ЛЮБОЙ покупатель такого патча может раздавать их налево и направо, т.к. автор получил плату ИЛИ он нарушает GPL, заставляя подписывать NDA. Дай торрент стабильных версий! Я хочу сравнить версии стейбла и нестейбла. В стейбле может есть бекдоры, а может и наоборот, в тестинге одни лишь бэкдоры (специально, чтобы больше народу покупало стейбл-версию). >что мешает ФБР Ничего не мешает. Просто жизнь такая, что если ты не можешь раздавать бесплатно бескорыстно, то рано или поздно тебе прищимят яйца, не по твоей воле, а из-за голодухи. Шлюхи продают себя не потому что работах не хотят, а потому что жить на что-то надо. И как ни странно, продать себя на час выгодней. Вот и анону ВЫГОДНО подороже продастся ФБР при возможности. Жить-то как-то надо!
	Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

	59. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 08-Фев-17, 14:01
	> Да, я не знаю, что такое stable-версия. но истерически верещишь, обвиняя автора во всех смертных грехах и еще чего-то от него требуешь. В общем, не вижу смысла тратить на тебя время. > Мне что, надо купить чтобы узнать? нет, как я выяснил в два клика (замечу, мне эта информация была нафиг не нужна) - не надо. Но надо хорошо представлять себе смысл ответа на мой второй вопрос и его изменения за прошедшие 15 лет (автор grsec то ли поленился переписать текст, то ли намеренно это не делает, надеясь что так завлечет больше лох...э, покупателей), чтобы не купить ненужное. >>он говорит что ему эти stable нафиг не уперлись, он этот код уже один раз написал > Да ну. ну да. А, ты ж англицкой мовы нечитатель. > Он говорит, что он хочет чтобы его нанимали по поводу и без. я тоже хочу, и чего? > Только его. Только он способен разобраться в своем коде. этого он не говорит, но, очевидно, что ты - вряд ли разберешься (к тому же надо не разбираться, а двигать дальше, а это значит - быть в курсе новых веяний, новых техник и все время выдумывать новые способы противодействия. Очевидно, и это у тебя не получится.) А если кто-то разберется - ну так вперед, лицензия разрешает взять grsec и написать на его основе свой grsec2(3,4...) - только вот желающих что-то нет. > Копаться в тоне текста ради непонятно чего дело неблагодарное. зато распространять FUD и заочно оскорблять автора - вероятно, благодарное. > Я хочу сравнить версии стейбла и нестейбла. да ты английским-то не владеешь, где тебе разобраться в меганавороченном сложном коде. Все что ты умеешь - это рассказывать сказки про страшную и ужасную ФБР (интересно, а где гарантии что как раз ты не казачок засланный, сеять FUD чтобы поменьше людей пользовались более защищенным ведром?) От автора grsec пользы гораздо больше - приведенный патч вполне себе к mainstream ядру, не имеющий ни малейшей связи с grsec'ом, тому пример. Ну да, он не хочет заниматься бессмысленными политическими играми, предоставляя эту возможность другим (сам для себя и своих пользователей исправил и забыл, пошел дальше свой RAP ковырять, это куда интереснее). Я его вполне понимаю, поскольку тоже так делал по тем же причинам.
	Ответить | Правка | ^ к родителю #57 | Наверх | Cообщить модератору

	63. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+2 +/–
	Сообщение от Аноним (??) on 08-Фев-17, 16:13
	Вобщем, ничего ты не выяснил. Ответов на вопросы не дал. Все что высказал: вода водой. Сделаю это за тебя: https://www.grsecurity.net/business_support.php >Commercial users of grsecurity are encouraged to purchase a yearly support contract... 0. Подписывай контракт на год... >All commercial support contracts come with access to our stable patch series, unavailable to the general public. 1. stable patch никому не доступны, кроме покупателей. >To inquire about a yearly support contract or for pricing on any of our services, please reach us via e-mail at contact@grsecurity.net phone at +1 949-424-7732. 2. Договорная цена за непонятно что. Да, услуги написаны, но расплывчато. Кто их делает? Как быстро? И т.д. и т.п. все это надо выяснять у, напомню, анона. Далее: https://www.grsecurity.net/contribute.php 3. Проект не только продает услуги, но и собирает деньги просто так. Че, мелочится, вместо саппорта и всех услуг идиоты просто так башляют налево и направо. Нормально так. Не бизнес. Не хобби. Дальше: https://www.grsecurity.net/download.php Как видно, архива старых версий нет и это якобы логично... Завтра выйдет кернел 5.х и все начинай платить анону. Ведь старые версии поддерживаются только по платной подписке. Логично. Компания-то из одного анона. Ну, и тут расписано почему так: https://forums.grsecurity.net/viewtopic.php?f=3&t=2980 Ок. Едем дальше в поисках того, что такое стабильный патч и зачем его нужно покупать. Тут я уже подключил поисковик, и вот что он нашел: https://grsecurity.net/agree/agreement.php >[оверквотинг удален] >specific arrangement >arrangement >will publish these changes under the GPL to all customers >changes under the GPL >GPL >to all customers >This Agreement shall be governed by and construed in accordance with the laws of Pennsylvania without regard to the conflicts of laws provisions thereof. Exclusive jurisdiction and venue for any action arising under this Agreement is in the federal and state courts having jurisdiction over The Company's principal office, and both parties hereby consent to such jurisdiction and venue for this purpose. >laws of Pennsylvania >both parties hereby consent to such jurisdiction >The Company is not liable for any claims, damages, costs, expenses or loss of any kind that may be made or incurred as a result of either the User's access or revocation of access to grsecurity stable patches. Вобщем, очевидные нарушения GPL, наплевательское отношение к клиенту. Отказ от гарантий. И бесконечное желание поиметь деньжат. И все... ВСЁ. Больше никакой информации в чем разница стабильных версий нет. Вообще. Ну, понятно что будет включена тех.поддержка. Это было очевидно. А в чем именно разница -- сиди гадай. Типичный бизнесмен. P.S. Выводы каждый сделает сам для себя. Потратил только 30 минут в пустую. Ни о чем.
	Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

	66. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–1 +/–
	Сообщение от . on 08-Фев-17, 17:27
	>>Commercial users of grsecurity are encouraged to purchase a yearly support contract... > 0. Подписывай контракт на год... 0. ты не умеешь читать - то ли по-английски, то ли вообще. > 1. stable patch никому не доступны, кроме покупателей. в виду (0) ты так и не понял, ни что это, ни кому они на самом деле нужны > 2. Договорная цена за непонятно что. _тебе_ - непонятно. В виду (0) ты не можешь 'inquire'. Мне в целом понятно, что там явный повод для торга, товар штучный, но не очень интересно. Кто делает - совершенно все равно (и вряд ли один человек, вспоминая историю reizerfs, штуки куда менее востребованной, кормившей при этом целую толпу - вполне, кстати, в рамках gpl, очень дешево, но гораздо более отвратительным шантажом), интересно чем обеспечивается безопасность исполнителя, контрагента и бизнеса - но это явно не то, что в случае штучных изделий следует писать на сайте, и скорее всего далеко не в первом письме тебе это объяснят - сперва стоит убедиться, что ты реальный клиент. > Проект не только продает услуги, но и собирает деньги просто так. не просто так, но в виду (0) ты не в силах понять фразу, перевожу: "если вам _оказалось_полезным_ это подeлие - _подумайте_, не перечислить ли денежку, потратим на развитие". Ну или старый сервер хотя бы подарить. Вероятно, денег от коммерческих клиентов не так много, как кажется считателям в чужих карманах. > Как видно, архива старых версий нет и это якобы логично... это логично - если ты настолько озабочен безопасностью, что аж всерьез используешь grsecurity - тебе нужны либо supported версии за деньги, либо для тебя без шансов использовать хоть что-то кроме текущей версии - в предыдущей есть дыры, не "возможно", а просто - есть, а патч grsec их не собирается устранять - он не для этого. > Завтра выйдет кернел 5.х и все начинай платить анону. нет, начинай собирать 5.x - совершенно бесплатно. Анон забесплатно не хочет, гад такой, разбираться, что там ненужно, что полезно, а что - по тихому устраняет серьезные проблемы в твоей 4.9, неинтересен ему этот процесс. > И все... ВСЁ. Больше никакой информации в чем разница стабильных версий нет. курсы английского, недорого... курс молодого бойца lkml - дорого, долго, неэффективно, заражает мизантропией. Продается только в комплекте с предыдущим, ибо в силу (0) иначе не работает. Без долгих объяснений, как оно все в linux crowd устроено, даже если я тебе пальцем потыкаю и переведу правильно - ты все равно не поймешь, а навоображаешь себе всякой не имеющей отношения к реальности ерунды.
	Ответить | Правка | ^ к родителю #63 | Наверх | Cообщить модератору

	26. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Crazy Alex (ok) on 07-Фев-17, 18:43
	Есть мейнлайн и есть левые патчи. Что касается конкретно grsecurity - то было б у них поменьше пафоса (как минимум - елси б они не претендовали на универсальность, а конкретно указывали бы ниши, на которые они претендуют) - лично я бы относился к ним лучше. А так - ещё одни masturbating monkeys, считающие, что главное - безопасность любой ценой.
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

	33. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 07-Фев-17, 20:24
	> Есть мейнлайн и есть левые патчи. Что касается конкретно grsecurity - то > было б у них поменьше пафоса (как минимум - елси б > они не претендовали на универсальность, а конкретно указывали бы ниши, на > которые они претендуют) - лично я бы относился к ним лучше. > А так - ещё одни masturbating monkeys, считающие, что главное - > безопасность любой ценой. А какая цена платится при использовании этого патча?
	Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

	37. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Crazy Alex (ok) on 07-Фев-17, 21:21
	Да какая и всегда с заботой о безопасности - потеря производительности и ограничение возможностей, ну и дополнительная сложность. С этой штукой из топика, например, разного рода ассемблерные фокусы вида "запрыгнул в середину функции" явно будут проблемными. Вообще есть очень мало техник (если есть вообще), которые можно применить только злонамеренно. Подозреваю, что с какими-нибудь вариациями на тему ksplice оно тоже дружить не будет.
	Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

	43. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от тоже аноним on 07-Фев-17, 23:57
	> Есть мейнлайн и есть левые патчи. Что касается конкретно grsecurity - то > было б у них поменьше пафоса (как минимум - елси б > они не претендовали на универсальность, у них пока получается. > а конкретно указывали бы ниши, на которые они претендуют) ниша совершенно понятная - когда тебе действительно важна безопасность. При этом (ну, до текущего момента) они действительно старались ничего не сломать, любой типовой lamp-сервер вполне совместим с этим патчем. Плюс возможности включать фичи избирательно, если тебя все же угораздило вляпаться. > А так - ещё одни masturbating monkeys, считающие, что главное - > безопасность любой ценой. они утверждают , что цена - копеечная потеря единиц процентов производительности. Но тебе никто не мешает провести свое исследование.
	Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

	53. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Crazy Alex (??) on 08-Фев-17, 04:44
	Собственно критерий нормлаьной технологии - внятно указанные границы применимости. Защитить порнушку от родителей или фото с любовницей от жены - это одно, сервак в интернете - другое, а понять, в каких сценариях какие trade-off - вообще третье. "они утверждают , что цена - копеечная потеря единиц процентов производительности." - угу, на этой конкретной технике. Тольк она не первая ни хрена. Ни ASLR даром не даётся, ни разные stack guards, ни прочее - навскидку разного рода защит с "копеечной потерей" штук двадцать уже пролетало - и вот суммарно там может очень прилично натикать. А что до исследований - я поступлю проще - делегирую это дело компетентным людям, то есть тем, кто пишет и поддерживает мейнлайн. Эти товарищи свою репутацию давно заслужили. А сам буду работать на своём уровне - реджектить кривые данные, проверять подписи и т.п. - в общем, принимать те меры, которые имеют вмысл в каждом конкретном случае, в отличие от разного рода серебряных пуль.
	Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

	60. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 08-Фев-17, 14:18
	> Собственно критерий нормлаьной технологии - внятно указанные границы применимости. ну а какие вот границы применимости у пачки капканов, разложенной внутри периметра с колючкой, особенно если ты не знаешь, кто там ходить будет? Ну кого-то схватят, наверное. Кто-то вляпается. > Защитить порнушку от родителей или фото с любовницей от жены - это > одно, сервак в интернете - другое, а понять, в каких сценариях > какие trade-off - вообще третье. ну так твой сценарий, ты и понимай - автор-то его откуда может изобрести? Этот вон делает как раз чтоб применимо было в большинстве случаев, а не в cпецифичных местах. Ну, ему так интереснее. > Ни ASLR даром не даётся, ни разные stack guards, ни прочее ну так aslr у нас сто лет неотключаем (и не у нас тоже, покажите, кто его еще у себя не завел - иллюмос, может быть? Не, я не в курсе) stack guards местами отключаем, но все идет к тому, что перестанет - см последнюю странную новость про glibc и намеки что это рекомендуемая фича (читай либо дефолт, либо скоро будет) К grsec это все мало относится, хотя, надо заметить, впервые именно там появилось. > - навскидку разного рода защит с "копеечной потерей" штук двадцать уже > пролетало - и вот суммарно там может очень прилично натикать. ну так померяй, кто тебе не дает? Я вот не вижу разницы на своих проектах, но они у меня нынче мелко плавают, вдруг у тебя что-то сверх-интенсивное, чему действительно важно. Глядишь, войдешь в историю как независимый эксперт по потерям производительности от grsec'ов в высоконагруженных системах. Или наоборот, убедишься, что надо ставить везде и всегда, потому что явных потерь нет, а бонусы есть. > А что до исследований - я поступлю проще - делегирую это дело > компетентным людям, то есть тем, кто пишет и поддерживает мейнлайн. Эти дык они, гады, фичи грсека уже лет десяток в него тянут - поштучно, в рамках неосиляторской концепции, и с опозданием на пять лет ;-) Ну и учти, что эти компетентные могут быть совсем не заинтересованы в том, чтобы тебе жилось хорошо - они просто играют в свои игрушки за зарплату, которая от твоего счастья не зависит.
	Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

20. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
Сообщение от . on 07-Фев-17, 17:33
> Ранее предлагаемые способы защиты от атак с использованием методов возвратно- > ориентированного программирования, как правило, основывались на рандомизации адреса > загрузки библиотеки, который при технике ASLR меняется при каждом запуске программы. что-то тут у них концы с концами не сходятся? > Слабая сторона такого способа в том, что атакующий может подобрать точку входа в и как ее подбирать - код исполнять мы не можем, пока не узнаем адрес, адрес узнать не можем, пока не исполним код (проба должна быть выполнена именно из этого инстанса, потому что рандом у нас при каждой загрузке новый, так что менять адрес вслепую, пока не угадаешь, не вариант) > вычисленных атакующим смещений гаджетов предлагаются методы перемешивания всех функций > системной библиотеки, но они достаточно ресурсоёмки, что мешает их практическому > внедрению. или все же ему мешает ненужность? ;-) (понятно, что в некоторых редких случаях нужный адрес таки может лежать где-то в стеке, но число таких случаев мало того что доли процента, так еще надо суметь его использовать без арифметики, на одних только стековых операциях)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Часть нити удалена модератором

	30. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–2 +/–
	Сообщение от Аноним (??) on 07-Фев-17, 19:12
	Может, ещё как может. Стандарты защиты таковы, что системный код разбивают на две части: ядро + системная библиотека. В Windows это ntoskrnl + *.dll, причём системная библиотека грузится в адресное пространство программы. Т.к. системные библиотеки у всех общие, то системные библиотеки грузятся в разделяемую память, общую для всех программ, доступную программам только для чтения. Ядро в теории вообще не должно быть доступно, т.к. SYSCALL позволяет вынести его в недоступное адресное пространство, но обычно его ложат вместе с системными библиотеками. А вот теперь карнавал! Зная адреса, можно передать управление напрямую в системный код. Обычно, это бесполезно, т.к. кольца защиты надёжно режут права и ничего серьёзного выполнить не получится, а при первой же ошибке ОС закроет программу. Но в ряде случаев удаётся "пошалить". Так Windows 95 (и не только он) не защищал дескрипторы памяти, и можно было перезаписать дескриптор памяти, сделать любой системный вызов, а по возвращению стать программой 0-ого кольца. Сейчас таких дыр больше не допускают, но принцип остаётся.
	Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

	45. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+1 +/–
	Сообщение от пох on 08-Фев-17, 00:24
	> Может, ещё как может. Стандарты защиты таковы, что системный код разбивают на > две части: ядро + системная библиотека. я не знаю что ты такое называешь "системной библиотекой". libc состоит из вполне банальных сишных функций - позиксных оберток, никакой совершенно "системной" мистики там нет. Ты можешь ими не пользоваться, а изобрести собственный велосипед с квадратным колесом, вот прямо в userspace, это ни на йоту не увеличит права твоей программы. Вход в ядро возможен только через гейт, на x86/64 архитектуре это, внезапно, вызов int80, опять таки, у нас тут не винда, совершенно не нужно быть libc чтобы его вызвать, и да, пространство адресов ядра - отображается в твое, но ни прочитать что-то оттуда в обход гейта, ни тем более записать, ни исполнить, у тебя не получится, прилетит sig11 (наоборот тоже есть фокусы, в принципе, ядро умеет читать/писать твое адресное пространство, но старается этого не делать). Смысла флэт-модели ты тоже так и не осилил понять. > *.dll, причём системная библиотека грузится в адресное пространство программы. Т.к. libc -_самая_обычная_ библиотека, из самых обычных функций - можешь считать, что она и есть твоя программа. Так же, как если бы ты впрямую ее исходники себе в код воткнул. (у винды все в разы сложнее, но в сторону еще больших ограничений, а не наоборот) Разница только в том, что она есть не только у тебя, и как правило, байт-в-байт одинаковая, никто у себя это не пересобирает, поэтому гаджеты пресловутые проще собирать из ее частей, чем из неведомой твоей. > библиотеки у всех общие, то системные библиотеки грузятся в разделяемую память, мля, как все запущено. Еще одна страшная новость: ВСЕ, включая только что тобой полученный из mycoolproga.c a.out - грузится "в разделяемую память". Запустишь 500 экземпляров - код в памяти будет все равно только один. А на самом деле даже и не грузится, а mmap'ается прямо с диска. И нет, он (при некоторых ограничениях) доступен и на запись тоже. Как это происходит и почему при этом не рушатся все остальные 499 - написано в том же учебнике, который ты так и не прочитал за эти пять часов дальше первого абзаца. И нет, libc в этом плане ничем от твоей программы не отличается. Не сдашь ты завтра информатику, даже не пытайся. > Зная адреса, можно передать управление напрямую в системный код. Обычно, это нет, нельзя. И про "кольца защиты" тоже забудь, их не используют по прямому назначению двести лет как. Итого - даже про суть проблемы, которую решает патч - ты не понял ровным счетом ничего. Она не имеет ни малейшего отношения ни к ядру, ни к системным библиотекам.
	Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

	47. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–1 +/–
	Сообщение от Аноним (??) on 08-Фев-17, 01:22
	Ты бы хоть книжки почитал раз даже в терминологии плаваешь... Дам наводку: адресное пространство (твой "флэт") в 32-битной ОС обычно делится на две части. Найди и почитай зачем и что именно находится в верхней его части. Вариантов вызова ядра много, также как и вариантов передачи параметров. Здесь основные: http://wiki.osdev.org/System_Calls И применительно к Линукс: https://blog.packagecloud.io/eng/2016/04/05/the-definitive-g.../ Надеюсь, ты знаешь английский и ассемблер, иначе зачем ты лезешь в системное программирование?
	Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

	61. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–1 +/–
	Сообщение от пох on 08-Фев-17, 14:59
	> Ты бы хоть книжки почитал раз даже в терминологии плаваешь я эти книжки писал. А вот ты дальше первой страницы так и не продвинулся, хотя я тебе уже трижды намекал, что ты не дочитал дальше довольно многое. Ну молодец, зазубрил "терминологию" (неведомо чью), а понять ничего так и не понял. > Дам наводку: адресное пространство (твой "флэт") в 32-битной ОС обычно делится на две > части. Найди и почитай зачем и что именно находится в верхней его части. Теперь попробуй передать управление в эту самую "вторую часть", или из нее, и удивись результату. А потом почитай что-нибудь еще, потому что описываемая технология не имеет, вот удивительно-то, ни малейшего отношения к передачам управления в код ядра, там речь исключительно о передачах управления внутри обычного пользовательского кода - но не туда, куда планировал автор. То есть и тут ты не понял ровно ничего. Я на этом с тобой спорить заканчиваю, тем более что модераторы тщательно оберегают душевное здоровье школоло, вместо того чтобы их глупости стирать.
	Ответить | Правка | ^ к родителю #47 | Наверх | Cообщить модератору

	62. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–1 +/–
	Сообщение от пох on 08-Фев-17, 15:03
	>> Дам наводку: адресное пространство (твой "флэт") в 32-битной ОС обычно делится на две >> части. Найди и почитай зачем и что именно находится в верхней его части. > Теперь попробуй передать управление в эту самую "вторую часть", или из нее, > и удивись результату. а, да - для менее упертых и более любознательных школьников - рекомендую все же подумать (и поискать, но это непросто) а зачем, собственно, при этом все равно используют flat-модель абсолютно везде и все (и чем кончились попытки использовать сегментную, а они были)
	Ответить | Правка | ^ к родителю #61 | Наверх | Cообщить модератору

	72. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от добрый on 09-Фев-17, 18:30
	Справедливости ради, попытки использовать разные сегменты были и вполне успешные, хоть и нишевые: это и PaX UDEREF для x86_32, и ядра редхата, позволявшие юзерспейс-процессам использовать все 4 ГБ адресуемой памяти. Отказ от сегментации в AMD64 с целью упрощения архитектуры негативно сказался как минимум на аспекте безопасности: тот же UDEREF до появления процессоров с PCID и SMAP на x86_64 был (и остаётся - на процессорах без этих фич) основан на релокации пользовательских страниц по смещению, задаваемому единожды случайно. Такой UDEREF до сих пор носит заслуженное звание weak and slow. При этом даже SMAP считается авторами Grseucrity более слабым механизмом, чем его старый 32-битный аналог на базе сегментов, из-за каких-то деталей реализации (я узнавал, не вдаваясь в подробности).
	Ответить | Правка | ^ к родителю #62 | Наверх | Cообщить модератору

67. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–1 +/–
Сообщение от добрый on 09-Фев-17, 03:35
Очень много недопонимания и агрессии в комментариях. Попробую прояснить некоторые моменты. Чем версия патча -stable отличается от -test на уровне кода... Во-первых, тем, что в качестве базы для stable используется одно из ядер LTS-ветки kernel.org. На данный момент это 4.4 и 3.14 (несмотря на EOL в апстриме). То есть, стабильность обеспечивается в основном за счёт внесения как можно меньших изменений в основной код ядра, как и в случае с ядрами из дистрибутивов. Во-вторых, в -stable версию не включаются (иногда вплоть до окончания поддержки отдельно взятой) наиболее свежие нововведения, либо включаются с задержкой. Это может быть связано с нестабильностью нововведений или большими объёмами работ для их бэкпортирования и параллельного сопровождения. Нарушают ли авторы Grsecurity лицензию ядра, продавая патчи? Нет, не нарушают, поскольку GPL не запрещает извлечение прибыли как таковое - она лишь не позволяет налагать дополнительные ограничения на использование и распространение кода. Но разве авторы Grsecurity не накладывают таких ограничений, например, требуя от клиента подписания каких-нибудь NDA? Нет, никаких ограничений на использование и распространение предоставляемых патчей не накладывается. Но при этом авторы Grsecurity оставляют за собой право разорвать контракт на предоставление НОВЫХ стабильных патчей в БУДУЩЕМ, в случаях, если найдутся достаточные основания подозревать клиента в регулярной публикации патчей или их передачи крупным корпорациям, которые создавали проекту проблемы в прошлом. Эпизодические "утечки" отдельных патчей - как при выполнении условий GPL, так и на усмотрение клиентов - никак не осуждаются и не служат основанием для расторжения контракта.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	68. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+1 +/–
	Сообщение от Аноним (??) on 09-Фев-17, 04:29
	Очень хорошо, спасибо. Ты говоришь, что запрет распространения купленных исходников GPL есть НЕ нарушение GPL. Пруф в студию или мне нужно это сделать за тебя?
	Ответить | Правка | ^ к родителю #67 | Наверх | Cообщить модератору

	69. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–1 +/–
	Сообщение от Аноним (??) on 09-Фев-17, 08:54
	> Очень хорошо, спасибо. Ты говоришь, что запрет распространения купленных исходников GPL > есть НЕ нарушение GPL. Пруф в студию или мне нужно это > сделать за тебя? Он же написал "никаких ограничений на использование и распространение предоставляемых патчей не накладывается", значит GPL не нарушается. На уровне контракта они могут запретить использование торговой марки для производных продуктов.  Заявления "если найдутся достаточные основания подозревать клиента..." юридически не обоснованы и не могут быть поводом для расторжения контракта. Но понять их можно, неприятно когда на какие-то облачные безделушки, на патченье кривого openssl и на разработку очередного fuzzer-а выделяют миллионы, а патчи grsecurity, которые реально, а не на словах, повышают безопасность, тянут без какой-либо отдачи и ещё себе приписывают достижения.
	Ответить | Правка | ^ к родителю #68 | Наверх | Cообщить модератору

	73. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 10-Фев-17, 01:26
	Я покопался в сути вопроса. Ньанс заключается в том, что ядро Linux поставляется под GPL с исключениями. А данный патч насильно превращает ядро Linux в софт под чистым GPL. Таким образом, вынуждая корпорации не только открывать код несчастного патча, но и всего остального (закрытые модули, закрытое ПО, писавшееся десятилетиями в 100, 500, 1000 человек), вообще не связанного с этим патчем. Поэтому, несчатный делает оговорку, мол в своей компании можете делать с этим патчем все что угодно. А вот если поставляете клиенту свою пропиетарщину с моим патчем, то давайте-ка делать все по GPL: отдавай все исходники. К ядру. К софту. Ко всему. Не дашь, ты нарушитель GPL. >Но понять их можно, неприятно когда на какие-то облачные безделушки, на патченье кривого openssl и на разработку очередного fuzzer-а выделяют миллионы, а патчи grsecurity, которые реально, а не на словах, повышают безопасность, тянут без какой-либо отдачи и ещё себе приписывают достижения. Что ты понимаешь? Под какой лицухой выпускается openssl? Как устроен саппорт OpenSSL? https://www.openssl.org/support/donations.html https://www.openssl.org/support/contracts.html Чувствуешь разницу? Ты не видешь вообще разницы, что и тот и тот софт полезен. Где твой gnutls? Где твой libressl? И где форки PAX/grsecurity под libre-лицензиями? Так что получается, что за счет OpenSSL пользы больше, т.к. бизнес развивается не только у авторов OpenSSL, но и у FSF, ребят из OpenBSD -- они тоже на донатах живут.
	Ответить | Правка | ^ к родителю #69 | Наверх | Cообщить модератору

	74. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–1 +/–
	Сообщение от добрый on 10-Фев-17, 03:32
	> Я покопался в сути вопроса. Ньанс заключается в том, что ядро Linux > поставляется под GPL с исключениями. А данный патч насильно превращает ядро > Linux в софт под чистым GPL. Таким образом, вынуждая корпорации не Откуда у вас эта информация, можете поделиться? На сколько я понимаю, ядро поставляется под самой обычной, "чистой" GPLv2 безо всяких исключений: https://www.kernel.org/pub/linux/kernel/COPYING По поводу же модулей из разъяснений Линуса следует, что они рассматриваются как пользователи стандартных интерфейсов ядра и скорее загружаются в него, а не линкуются: http://linuxmafia.com/faq/Kernel/proprietary-kernel-modules....
	Ответить | Правка | ^ к родителю #73 | Наверх | Cообщить модератору

	75. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	+/–
	Сообщение от Аноним (??) on 10-Фев-17, 04:03
	>По поводу же модулей из разъяснений Линуса следует, что они рассматриваются как пользователи стандартных интерфейсов ядра и скорее загружаются в него, а не линкуются А данный патч загружается? Не линкуется с ядром? Нет? Тогда почему человек так бузит и баттхерт от того, что кто-то не поддерживает более Х месяцев дешевые поделия? Понимаешь в чем дело, он составил свои условия довольно корректно, не придерешься. Однако, проблема нарушения GPL в том, что он сует нос туда куда не следует. Забота о репутации доказана: он отказывается от гарантий, хотя ему заплатили за услуги. Нет гарантий -- нет уважения. Вот ты платишь в FSF бабло, а они тебя на эти деньги преследуют, следят за тобой, как бы ты не нарушил GPL. И сам мужик продается дешево (по данным из сети, просит всего $200/месяц). Кроме того как баба ведет себя: я могу вас забанить, а если денег не хватит -- разбаню обратно. Что это за девичьи капризы? У вас бизнес или хобби? Да поставь ты расценки такие, которые тебя устроят чтобы ты не сувал нос туда куда не следует! Ты ж автор, может сделать двойное лицензирование. Но нет. Надо именно делать по GPL. Ну, поздравляю. Кто как может, тот так и ...
	Ответить | Правка | ^ к родителю #74 | Наверх | Cообщить модератору

71. "Проект grsecurity опубликовал реализацию механизма защиты RA..."	–1 +/–
Сообщение от добрый on 09-Фев-17, 18:19
> Заявления "если найдутся достаточные основания подозревать клиента..." юридически не обоснованы и не могут быть поводом для расторжения контракта. Всё-таки, если такое право одной из сторон в одностороннем порядке определять основания для расторжения закреплено за ней в действующем договоре, то оно имеет юридическую силу.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема