Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Для ядра Linux предложена реализация белого списка исполняем..."	+/–
Сообщение от opennews (??) on 30-Май-17, 22:34
В списке рассылки ядра Linux опубликован (https://lkml.org/lkml/2017/5/30/376) набор патчей с реализаций LSM-модуля WhiteEgret, представляющего средства для обеспечения защиты системы через применение белого списка исполняемых компонентов. WhiteEgret допускает исполнение только кода приложений и библиотек, которые явно разрешены и занесены в заранее определённый белый список. Исполнение  всех  не включённых в список приложений блокируется, что не позволяет выполнить в системе недозволенные программы и вредоносное ПО. WhiteEgret хорошо подходит для статичных окружений, состав которых не меняется длительное время, например, для типовых серверов и промышленных управляющих систем. Обработка белого списка дозволенных программ выполняется в пользовательском окружении при помощи процесса WEUA (WhiteEgret User Application). В процессе обработки системных вызовов execve и mmap_file ядро отправляет в WEUA запрос, передавая полный путь к исполняемому файлу.  WEUA на основании белого списка принимает решение о возможности исполнения данного файла. Вызов mmap_file применяется для перехвата загрузки разделяемых библиотек в область памяти, допускающую выполнение. Кроме файлового пути проверяется хэш от содержимого  исполняемого файла, что позволяет блокировать файлы, изменённые после занесения в  белый список. Взаимодействие WEUA с ядром осуществляется при помощи интерфейса netlink. Особенности WhiteEgret: -  Упрощённая начальная настройка. В простейшем случае белый список можно сформировать путём включения в него всех исполняемых файлов, доступных в свежеустановленной системе. Подобный список обеспечит блокирование всех приложений, не входящих в штатную поставку; -  Короткое время простоя при обновлении системы. После выполнения обновления достаточно перестроить белый список с учётом изменения хэшей исполняемых файлов; -  Независимость от состава рабочего окружения и отсутствие дополнительных требований к нему. Например,  WhiteEgret не зависит от типа файловых систем и TPM (Trusted Platform Module). URL: https://lkml.org/lkml/2017/5/30/376 Новость: http://www.opennet.me/opennews/art.shtml?num=46626
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Для ядра Linux предложена реализация белого списка исполняем..."	+8 +/–
Сообщение от user (??) on 30-Май-17, 22:34
Чем SELinux и AppArmor не угодили?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	4. "Для ядра Linux предложена реализация белого списка исполняем..."	+10 +/–
	Сообщение от fsdgsdfsagsdfasdf on 30-Май-17, 22:38
	Вопрос в другом: зачем ядро вообще что-то должно знать о ПО? Этот монолитный кусок и без того драйвера с собой таскает, так еще и окружение припаять хотят.
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	58. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Меломан1 on 31-Май-17, 07:56
	SELinux и AppArmor реализованы на уровне ядра, а эта "приблуда" вроде как альтернатива этим системам принудительного контроля доступа. Если "приблуду" в ядро не запихать, то как будет systemd выполняться? Если бы WhiteEgret был полноценной заменой selinux и отслеживал/блокировал скрипты (bash, java), изменения в конфигах, то часть дистрибутивов выпускалось с таким ядром. Но это просто "костыль" и в ванильном ядре ему делать нечего.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	60. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от Аноним (??) on 31-Май-17, 08:09
	Ядро это самое ПО загружает и исполняет. Так что избирательный фильтр для этой функции вполне логично в нём смотрится, тем более мы говорим про ядро, в которое даже сетевой фильтр запихали. Другое дело что существует SELinux, который умеет и это и многое другое. Видимо кто-то ниасилил.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	61. "Для ядра Linux предложена реализация белого списка исполняем..."	+3 +/–
	Сообщение от Очередной аноним on 31-Май-17, 08:18
	> Вопрос в другом: зачем ядро вообще что-то должно знать о ПО? Вы статью-то читали? Ядро по прежнему ничего о ПО знать и не будет: "Обработка белого списка дозволенных программ выполняется в пользовательском окружении при помощи процесса WEUA..." О ПО будет знать процесс WEUA, который ядру и будет подсказывать "пускать/не пускать". А в ядре всего лишь несколько хуков на системных вызовах и обращение к пользовательскому процессу WEUA. Т.е. в ядре никаких списков и хэшей для данной подсистемы храниться и обрабатываться не будет.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	74. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от X3asd (ok) on 31-Май-17, 11:35
	> О ПО будет знать процесс WEUA, который ядру и будет подсказывать "пускать/не пускать". А в ядре всего лишь несколько хуков на системных вызовах и обращение к пользовательскому процессу WEUA. Т.е. в ядре никаких списков и хэшей для данной подсистемы храниться и обрабатываться не будет. ды лол же!! маленькими хуками в ядре -- тут не обойтись! смотри: 1. ядро будет спрашивать у демона -- "тукую-то программ можно запустить?" 2. демон поглядел свои настройки, проверил программу, затем говорит "да! можно я всё проверил" 3. затем ядро хочет запустить то что ей разрешили -- НО УЖЕ ПОНЯТИЯ НЕ ИМЕЕТ -- действительно ли это тот же самый файловый объект который как раз проходил проверки, и про который мы спрашивали изначально! ведь уже прошло некоторое количество времени и файлы могли поменяться.. вопрос -- "что именно ядру разрешили запускать?" ответ -- "не понятно"
	Ответить | Правка | ^ к родителю #61 | Наверх | Cообщить модератору

	76. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от Аноним (??) on 31-Май-17, 12:16
	надо так делать 1. ядро создаёт процесс из требуемого файла в остановленном состоянии. 2. тут тёрки с демоном 3.a - демон сказал что нельзя - ядро херачит область памяти созданного процесса и (и это главное) сохраняет эту область в тот файл из пункта 1. 3.б - демон сказал можно - процесс переводится в состояние выполнения Пункт 3.а мне особенно нравится.
	Ответить | Правка | ^ к родителю #74 | Наверх | Cообщить модератору

	32. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от mixaly4 on 31-Май-17, 01:50
	присоединюсь к вопросу
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	67. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от Аноним (??) on 31-Май-17, 09:19
	Не идёт с панкейками под смузи.
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "Для ядра Linux предложена реализация белого списка исполняем..."	–2 +/–
Сообщение от freehck (ok) on 30-Май-17, 22:36
Ну вот, теперь руткиты ставить будет сложнее, какая жалость! (upd: применяется не только к бинарям, но и к библиотекам, неплохо, неплохо)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	111. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Аноним (??) on 04-Июн-17, 15:58
	Это был сарказм? Руткиты и сплойты очень нужны, когда речь идет о своем телефоне или видеокамере, где вроде бы полноценный линукс, а вот софта - нет.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

3. "Для ядра Linux предложена реализация белого списка исполняем..."	–3 +/–
Сообщение от Аноним (??) on 30-Май-17, 22:38
Всё гениальное просто.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "Для ядра Linux предложена реализация белого списка исполняем..."	+2 +/–
Сообщение от Аноним (??) on 30-Май-17, 22:44
А если зловредный скрипт на баше? Баш-то наверняка будет в белом списке.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	7. "Для ядра Linux предложена реализация белого списка исполняем..."	+18 +/–
	Сообщение от Crazy Alex (ok) on 30-Май-17, 22:57
	Там таких "а если" - сотнями будет
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	15. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 30-Май-17, 23:30
	Авторы уже тычут лицом в эти "a если": - что будет если демона прибьет OOM killer ? - как насчет симлинков, точек монтирования, контейнеров и чрутов ? А это вообще прекрасно: WhiteEgret has two interface to communicate between kernel space and user space: netlink and device driver. Although we plan on using netlink, kernel Oops rarely happens when we use netlink.
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	24. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 31-Май-17, 00:26
	OOM - можно запретить для определённых процессов
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

	75. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 31-Май-17, 12:03
	> Авторы уже тычут лицом в эти "a если": > - что будет если демона прибьет OOM killer ? demontools перезапустит.
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

	77. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 31-Май-17, 12:26
	А ООМ опять убьёт. Кто победит - утюг или холодильник?
	Ответить | Правка | ^ к родителю #75 | Наверх | Cообщить модератору

	84. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 31-Май-17, 14:22
	> А ООМ опять убьёт. > Кто победит - утюг или холодильник? Чубейс! Так как в результате этого процесса электроэнергия все же будет потребляться ;) ООМ все же посерьезней выглядит, так как это уровень ядра. Хотя если он убьет основной демон daemontools (извиняюсь за тавтологию и забыл как он там называется), PID1 его перезапустит. Как известно PID1 лучше не убивать. Вот как то так, где то там, наверняка и будет ;)
	Ответить | Правка | ^ к родителю #77 | Наверх | Cообщить модератору

	18. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 30-Май-17, 23:36
	> А если зловредный скрипт на баше? Насколько я понимаю, shebang обрабатывается ядром, а именно binfmt_misc.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	25. "Для ядра Linux предложена реализация белого списка исполняем..."	+3 +/–
	Сообщение от Crazy Alex (ok) on 31-Май-17, 00:30
	/bin/sh myscript
	Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

	30. "Для ядра Linux предложена реализация белого списка исполняем..."	+8 +/–
	Сообщение от Аноним84701 (ok) on 31-Май-17, 00:41
	>> А если зловредный скрипт на баше? > Насколько я понимаю, shebang обрабатывается ядром, а именно binfmt_misc. echo 'basename $0; echo "securing your data"; rm -rf ~/*'|bash
	Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

	39. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 31-Май-17, 05:01
	Или на любом другом разрешенном интерпретируемом или JIT-компилируемом языке. Вообще, программа != исполняемый файл, поэтому идея очень странная.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	99. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 31-Май-17, 22:35
	Да и обычный динамически слинкованный ELF через ld.so запустить никто не мешает.
	Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

	41. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Это я on 31-Май-17, 06:29
	Осталось сделать подписывание скриптов и других исполняемых файлов сертификатом администратора
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	43. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от ыы on 31-Май-17, 07:10
	кто то подумал "а в виндовс это еще 10 лет назад было" :)
	Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

	48. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Это я on 31-Май-17, 07:22
	Дык, и я о том же. Это надо для критически важных объектов инфраструктуры.
	Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

	113. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Аноним (??) on 05-Июн-17, 20:39
	Нет, нет что вы! Кто то подумал: а в виндовс - ещё 20 лет назад запускалось только то что надо. P.S. Но,если честно - доступ-конроль мог быть успешно реализован к ресурсам, например прямомоу доступу к диску или на форматирование его, ещё в MS DOS 5,   30+ лет назад... и более куларно - наверняка и раньше.
	Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

	63. "Для ядра Linux предложена реализация белого списка исполняем..."	–2 +/–
	Сообщение от Очередной аноним on 31-Май-17, 08:50
	> Осталось сделать подписывание скриптов и других исполняемых файлов сертификатом администратора Я довольно далек от линукса (и тем более от SELinux, AppArmor), командной строки и скриптовых оболочек, но в связи с этим родился вопрос. Загрузчик программ по шебангу в скрипте определяет какой интерпретатор запустить ("#!/bin/sh" и т.д.). Не поддерживает ли он (загрузчик) еще какие-нибудь строчки с метаданными, типа той же подписи, к примеру, вида "#sign{SHA-512}07E547D9 586F6A73 F73...", которая бы формировалась с использованием каких-нибудь закрытых администраторских ключа/сертификата? Перед запуском можно было бы сверять и пущать/непущать. А при модификации скрипта админ под рутом "переподписывал" бы скрипт
	Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

	87. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от pavlinux (ok) on 31-Май-17, 17:31
	> А при модификации скрипта админ под рутом "переподписывал" бы скрипт а если забыл? reboot - > неалё -> командировка в Сургут поднимать сервак администрации села Кукуй-боруй?
	Ответить | Правка | ^ к родителю #63 | Наверх | Cообщить модератору

	101. "Для ядра Linux предложена реализация белого списка исполняем..."	–2 +/–
	Сообщение от bircoph (ok) on 01-Июн-17, 00:03
	>> А при модификации скрипта админ под рутом "переподписывал" бы скрипт > а если забыл? reboot - > неалё -> командировка в Сургут поднимать > сервак администрации села Кукуй-боруй? Для таких задач обычно kvm используют. Оно ведь может много из-за чего упасть и не завестись.
	Ответить | Правка | ^ к родителю #87 | Наверх | Cообщить модератору

	47. "Для ядра Linux предложена реализация белого списка исполняем..."	–7 +/–
	Сообщение от ыы on 31-Май-17, 07:20
	> А если зловредный скрипт на баше? Баш-то наверняка будет в белом списке. а если уборщицы выдернет шнур? представлен механизм, который делает то что делает, и наверняка есть сферы, в которых он эффективно решает проблему. вы знаете другое решение проблемы? почему ваш код еще не в ядре?
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	64. "Для ядра Linux предложена реализация белого списка исполняем..."	+4 +/–
	Сообщение от XX1asd on 31-Май-17, 08:51
	> вы знаете другое решение проблемы? проблемы?!
	Ответить | Правка | ^ к родителю #47 | Наверх | Cообщить модератору

	65. "Для ядра Linux предложена реализация белого списка исполняем..."	+4 +/–
	Сообщение от XX1asd on 31-Май-17, 08:59
	> вы знаете другое решение проблемы? поведай же нам скорее о своих страданиях!!
	Ответить | Правка | ^ к родителю #64 | Наверх | Cообщить модератору

	85. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от враыв on 31-Май-17, 16:40
	> А если зловредный скрипт на баше? Баш-то наверняка будет в белом списке. Добавят этот скрипт в чёрный список, затем второй, третий.. А после добавят эвристический анализ и... Таким не хитрым макаром появится антивирь в ядре и всё из-за этой дэбильной затеи с белым списком.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

6. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
Сообщение от Аноним (??) on 30-Май-17, 22:45
видел эту идею еще в бородатые годы.. Антивирусники создавали свои хэши и проверяли файлы.. Ничего толкового выдумать не могут..
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	37. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Аноним (??) on 31-Май-17, 03:18
	Что ты предлагаешь?
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

10. "Для ядра Linux предложена реализация белого списка исполняем..."	+2 +/–
Сообщение от Аноним (??) on 30-Май-17, 23:06
Нужно этот модуль интегрировать с AIDE (http://aide.sourceforge.net/), чтобы базу хэшей при открытии файлов сверял и блокировал при несовпадении.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	13. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от IB on 30-Май-17, 23:21
	Так то хэши. > передавая полный путь к исполняемому файлу. Цирк и школьники (студенты?)
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	95. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от ъ on 31-Май-17, 18:27
	эм.. путь точно нужен /usr/lib/postgresql/9.4/bin/pg_dump /usr/lib/postgresql/9.6/bin/pg_dump /usr/lib/postgres-xl/bin/pg_dump
	Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

	114. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 05-Июн-17, 20:44
	> Нужно этот модуль интегрировать с AIDE (http://aide.sourceforge.net/), чтобы базу хэшей > при открытии файлов сверял и блокировал при несовпадении. А, о очень удобной особенности хакеру - коллизии хэша, не слышали?....
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

11. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
Сообщение от username (??) on 30-Май-17, 23:08
Хм, а нужно ли? Есть TPM модуль, если речь идет о промышленном применении. Хотя на некоторых ноутах он тоже есть.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	56. "Для ядра Linux предложена реализация белого списка исполняем..."	+3 +/–
	Сообщение от Это я on 31-Май-17, 07:39
	TPM сам Untrasted для некоторых применений, увы...
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

	71. "Для ядра Linux предложена реализация белого списка исполняем..."	–2 +/–
	Сообщение от username (??) on 31-Май-17, 10:27
	Обоснуй, интересно узнать для каких. В линуксах уже есть 1 механизм для запуска подписанных локальным ключем бинарников с помощью tpm, к тому же в tpm есть хардварный геренератор случайных чисел.
	Ответить | Правка | ^ к родителю #56 | Наверх | Cообщить модератору

	72. "Для ядра Linux предложена реализация белого списка исполняем..."	+2 +/–
	Сообщение от Это я on 31-Май-17, 11:07
	С точки зрения доверия оборудованию и наличия в нем "закладок". В отличии от софта с исходным кодом, это черный ящик иностранного производства. Для "специальных" применений в гос.органах проще доверять софту. Дальше Сноуден с Ассанжем расскажут.
	Ответить | Правка | ^ к родителю #71 | Наверх | Cообщить модератору

	93. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 31-Май-17, 18:11
	А ничего что сам процессор это черный ящик иностранного производства да еще и с обновляемым микрокодом.
	Ответить | Правка | ^ к родителю #72 | Наверх | Cообщить модератору

	109. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Это я on 02-Июн-17, 08:35
	Это повод плодить новые дыры?
	Ответить | Правка | ^ к родителю #93 | Наверх | Cообщить модератору

	78. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от Аноним (??) on 31-Май-17, 13:29
	И что этот TPM сделает? Убедится, что загрузилось правильное ядро? А дальше?
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

12. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
Сообщение от Аноним (??) on 30-Май-17, 23:17
Во время обновления обновится приложение которое перегенирует хэши и как их тогда перегенерировать?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	46. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от cmp (ok) on 31-Май-17, 07:20
	Glibc же обновляется как-то, хотя в зависимостях у каждой первой проги, а вообще любой механизм защиты - это накладные расходы и источник траблов. При переполнении буфера в проге, что мешает зловреду добавит запись в белый список, то есть механизм проникновения на фс идентичен проникновению в белый список, то есть профит только от авторана на флешке, а-ха-ха :( .
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	50. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Это я on 31-Май-17, 07:26
	Давно пора реализовать возможность обновления аналогично solaris live upgrade. Жаль, что ни в одном массовом дистрибутиве linux нет такого штатного механизма обновления.
	Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

	66. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 31-Май-17, 09:14
	NixOS.
	Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

	68. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Это я on 31-Май-17, 09:24
	Увы, это экзотика.
	Ответить | Правка | ^ к родителю #66 | Наверх | Cообщить модератору

	82. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от fi (ok) on 31-Май-17, 13:54
	И чем же хорош  solaris live upgrade ???
	Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

	108. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Это я on 02-Июн-17, 08:33
	Минимальное время простоя при установке патчей и возможность быстро откатиться в случае неудачного обновления.
	Ответить | Правка | ^ к родителю #82 | Наверх | Cообщить модератору

	94. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 31-Май-17, 18:12
	> Давно пора реализовать возможность обновления аналогично solaris live upgrade. Жаль, что > ни в одном массовом дистрибутиве linux нет такого штатного механизма обновления. Чур меня, чур ! Только не это !
	Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

14. "Для ядра Linux предложена реализация белого списка исполняем..."	+6 +/–
Сообщение от Аноним (??) on 30-Май-17, 23:26
Выглядит как полная хpeнь. Аффтару уже задают неприятные вопросы: https://lkml.org/lkml/2017/5/30/656
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	54. "Для ядра Linux предложена реализация белого списка исполняем..."	–3 +/–
	Сообщение от Это я on 31-Май-17, 07:35
	«Один дурак может задать вопросы, на которые и сто мудрецов не ответят» (с) 1000 и 1 ночь
	Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

	89. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от pavlinux (ok) on 31-Май-17, 17:45
	> «Один дурак может задать вопросы, на которые и сто мудрецов не ответят» > (с) 1000 и 1 ночь Это называется Упреждающий удар, чтоб мудрецов не назвали тупыми.
	Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

16. "Для ядра Linux предложена реализация белого списка исполняем..."	+2 +/–
Сообщение от Аноним (??) on 30-Май-17, 23:36
> передавая полный путь Который из? PS: ставлю, что не примут.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	27. "Для ядра Linux предложена реализация белого списка исполняем..."	+2 +/–
	Сообщение от Crazy Alex (ok) on 31-Май-17, 00:32
	Разумеется. Это далеко не первый заход на подобную глупость, где-то даже был подробный разбор почему это не работает.
	Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

	44. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Это я on 31-Май-17, 07:17
	software restriction policies, applocker давно есть и даже работает. У SANS в "20 Critical security controls" это тоже есть, причем с достаточно высоким приоритетом.
	Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

31. "Для ядра Linux предложена реализация белого списка исполняем..."	+2 +/–
Сообщение от Аноним (??) on 31-Май-17, 00:58
Любму, кто хоть раз пытался настроить вещь вроде tomoyo (с его глобальной политикой определения что откуда можно запускать) очевидно, что вне крайне урезанной и статичной среды - это адова боль. Не взлетит.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	34. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Онаним on 31-Май-17, 02:17
	Так среда в продакшн и должна быть урезана и статична, не?
	Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

	35. "Для ядра Linux предложена реализация белого списка исполняем..."	+8 +/–
	Сообщение от Аноним (??) on 31-Май-17, 02:34
	Скажи это всяким девопсам, с приложениями на рубях (gem), питоне (virtualenv), похапе (composer), ноджс (npm) и жабе (maven). Там чтобы вкурить что откуда запускается надо неделю потратить. Да и добавь туда толпы докер-хипстеров.
	Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

	52. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от Это я on 31-Май-17, 07:32
	Проблема в том, что достаточно мало инструментов, которые при необходимости повышения требований к ИБ не превращают эксплуатацию в закат Солнца вручную.
	Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

	45. "Для ядра Linux предложена реализация белого списка исполняем..."	–2 +/–
	Сообщение от Это я on 31-Май-17, 07:19
	А кто говорил, что это надо пихать прям везде? У таких решений есть своя ниша, например - автономные ПК, на которых обрабатывают информацию достаточной степени конфиденциальности.
	Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

	53. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от cmp (ok) on 31-Май-17, 07:35
	> А кто говорил, что это надо пихать прям везде? У таких решений > есть своя ниша, например - автономные ПК, на которых обрабатывают информацию > достаточной степени конфиденциальности. Ну допустим, вот работает она вся такая защищенная система и приходит юзер и пытается запустить свою прогу, noexec должен слать его лесом с его флешкой, домашней директорией и всякими временными папками. А если хватанула система переполнение буфера и код интегрировался в уже прошедший проверку образ бинарника в памяти, что мешает ему внести изменения в белый список, так же как и внести изменения в фс. То есть эта хрень добавляет еще одну проверку, которая обходится точно так же как и предыдущая, и в чем смысл.
	Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

	55. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Это я on 31-Май-17, 07:38
	"Ну допустим, вот работает она вся такая защищенная система и приходит юзер и пытается запустить свою прогу, noexec должен слать его лесом с его флешкой, домашней директорией и всякими временными папками. " Тут как раз в том и задача, чтоб не дать юзеру никак запустить его прогу - только разрешенный софт. Это не нужно домохозяйкам.
	Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

	57. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от cmp (ok) on 31-Май-17, 07:44
	> "Ну допустим, вот работает она вся такая защищенная система и приходит юзер > и пытается запустить свою прогу, noexec должен слать его лесом с > его флешкой, домашней директорией и всякими временными папками. " > Тут как раз в том и задача, чтоб не дать юзеру никак > запустить его прогу - только разрешенный софт. Это не нужно домохозяйкам. Дык монтируй систему на ro и noexec все что на rw и зачем чета пихать в ядро там и так есть все что надо.
	Ответить | Правка | ^ к родителю #55 | Наверх | Cообщить модератору

	59. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Это я on 31-Май-17, 07:59
	Еще есть задача - не заразить съемные носители, не похерить на нем все документы и т.п. В основном это касается спец.объектов. Специфическая штука. "Да ты не рыбак, тебе не понять" (с) анекдот. Ну и потом, при построении системы защиты рекомендуется  применять сразу несколько видов на случай если один или более - откажут (ошибка в реализации, настройке, переполнение буфера и т.п.).
	Ответить | Правка | ^ к родителю #57 | Наверх | Cообщить модератору

	69. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от XX1asd on 31-Май-17, 09:42
	> Еще есть задача - не заразить съемные носители, не похерить на нем все документы и т.п. В основном это касается спец.объектов. Специфическая штука. "Да ты не рыбак, тебе не понять" ой! ды всё понятно! нужно сделать херьню, которая не добавляет толком ни какой защиты, но для неквалифицированного обывателя выглядет будто защита.. ..затем этот программно-аппаратный комплекс продавать за огромные тыщи (государствам? на деньги налогоплательщиков?), рассказывая байки про "пуленепробиваемость".. (на практике же эта пуленепробиваемость будет​ обеспечиваться принципом "неуловимого джо" или ещё чём-то.. ну уж точно не этой прослойкой :-))
	Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

	73. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Это я on 31-Май-17, 11:14
	Когда учился в ВУЗе, тоже многие вещи казались бреднями параноиков, а теперь норма, что тебя могут прослушать, и по колебаниям листьев цветка в горшке на окне и чуть ли не на отключенный телефон могут позвонить (немного утрирую). В том что касается безопасности, мелочей не бывает - потом отвечать приходится. Так что пусть уж лучше будет "Неуловимый Джо", чем его не будет, когда понадобится.
	Ответить | Правка | ^ к родителю #69 | Наверх | Cообщить модератору

	97. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от X3asd (ok) on 31-Май-17, 20:38
	> Так что пусть уж лучше будет "Неуловимый Джо", чем его не будет, когда понадобится. нет. большое количество дурацкой защиты -- хуже чем маленькое количество хорошей защиты. потому-что в этом вопросе -- количество не переходит в качество. чем больше гоовнокода -- тем больше шансов что дыры так и останутся авторами НЕнайденными (найденными -- злоумышленником) и НЕисправленными. а очередная прослойка которая вроде как выглядет как установленная *последовательно* -- в случайный момент может оказаться *параллельным* способом обойти защиту. *маленькое* количетсво защиты беспорное лушчее решение -- так как способно проходить более тщательный контроль качества -- а также уменьшает количество гипотетических комбинаций всевозможных ситуаций.
	Ответить | Правка | ^ к родителю #73 | Наверх | Cообщить модератору

	83. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 31-Май-17, 14:19
	> Дык монтируй систему на ro и noexec все что на rw /lib/ld-linux.so.2 /your/noexec/directory/malicious_bin
	Ответить | Правка | ^ к родителю #57 | Наверх | Cообщить модератору

	98. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от X3asd (ok) on 31-Май-17, 20:40
	>> Дык монтируй систему на ro и noexec все что на rw > /lib/ld-linux.so.2 /your/noexec/directory/malicious_bin chmod -x -- /lib/ld-*.so*
	Ответить | Правка | ^ к родителю #83 | Наверх | Cообщить модератору

	100. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Аноним (??) on 31-Май-17, 22:38
	>>> Дык монтируй систему на ro и noexec все что на rw >> /lib/ld-linux.so.2 /your/noexec/directory/malicious_bin > chmod -x -- /lib/ld-*.so* И всё равно rm -rf /* надёжнее.
	Ответить | Правка | ^ к родителю #98 | Наверх | Cообщить модератору

33. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
Сообщение от Отражение луны (ok) on 31-Май-17, 02:14
Действительно. Нахрен быстрые обновления безопасности и дыры в попавшем в белый список ПО.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

38. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
Сообщение от d000 on 31-Май-17, 03:29
Помнится уже было что-то на тему подписанных приложений. Не совпала подпись - не запускаем. И тут и там для защищаемых систем нужно формировать отдельные пакеты/списки/прочее. Сдается мне, это просто чья-то поделка, которую со временем выложили в опенсорс.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	92. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от pavlinux (ok) on 31-Май-17, 18:07
	> Сдается мне, это просто чья-то поделка, которую со временем выложили в опенсорс. Код не смотреть, доки не читать, комент писать! ))) + * WhiteEgret Linux Security Module + * + * Copyright (C) 2017 Toshiba Corporation +MODULE_LICENSE("GPL"); +MODULE_AUTHOR("Toshiba");
	Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

40. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
Сообщение от Это я on 31-Май-17, 06:27
Джва года ждал! Только почему в ядро?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	42. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от EuPhobos (ok) on 31-Май-17, 07:08
	> Джва года ждал! Только почему в ядро? Вот именно, нужно глубже, сразу в БИОС! ..а, стоп. Ведь уже.. uefi
	Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

	51. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Это я on 31-Май-17, 07:30
	Sapienti sat, а остальным - бесполезно...
	Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

70. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
Сообщение от qsdg (ok) on 31-Май-17, 09:55
Это чтобы сисадмина не могли уволить.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

79. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
Сообщение от ALex_hha (ok) on 31-Май-17, 13:34
> Так среда в продакшн и должна быть урезана и статична, не? для этого есть докер ;)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

80. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
Сообщение от Аноним (??) on 31-Май-17, 13:41
на сколько легко прострелить ногу - забыть включить нужное приложение и получить не ремонтируемую без liveusb систему?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	90. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от pavlinux (ok) on 31-Май-17, 17:55
	> не ремонтируемую без liveusb систему? Как, вы еще не шифруете диски?
	Ответить | Правка | ^ к родителю #80 | Наверх | Cообщить модератору

86. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
Сообщение от Аноним (??) on 31-Май-17, 17:05
Чото непонятно: чем это лучше аппармора?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

91. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
Сообщение от pavlinux (ok) on 31-Май-17, 18:04
Расходимся посаны... static int we_driver_open(struct inode *inode, struct file *filp) {     root = start_we();     if (!root)         return -EPERM;     return SUCCESS; }
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	96. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Ordu (ok) on 31-Май-17, 18:34
	Лол. we -- это аббревиатура, а не местоимение. Не сразу понял, но как понял, так сразу стало не смешно и скучно. Действительно: расходимся посоны.
	Ответить | Правка | ^ к родителю #91 | Наверх | Cообщить модератору

104. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
Сообщение от anonim (ok) on 01-Июн-17, 20:11
Представляю секс с попыткой восстановления такой системы в случае "посыпавшегося" носителя...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

105. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
Сообщение от Аноним (??) on 01-Июн-17, 21:03
С учетом того, что это сделал Тойота, то она сделала это для себя. А конкретно под компы в автомобилях, где система ставится на заводе, продается богатенькому сынку. И вот ему реально по барабану как и что обновлять. На таких железках нету ни перла, ни питона и прочей лабудени, только чистая сишка иль плюсы. А вместо баша -- классический форк busybox. Вот на таких системах это реально нужная штука. Т.к. даже если кто-то взломает систему абы как, то а) нужно получить права на смену файла в белом списке б) чтобы это сделать нужен рут. А поскольку в Тойоте работают не последние идиоты, то это будет сделать практически нереально. Если вырубить полностью busybox/sh, то время на взлом будут дороже, чем найм ассассина :)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	106. "Для ядра Linux предложена реализация белого списка исполняем..."	+2 +/–
	Сообщение от Аноним (??) on 01-Июн-17, 23:41
	Тойота, тошиба какая разница ?
	Ответить | Правка | ^ к родителю #105 | Наверх | Cообщить модератору

	107. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Аноним (??) on 02-Июн-17, 01:18
	Заметил уже после поста. Смысл про автомобили не изменился. Тем более, авторы в рассылке сами отписались, что все сделано для узкого класса систем. Ну, аналитики вспомнили первое с чем они всегда работают, забыв, что кто-то не такой как все.
	Ответить | Правка | ^ к родителю #106 | Наверх | Cообщить модератору

	115. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 05-Июн-17, 20:55
	> нужен рут. ... это будет сделать практически нереально. :)
	Ответить | Правка | ^ к родителю #107 | Наверх | Cообщить модератору

	116. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (??) on 05-Июн-17, 21:18
	Не говоря уже про аппаратные backdoors, начиная с AMT и заканчивая - "Продемонстрировано использование уязвимости в DRAM-памяти" https://www.opennet.me/openforum/vsluhforumID3/101717.html
	Ответить | Правка | ^ к родителю #115 | Наверх | Cообщить модератору

110. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
Сообщение от KroTozeR (ok) on 02-Июн-17, 23:15
Ну, просто вирусы обзаведутся хаком WEUA.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

112. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
Сообщение от Просто идиот on 04-Июн-17, 21:50
Я конечо идиот, но объясните мне, что помешает приложениям из белого списка выполнять недопустимые действия? Ещё одна ... которая вместе с аппармор, системдэ, и прочими иэркью балансами будет просто есть место на диске, отнимать время ЦПУ и оперативную память, висеть в багтрэках, и добавлять результаты поиска на тему "как  настроить ..., что бы ...". Нет уж идите ... вас тут не было, вы кто такие, я вас не звал, идите на ...!
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

117. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
Сообщение от Аноним (??) on 07-Июн-17, 02:24
SELinux по-умолчанию разрешает выполнение программ и скриптов БЕЗ ПРАВИЛ, о которых ему ничего не известно. Но есть всего одна опция для ЗАПРЕТА. Что мешало девелоперам сего вот просто взять и включить её?..
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема