Linux 3.7 nabídne podepisování modulů

Linux 3.7 bude podporovat podepisování jaderných modulů. Při vynucování podpisu nebude možné načíst modul, který není podepsán pomocí klíče umístěného v jádře. Tato bezpečnostní funkce je z dílny Red Hatu.

17.10.2012 12:52 | Luboš Doležel (Doli) | Zajímavý software

Komentáře

[little.owl]

Wow .... a jeste integrace s UEFI Secure Boot a je vymalovano!

[TPBFan]

\dev\ka skoncila

[lyon]

A ty zpetny lomitka maji bejt co?

[Jendа]

Cesta, ne? Jsi nikdy neviděl terminál?

C:\>

[Salamek]

Fuj

[mrv]

a bude podporovat == bude vynucovat? to dost pochybuju...stejne jako to, ze to nepujde, minimalne pri kompilaci, vypnout. ale katastrofickym scenarum se meze nekladou, wtz!

[Michal Fecko]

*facepalm*

[Rezza]

No to je samozrejme cilem Nebo spis duvod podepisovani.

[Xóža Hňabaj]

Zajímavé. Jak se ale zabrání rootovi, aby nějak patchnul běžící kernel přes /dev/(k)mem a zpřístupnil si tak loadování kteréhokoliv modulu?

[michich]

CONFIG_STRICT_DEVMEM=y
# CONFIG_DEVKMEM is not set

[azurIt]

Na toto su rozne metody avsak na kompletnu vymenu kernelu+reboot uz nie :)

[Jendа]

Ale co když root nemůže zapisovat do konfigurace bootloaderu ani přepsat kernel na disku?

[j]

Jednak by me zajimalo, jak mu v necem takovym zabranis, druhak si muze nekam uplne jinam dat jinej kernel a jinej bootloader ...

[David Jaša]

pán ještě neviděl selinux v plné parádě?

[azurIt]

Tak v tom pripade nepotrebujes ani podpisovat moduly, nie? :)

[David Jaša]

Potřebuješ všechno, pokud to má být bezpečné. Každá věc sama o sobě řeší jen to, co má pod palcem.

[azurIt]

Ten, kto to s bezpecnostou mysli vazne, pouziva monoliticke jadro. Funkcia je sice zaujimava ale nerozumiem, pre koho je urcena (mozno pre nejake embedded zariadenia).

[Jendа]

Ten, kto to s bezpecnostou mysli vazne, pouziva monoliticke jadro.

Ale no tak… proč by linuxové distribuce, kde si nemusíš stavět vlastní jádro, nemohly být bezpečné?

[azurIt]

Pretoze potom nevies, kto ti do kernelu co napchal a zrejme sa to uz ani nikdy nedozvies. Ak sa utocnikovi podari natlacit kod priamo do kernelu, tak si proste nahraty.

[Jendа]

Když si kompiluješ jádro vlastní, tak to víš?

[Jendа]

Jednak by me zajimalo, jak mu v necem takovym zabranis

Prostě nejde zapsat do prvních 100 MB /dev/sda nebo do flash čipu, ve kterém je jádro.

druhak si muze nekam uplne jinam dat jinej kernel a jinej bootloader

Jak?

[Johny]

Můžete roota varovat. Můžete mu něco doporučit, či nedoporučit. Ale vynucovat něco na rootovi prostě nepůjde... :D

[h0nzZik]

Proc by to neslo? Z pohledu jadra neni problem napriklad vytvorit soubor, do kteryho root nezapise, ani kdyz mu nastavi opravneni k zapisu (vyzkouseno).

[Johny]

Kdyz tam ale root opravdu chce zapsat, tak proste upravi jadro, rebootne a zapisuje jakoby nic.

[l4m4]

Ve skutečnosti root upraví jádro, rebootne a tím skončí, protože bootloader odmítne upravené jádro natáhnout.

[Michal Fecko]

To je predsa blbost...

[l4m4]

Proč?

[mmad]

A následuje reklamace dodavateli sestavy či rovnou chip tuning.

[Jendа]

Ale já ten backdoor instaluju do vozítka na Marsu díky nové suprové díře v openssh, která způsobila, že náhodné prvočíslo je vždy 29. Takže do toho nemůžu hrábnout pájkou.

[Michal Fecko]

Poslu tam zachrannu misiu a k tebe specialnu jednotku

[l4m4]

To je jedině dobře. Hrabat do prvočísla 29 pájkou. Ts, ts.

[Grunt]

Ještě chybí nějaký texťák, který by vysvětlil k čemu je to vlastně dobré. Já to nikdy moc nepochopil ani u Widlí. Takže k čemu je to vlastně dobré?

[Jiří J.]

K tomu, aby ti nefungovaly xtables-addons.

[Jendа]

Aby ti nikdo nemohl [vzdáleně] nainstalovat nedetekovatelný backdoor.

Aby mohla trochu lépe fungovat řešení jako Qubes OS.

[Grunt]

Aby ti nikdo nemohl [vzdáleně] nainstalovat nedetekovatelný backdoor.

Tak nedostane právo zavádět moduly, ne?

[Käyttäjä 11133]

Lokální exploit na roota?

[Jendа]

I rootovi lze zakázat zavádět moduly (třeba zavedením speciálního modulu, který zakáže zavádění dalších modulů). Ale tady se asi řeší situace, kdy moduly zavádět chceš, ale jenom ty ověřené.

[Grunt]

Ale tady se asi řeší situace, kdy moduly zavádět chceš, ale jenom ty ověřené.

A on se dá udělat univerzální binární modul, který stačí stáhnout a zavést na libovolném jádře? Tohle má smysl ve Widlích, ale pro Linuxové jádro mi právě ten smysl uniká.

[Jendа]

Příloha:

• 00000016.jpg (39143 bytů)

V Linuxu je ovladač pro Univerzální odpalovač ICBM země-země Tesla Raketron T06 a též ovladač pro stolní urychlovač částic Tesla W6-06. Já mám jenom ten urychlovač (ve skutečnosti ho má kamarád, ale to je teď vedlejší), ale distribuce může dodávat zkompilované moduly i pro ten odpalovač. Distribuce to tak dneska dělají. Stačí tak udělat modprobe icbm, což je operace jen na pár minut.

Kompilace monolitického jádra pouze s danými ovladači nepřipadá na mém počítači Intel 80386SX v úvahu, protože má load 0.95 z ovládání urychlovače, navíc nevím, jestli nezačne jaderná válka a nebudu muset přes noc začít používat i ten odpalovač (ovladač pro odpalovač se přes noc zkompilovat nestihne, jeho kompilace trvá asi 3 dny).

[petr_p]

Možná se jedná o první verzi, která tuto funkcionalitu obsahuje, ale jako patch existuje již od roku 2004.

[Pavel Stárek]

A jak se bude řešit kompilace a zavedení vlastních modulů na takto zamčeném jádře? Nebo součástí Makefile jádra bude nějaké make signed_module ?

[azurIt]

Skor tak, ze si jadro budes musiet sam prekompilovat a v ramci tohto sa ti vygeneruje sukromny+verejny kluc. Tie mozes neskor pouzit na podpis modulov.

[Jendа]

Nevím, jak se bude řešit tady konkrétně, ale mohla by se řešit třeba tak, že by se fingerprint předával jako parametr jádra.

[Conscript89]

Tak v UEFI Secure boot jsou na to uzivatelske klice, kterym si ten modul podepises.
A jak uz bylo zmineno, toto je jen jeden dilek v UEFI Secure boot ;)

[Pavel Stárek]

Takže pokud to nepůjde vypnout, bude to nejspíš jen opruz.