Portal 2 a SELinux

Na Slashdotu probíhá diskuse o problému počítačové hry Portal 2 se SELinuxem a jeho řešení. Při zkoumání problému č. 50 bylo zjištěno, že za nefunkčnost Portalu 2 na Fedoře 20 může SELinux. Problém byl uzavřen s tím, že stačí vypnout SELinux. To je ale pro řadu uživatelů nepřijatelné. Problém byl tedy opět otevřen. Viníkem je použití, nejenom dle SELinuxu, nebezpečného nastavení execheap při přehrávání MP3 formátu Miles Sound Systemem.

9.3.2014 16:15 | Ladislav Hagara | Komunita

Komentáře

[snajpa]

Ja bych to misto "Komunita" videl na "Humor", i kdyz mezi tim asi nebude az tak rozdil, kdyz tak na tu diskuzi koukam

[pavlix]

Asi tak nějak. Doporučení vypnout bezpečnostní funkci operačního systému pro něco jiného než testování, to je skutečně hodné jen náhodných diskutérů, což do jisté míry ztvrzuje i znovuotevření ticketu. Vždy lze napsat, že to funguje bez selinuxu, popřípadě že na podporovaných systémech selinux neběží.

[Bedňa]

A to keby si poznal koľko MS Windows hráčov hraje hry pod administrátorom, pretože inak nejdú to by si sa ešte len divil A keď im napíšeš nech to nerobia, tak si za linuxáckeho fanatika

[pavlix]

A to keby si poznal koľko MS Windows hráčov hraje hry pod administrátorom

Ale to je úplně něco jiného, za své chování je každý zodpovědný sám. Ale (polo)oficiálně něco doporučit je věc jiná a dotyčný to také z toho důvodu vzal zpět.

[Ruža Becelin]

Ja taky, nejdriv jsem to precetl jako exe_cheap

[little.owl]

+1

[Jirka]

Viníkem je volání, nejenom dle SELinuxu, nebezpečné funkce execheap()

Tohle by chtělo přeformulovat - žádná funkce execheap() neexistuje.

[Ladislav Hagara]

Dík. Tu funkci jsem zkopíroval z diskuse. Samozřejmě se o funkci nejedná. Je to teď lepší?

[vain]

Dočasné vypnutí SELinuxu od NSA během hraní Portalu určitě nevidím jako nepřijatelné

[biolog]

Kdyby vás zajímalo, co ten execheap je, pak vězte, že to umožní, aby stránky haldě pro malloc() byly přístupné i pro spouštění. Nepřidávám odkaz na dokumentaci, protože jsem ji nenašel (není snadno nalezitelná, ne že by to nešlo najít). Tedy mi to připadne jako chyba v Portalu 2. BTW: Pěkná ukázka toho, jak někteří dovedou jednoduchou věc zakódovat do identifikátoru tak, že z něj nejde poznat, co znamená (ani aspoň čeho se týká).

[Kvakor]

Tak podle toho, co jsem o tom na webu našel, nepoužívá jí prý samotný kód hry, ale multiplatformní knihovna Miles Sound System, která má na starosti zvuk (pamětníci si možná vzpomenou na její konfigurátor z časů dosovských her).

[Martin Mareš]

Proč by to měla být chyba? Generování kódu za běhu je docela běžná a v mnoha situacích příhodná technika.

[dve rozpulene zizaly]

Naprosty souhlas. Stejne jako treba prepadavani benzinek.

[little.owl]

Ale no tak. Co treba nektere implementace JIT? Neuzitecne?

[dve rozpulene zizaly]

Chces snad tvrdit, ze z prepadavani benzinek nema nikdo uzitek? :) Ale vazne, neco jineho je snad zvukova knihovna (nebo co to tam bylo) a neco jineho kompilator. Uplne bezne je treba desifrovani ssl streamu, ale bylo by v poradku, kdyby tvuj pristup do banky desifroval kod z nejake hry? :)

[Martin Mareš]

Zrovna zvuková knihovna si může kompilovat filtry za běhu, to dává dobrý smysl. (Neříkám, že zrovna tahle konkrétní to dělá, ale nepřekvapilo by mě to.)

[loupwžník loupák]

Nebo celá hra by se mohla kompilovat a morfovat sadou sofistikovaných transformací včetně odvysílaní nejgeniálnějších sekvencí numlock ledkou do kamerky! :) Nevím, už to dlouho nedělám, ale oddělení programu od dat se kdysi považovalo za dobrý nápad. Pokud je to opravdu tak nutně potřeba, napíše se příslušné pravidlo pro SELinux a je to.

[chrono]

Samotná hra môže napr. vymazať celý používateľov profil aj bez spúšťania vygenerovaného kódu.

[loupwžník loupák]

Jenže to je fakt dost jiné než spouštět kód z heapu nebo stacku.

[Martin Mareš]

Dobrá, tak zkuste formulovat nějaký smysluplný argument, proč je spouštění kódu z heapu nebo stacku špatně :)

[Pominu-li tedy na chvíli fakt, že na Linuxu už dávno něco jako heap skoro neexistuje.]

[little.owl]

Tak asi bezpecnost.

[Martin Mareš]

Právě co se bezpečnosti týče bychom měli pokorně přiznat, že zákazem spouštění kódu se žádný bezpečnostní problém neopraví, nýbrž se jen v některých případech zkomplikuje jeho zneužití. To trochu pomůže, ale žádná velká výhra to není. Rozhodně to automaticky nečiní automaticky generovaný kód jakkoliv špatným. Spíš to přípomíná pokusy o zamykání dveří, z nichž půlka chybí :)

[loupwžník loupák]

Váš přístup nechápu. Takže vzhledem k tomu, že se bezpečnostních problémů nikdy nezbavíme, máme se na všechno vykašlat? Že jste to neřekl dřív, blbci v AMD se mohli vyfláknout na NX bit a asi by dost ušetřili. A dementi v Intelu zavedli podobnou věc pro segmenty už v roce 1982 nebo kdy.

[Martin Mareš]

Váš přístup nechápu. Takže vzhledem k tomu, že se bezpečnostních problémů nikdy nezbavíme, máme se na všechno vykašlat?

To ne, ale měli bychom rozlišovat, co je opravdové bezpečnostní opatření a co jenom berlička. A u těch berliček pečlivě vážit, co přinesou a jaká je jejich cena.

NX bit je příjemné zúplnění systému práv k paměti (které mimochodem na jiných architekturách bylo samozřejmostí už před víc jak 30 lety), ale dává dobrý smysl, pokud si programy mohou samy říkat, které části jejich adresního prostoru jsou spusitelné, a které nikoliv. (Stejně jako program může kernelu říci, že nějaká část paměti nemá být zapisovatelná, atd.)

Pak mohou být běžné programy automaticky chráněny a speciální programy, které potřebují generovat za běhu kód, si mohou snadno říci, že vygenerovaný kód má být spustitelný.

To není ostatně pod Linuxem žádná novinka, například na Sparcu to takhle chodí už mnoho let.

Problém nastane, pokud někdo začne programům do toho, co je spustitelné, kecat a myslí si, že ví lépe než autor programu, kde leží instrukce a kde data. To je zdá se tento případ. Takže vinu na tom nese především autor defaultní SELinuxové politiky, nikoliv autor aplikace.

(Ale ano, o čemkoliv, co souvisí se segmenty, si opravdu myslím, že je to dementní. Jeden z těch horších omylů historie, jejichž následky potkáváme ještě dnes...)

[Stranou raději nechávám otázku, zda je ve 21. století rozumné tolik bezpečnostně citlivého kódu psát v tak low-level jazycích, jako je C nebo C++, kde je proklatě snadné udělat spoustu bezpečnostních chyb.]

[loupwžník loupák]

Ve světě, kde naprostá většina programátorů spáchá víc bezpečnostních děr než užitečného kódu, je SELinux skvělá a nepostradatelná věc :) Že někdy neuhodne mozkové pochody nějakého dvouneuronového pošuka znamená jen tolik, že programátorem SELinuxu nebyl Bůh :)

[little.owl]

Tak toto opatreni neni pokus o opravu. Tato technika prinasi urcita rizika a pak je na miste, ze je v SELinuxu by default zakazana. Pokud to nekdo skutecne chce v aplikaci pouzivat, a ma proto dobry duvod, tak at si explicitne modifikuje SELinux policy.

SELinux je neprimo dobry nastroj na odhalovani bezpecnostnich problemu v aplikacich.

[little.owl]

U filtru na DSP se to skutecne obcas dela, s tim ze se kod slozi z fragmentu.

[Ivan]

Taky me to zajimalo a nakonec jsou nasel tohle:

https://bugzilla.mozilla.org/show_bug.cgi?id=506693#c11

Resenim je namapovat prislusnou stranku 2x. Jednou pro zapis podruhe pro exec a spolehat na to, ze nikdo neuhadne oba pointery.

[pavlix]

Stejne jako treba prepadavani benzinek.

A lízání zmrzliny.

[biolog]

Ale SElinuxu nevadí ta technika (generování kódu), SElinuxu vadí jakým způsobem je použita ta technika. Když program mění příznaky stránkám v haldě, težko zajistí, aby byla spustitelné jen ty jejich bloky, a ne i ty co tam vyšly alokátoru. Útočník totiž často může ovlivnit pořadí alokací a tím dostat zajímavou zranitelnou alokaci i do té speciální stránky.

Místo toho Ulrich Drepper doporučuje (je to doklikatelné z některého odkazu) takovou paměť alokovat přes mmap přímo, ne přes malloc(), a v ní mít jen ty spustitelné bloky.

[Vyvojar jader]

LOL dualboot to resi, Windows=prace, hry, media, Linux=podla zabava uhrousu a jelimanu

[pavlix]

Většina uhroušů už dneska hraje na ajfounu.

[mankind_boost]

zabava jako zabava

[Honz]

Otázka je, když si chci zároveň něco zahrát a zároveň něco stáhnout torrentem a DC. Na Woknows nemožné...

[Sten]

Ano, s Windows je hodně práce, někdo to bere jako hru a ještě k tomu hrají různá média (spouštěcí znělky)