grsecurity nie jest softem samo w sobie, jest to zestaw poprawek i zmian, które służą do zwiększenia bezpieczeństwa maszyny do której jest zdalny dostęp z miejsc o niepotwierdzonym statusie bezpieczeństwa np. logowanie do shell’a.
po co mi to wszystko
Zainstalowanie pakietu poprawek zwiększa bezpieczeństwo systemu i jest kolejnym elementem zabezpieczenia przed atakami zarówno z zewnątrz jaki i z wewnątrz systemu.
losowo przydzielane: uid, gid i pid
zabezpieczenie /proc przed pokazywaniem właścicieli procesów
zabezpieczenie symlinków przed wyścigiem/tmp
zabezpiczenie FIFO
zabezpieczenie dmesg(8)
audyty i alerty mogą logować IP atakującego
Użycie tego zestawu do środowiska w którym używamy chroot’ów pozwala na
uniemożliwia wyjście z chroota, nawet rootowi
zabezpiecza pamięć używaną przez chrooty
uniemożliwia killowanie procesów nie należących do chroota
uniemożliwia wykonania z zewnątrz chroota poleceń: ptrace, capget, setpgid, getpgid, getsid
brak możliwości przeglądania procesów z poza chroota
uniemożliwia mount i remount
wyłącza komendę pivot_root
zabezpiecza przed podwójnym chrootowaniem
wyłącz fchdir poza chrootem
inne…
instalacja i konfiguracja
Proces instalacji wygląda dość ciekawie, ponieważ nie polega na „zwykłym” instalowaniu pakietów, tylko na przekompilowaniu kernela wraz z poprawkami grsecurity. W tym celu należy ściągnąć grsecurity, gradm oraz niezmodyfikowane, oficjalne źródło kernela. Ważne jest to aby wybrać wersję dokładnie zgodne ze sobą.
Ze względów bezpieczeństwa (chcemy przecież je zwiększyć) należy po ściągnięciu zweryfikować archiwa za pomocą GPG i dostępnych sygnatur. Proces weryfikacji plików jest dokładnie opisany po angielsku i nie ma sensu go przepisywać.
Następnym krokiem jest nałożenie patcha na źródła kernela i skompilowanie go. Mamy do wybory trzy poziomy od niskiego do wysokiego oraz wybór ręczny dla zaawansowanych użytkowników.
Po skompilowaniu najłatwiej użyć nowego jądra na debianowatych, po prostu poprzez stworzenie deb’a i jego instalację, co również opisane jest na wikibooks.
Comentarios