DigSig

Kernel

A DigSig egy olyan Linux kernel modul, amelynek segítségével az adminisztrátor szabályozni tudja az Executable and Linkable Format (ELF) binárisok végrehajtását és a library betöltéseket.

Csak abban az esetben engedélyezi a binárisok futtatását, ha azokon érvényes RSA digitális aláírásokat talál. Az általunk futtathatónak ítélt binárisokat a Bsign programmal írhatjuk alá.A DigSig az Linux Security Module (LSM) hook-jaira épül. Fejlesztésének fő célja, hogy az adminisztrátornak segítsen megkülönböztetni a saját megbízható programjait a vírusoktól/ férgektől, egyéb gonoszságoktól.

A DigSig fejlesztéseit az Ericsson Research Canada végzi.

Nem rég jelent meg a DigSig 1.3.1-es verziója. A GPL-es forráskód letölthető innen. Bejelentés és rövid tutorial itt.

Reszlet a cikkbol:

``Csak abban az esetben engedélyezi a binárisok futtatását, ha azokon érvényes RSA digitális aláírásokat talál.''

:-)

Nehezen tudom elkepzelni, hogy hogyan tesz a felhasznalo a olyan digitalis alairast az exploitjara, mint amilyet a root tenne...

Abban az esetben ha a binaris nincs alairva ez tortenik:

// not signed binary

[lmcmpou@reblochon lmcmpou]$ ./ps-makan-1

bash: ./ps-makan: cannot execute binary file

Abban az esetben, ha a binaris ala van irva, de nem a root irta ala, akkor ez tortenik:

// binary with wrong signature

[lmcmpou@reblochon lmcmpou]$ ./ps-makan-2

bash: ./ps-makan-colby: Operation not permitted

( GCS v | 2004. 09. 22., sze – 21:22 )

Azota mar van 1.3.2, eleg nagy valtozasokkal.

( mbaron | 2004. 09. 22., sze – 21:36 )

Ez azt jelenti, hogy a user többé nem fagyaszhatja le a gépet a saját készítésű programaival, és nem futtathat exploitokat, ha a kernel tartalmazza a modult?

( mrbond | 2004. 09. 23., cs – 06:51 )

nemrég arról volt szó, hogy a kernel hookok el lesznek tüntetve... most akkor mi van? a digsig is hookokat használ.

( nevergone v | 2004. 09. 23., cs – 10:44 )

átnéztem a leírást, és ezt vígan jó ötletnek tartom... vajon Andrew Morton bácsi, és a többiek mit gondolnak a dologról...? :)

( hory v | 2004. 09. 23., cs – 11:21 )

Nem egészen vágom, hogy ez miért jobb, mint mondjuk a grsec Trusted Path Execution-je. Annyi előnye van, hogy szétszórtan lehetnek a binárisok. Cserébe viszont TPE esetén nincs "elkóborolt", hányódó bináris, softlinkekkel meg sokminden megoldható.

Szal nemtom, ötletnek jó, csak erre van egyszerűbb megoldás is.