Titkosítás, biztonság, privát szféra

GrSecurity 2.1.3

Megjelent a GrSecurity 2.1.3. Aki az RBAC rendszert használja, haladéktalanul frissítsen!Letöltés:

----------

grsecurity-2.1.3-2.4.29-200503070900.patch

grsecurity-2.1.3-2.6.11-200503070900.patch

gradm-2.1.3-200503070918.tar.gz


Bejelentés:

-------------

From: spender@grsecurity.net (Brad Spengler)

To: grsecurity@grsecurity.net

Subject: [grsec] grsecurity 2.1.3 released for 2.4.29/2.6.11 *CRITICAL UPDATE FOR RBAC USERS*

grsecurity 2.1.3 has been released to fix a number of problems found

during a routine audit of grsecurity. Changes in this release include

allowed gradm -u for non-root users in a no-authentication special role,

addition of a missing ptrace hook on amd64, fixed hidden file check that

takes subject inheritance into account, unification of the mmap hook so

it no longer requires a per-arch component, and the breakup of the "O"

subject flag into "O" and "t", where "O" now means to allow writable

library loads for the process, while "t" allows a process to ptrace any

task. The "t" mode should be used sparingly in combination with the

no-ptrace object flag. A bug in PaX that causes a SIGBUS in a task when

SEGMEXEC is enabled but MPROTECT is disabled has been fixed in this

release as well.

During the audit, a critical vulnerability was found in the RBAC system

that effectively gave every subject the "O" flag, allowing a root user

for instance to gain the privileges of any other process through

LD_PRELOAD or ptrace. If you have already upgraded to 2.1.2 and use the

RBAC system, I strongly urge you to upgrade to 2.1.3. To ensure that

problems like this won't occur in the future, I will be developing an

extensive regression test suite for the RBAC system similar to the one

that exists already for non-RBAC features.

Sorry about the timing of this release, but the vuln I discovered is

quite serious, and I'm hoping to catch the people who haven't updated

their machines to 2.1.2 yet due to it being released over the weekend.

-Brad

Új grsecurity (biztonsági) kiadás

Megjelent a grsecurity 2.1.2-es verziója, amely biztonsági javítást is tartalmaz a PaX-ban, ezért mindenkinek ajánlott a frissítés.Brad kiadta a grsecurity 2.1.2-őt a 2.4.29 és 2.6.11 verziójú kernelekhez. Egy biztonsági javítást is tartalmaz, amit a tegnapi nap során PaX Team a saját kódjának auditálása során talált. Helyileg kihasználható ha az adott kód engedélyezve lett (SEGMEXEC vagy RANDEXEC opciók), távolról nem valószinű, hogy kihasználható. Szerencsére ezek az opciók az előre definiált LOW és MEDIUM előre definiált beállításokban nem engedélyezett, azaz az ezt használó felhasználók nem érintettek.

Aki valamilyen okból nem tud a közeljövőben frissíteni, az csökkentheti a kockázatot a következő parancs kiadásával:

echo "0 0" > /proc/sys/vm/pagetable_cache

Bővebb infó az eredeti bejelentésben és a grsecurity kiadás bejelentésben.

RSBAC v1.2.4

Amon Ott bejelentette, hogy megjelent az RSBAC - a szabad és nyílt forrású (GPL) Linux kernel biztonsági kiegészítés - 1.2.4-es verziója.

Főbb funkciók:* Free Open Source (GPL) Linux kernel security extension

* Independent of governments and big companies

* Several well-known and new security models, e.g. MAC, ACL and RC

* Control over individual user and program network accesses

* Fully access controlled kernel level user management

* Any combination of models possible

* Easily extendable: write your own model for runtime registration

* On-access virus scanning with Dazuko interface

* Support for current kernels in 2.4 and 2.6 series

* Stable for production use since January 2000

A változások teljes listája itt. Bejelentés itt.

További részletek az SHA1-ről

Bruce Schneier blogjában további fejtegetéseket olvashatunk a pár nappal ezelőtt felröppentett SHA1 ügyről. Schneier szerint megszületett az első olyan támadási lehetőség az SHA1 ellen, amely gyorsabb, mint a brute force támadás.

Három kínai crypto szakember pár nappal ezelőtt megmutatta, hogy az SHA1 nem ütközés-mentes. Elkészítettek egy olyan algoritmust, amely gyorsabban találja meg az ütközéseket az SHA1-ben, mint ha valaki nyers erővel próbálná meg feltörni azt.A felfedezés szerint már nem 2^80-on próbálkozás kell ahhoz, hogy ütközést találjanak az SHA1-ben, hanem csak 2^69-en. Ez azt jelenti, hogy 2.000-szer gyorsabban lehet eredményt elérni, mint a brute force megoldással.

A szakember, hogy érzékeltesse a problémát az alábbi példát hozta:

1999-ben egy csapat titkosítási szakember épített egy DES törő gépet. A gép 2^56-on DES műveletet végzett el 56 óra alatt. A gép 250 ezer dollárban került, de másolatok már készíthetők 50-75 ezer dollárból is. Moore törvényének értelmében, ha hasonló gépet építenénk ma, az már 2^60-on műveletet tudna elvégezni 56 óra alatt, és 2^69 számítást három és negyed éven belül. Vagy egy 25-30 millió dolláros gép már most el tud végezni 2^69-en műveletet 56 óra alatt.

A szakember példaként hozta az elosztott számítást is. Például a Distributed.net által végzett sikeres kódtörést 2002-ben.

Néhány szakember a dologról:

Jon Callas, PGP:

"It's time to walk, but not run, to the fire exits. You don't see smoke, but the fire alarms have gone off."

Érdekes olvasmány. Érdemes elolvasni.

Szerencsére a szakemberek szerint van megoldás. Ezek lehetnek az SHA-224, SHA-256, SHA-384, és az SHA-512.

Az írás itt.

Az SHA1 hibás

Bruce Schneier neves amerikai titkosítási és biztonsági szakértő szerint az SHA1 algoritmus tervezési hibákat tartalmaz. Szerinte most nem csak elméleti, hanem igazi, valószínűleg kihasználható hibáról van szó. Ha ez így van, akkor az SHA1-nek vége, mint a digitális aláírásokhoz használt hash algoritmus.A szakértő blogjában azt olvashatjuk, hogy Xiaoyun Wang, Yiqun Lisa Yin, és Hongbo Yu (a kínai Shandong Egyetemről) olyan dokumentumot készítettek, amely ezt az állítást alátámasztják. Jelenleg a papír nem érhető el publikusan. Schneier több részletet ígér, ha azok a birtokába kerülnek.

Bővebben a szakember blogjában.

0days avagy mi az igazi hackelés?

Ezzel a címmel jelent meg ma prezentációja Dave Aitelnek, az Immunity, Inc. alapítójának. A hacker olyan híres könyvek társszerzője, mint a The Hacker's Handbook vagy a The Shellcoder's Handbook. Jelenlegi előadásaival azt szeretné bemutatni, hogy hogyan gondolkoznak a hackerek és milyen technikákat használnak a hibák felderítéséhez és kihasználásához.Ez a prezentáció azért emelkedik ki az átlag előadások közül, mert az igazi hackerek szemszögéből mutatja be a problémákat és azok kihasználását, ezáltal nem hasonlítható össze az átlag leírásokkal, melyeket akadémiai vagy önjelölt szakértők írnak.

Dave kiemeli, hogy egy exploit során nem feltétlenül egy hibára alapoznak a hackerek, így olyan bugok is kihasználhatóak lesznek, melyek önmagukban kevesek lennének egy sikeres betöréshez. Mivel biztosra akarnak menni, ezért nem publikus hibákat használnak ki (0day), így nem áll fenn a veszélye annak, hogy a támadott rendszer már patchelve van és nyomot hagynak a logokban vagy egy IDS elcsípi a probálkozásokat.

Számomra a prezentáció kulcsmondata a "Patching is basically useless for security" volt, melyel nem azt akarja kifejezni a szakértő, hogy az emberek ne foltozzák be a hibákat, hanem hogy senki se erre alapozza a biztonságot. A tanulmány jól mutatja be különböző ábrákon, hogy jelenleg a sikeres betörések java része a patchek megjelenése előtt következik be.

A Grsecurity felhasználók (és fejlesztők) szívét biztos megmelengeti, hogy Dave többször is megdicséri és ajánlja a Grsecurityt a Linuxokhoz.

A bemutató diái letölthetők innen.

Éles Linux rendszerek biztonságának fokozása

Werner Puschitz összeállított egy olyan biztonsági útmutatót, amelynek célja, hogy összeszedje az éles körülmények között üzemeltett Linux rendszerek biztonságosabbá tételéhez szükséges alapvető dolgokat.

A tartalomból:* General

* Patching Linux Systems and Limiting Software Packages (RPMs)

* Disabling System Services

* Checking Accounts

* Enabling Password Aging

* Setting Password Restrictions

* Restricting Use of Previous Passwords

* Locking User Accounts After Too Many Login Failures

* Restricting User Access Based on Time and Day

* Restricting Direct Login Access for System and Shared Accounts

* Restricting su Access for System and Shared Accounts

* Restricting System Access from Servers and Networks

* Preventing Accidental Denial of Service

* Checking File Permissions and Ownership

* Securing NFS

* Securing SSH

* Securing Sendmail

* Kernel Tunable Parameters

* Displaying Login Banners

* Miscellaneous

* Security Books

Az útmutató elolvasható itt.

Grsecruity 2.1.0

Grsecurity 2.1-RC, végre újra a 2.6-os szériához is

A grsecurity-t kedvelők a 2.6-os szériában hosszú ideje nélkülözni kénytelenek, a 2.6.8-ban bevezetett memóriakezelési változások miatt... Jó hír, a PaX csapat végre megküzdött a változásokkal, és Spender kiadott egy release candidate-et 2.6.10-hez, és 2.4.28-hoz.http://www.grsecurity.net/~spender/grsecurity-2.1.0-2.4.28-200501051112.patch

http://www.grsecurity.net/~spender/grsecurity-2.1.0-2.6.10-200501051205.patch

Bejelentés: itt

Teszteljen, aki úgy érzi, mert 2 nap, és release lesz...