মাউন্টিং / টিএমপি নোেক্সেক কতটা কার্যকর?

Question

অনেক লোক ( সিকিউরিং দেবিয়ান ম্যানুয়াল সহ ) বিকল্পগুলির সেট /tmpসহ মাউন্ট করার পরামর্শ দেয় noexec,nodev,nosuid। এটিকে সাধারণত 'প্রতিরক্ষা-গভীরতা' কৌশলটির একটি উপাদান হিসাবে উপস্থাপন করা হয়, আক্রমণকে বাড়াতে বা কাউকে ফাইল লেখার সুযোগ দেয় বা বৈধ অ্যাকাউন্টে ব্যবহারকারীর দ্বারা আক্রমণ করা যায় তবে অন্য কোনও লিখিত স্থান নেই by

তবে সময়ের সাথে সাথে আমি যুক্তিগুলির মুখোমুখি হয়েছি (বেশিরভাগ ক্ষেত্রে ডেবিয়ান / উবুন্টু বিকাশকারী কলিন ওয়াটসনের) এটি noexecএকটি অকেজো পদক্ষেপ যা বেশ কয়েকটি সম্ভাব্য কারণে:

1. ব্যবহারকারী /lib/ld-linux.so <binary>একই প্রভাব পেতে চেষ্টা চালাতে পারে।
2. ব্যবহারকারী এখনও স্ক্রিপ্টগুলিতে সিস্টেম-সরবরাহিত দোভাষীদের চালাতে পারে যা সরাসরি চালানো যায় না

এই যুক্তিগুলি দেওয়া, আরও কনফিগারেশনের সম্ভাব্য প্রয়োজন (যেমন debconfএকটি কার্যকর কার্যকর অস্থায়ী ডিরেক্টরি পছন্দ করে), এবং সম্ভাব্য সুবিধার ক্ষতি, এটি কি উপযুক্ত সুরক্ষা ব্যবস্থা? আপনি যে আরও ছিদ্র সম্পর্কে চেনেন তা কীভাবে সম্ভব?

Comments

@ চয়েস: আমি শুনেছি / tmp কার্যকর না হলে অ্যাপ্লিকেশনগুলি মাঝে মাঝে বিরতি হয়ে যায়। আমি এখনও বাস্তবে এটি ঘটতে দেখিনি। টাক্সগুইটার -২.২ দেখুন ... এটি ঘটে। Noxec বিকল্প ছাড়া / tmp মাউন্ট না করা শুরু হবে না, কারণ এটি সেখানে লাইব্রেরিগুলি প্যাক করে এবং সেগুলি লোড করার চেষ্টা করে।

ভিএমওয়্যারের সাইট রিকভারি ম্যানেজার "/ টিএমপি" থেকে স্ক্রিপ্টগুলি চালায়: ভিসেন্টার

আমি জানি যে স্নেপি নামক সংক্ষেপণ ইউটিলিটি একটি / এসএমপি ফাইলের টিপস ড্রপ করে এবং এটি নেক্সেকের মাউন্ট করা থাকলে চলতে পারে না। (এটি ক্যাসান্দ্রা এবং কাফকার ক্ষেত্রে ডিফল্টরূপে ব্যবহৃত হয়) আইএমএইচও এটি মাউন্ট /

— টেম্পিং নেক্সেক

Answer 1

ইউটিলিটির পক্ষে যুক্তিগুলি এখানে এ পর্যন্ত দেওয়া হয়েছে:

আধুনিক কার্নেলগুলি /lib/ld-linux.soগর্তটি ঠিক করে , যাতে এটি কোনও noexecফাইল সিস্টেম থেকে সম্পাদনযোগ্য পৃষ্ঠাগুলির মানচিত্র করতে সক্ষম হয় না ।

দোভাষীদের বক্তব্য অবশ্যই এখনও উদ্বেগের বিষয়, যদিও আমি মনে করি যে লোকেরা তার চেয়ে কম দাবি করতে পারে তার চেয়ে কম। আমি যে যুক্তিটি নিয়ে আসতে পারি তা হ'ল এখানে রয়েছে অসংখ্য সুবিধাবঞ্চিত বর্ধনশীল দুর্বলতা যা নির্দিষ্টভাবে বিকৃত সিস্টেমে তৈরির উপর নির্ভর করে। আক্রমণকারী কোনও বাইনারি সরবরাহ না করে, অশুভ সিস্কেল তৈরি করা আরও কঠিন। এছাড়াও, স্ক্রিপ্ট দোভাষীদের অনিচ্ছুক হওয়া উচিত (আমি জানি এটি historতিহাসিকভাবে কখনও কখনও ঘটেনি, যেমন একটি স্যুইড পার্ল সহ) এবং আক্রমণে কার্যকর হওয়ার জন্য তাদের নিজস্ব দুর্বলতা প্রয়োজন। স্পষ্টতই, পাইথন ব্যবহার করা সম্ভব , কমপক্ষে, কিছু শোষণ চালাতে।

অনেক 'টিনজাত' শোষণগুলি এক্সিকিউটেবলগুলিকে লিখতে এবং চালানোর চেষ্টা করতে পারে /tmpএবং noexecফলে স্ক্রিপ্টযুক্ত আক্রমণে পড়ার সম্ভাবনা হ্রাস পায় (দুর্বলতা প্রকাশ এবং প্যাচ ইনস্টলেশনগুলির মধ্যে উইন্ডোতে বলুন)।

সুতরাং, এটি আরও বাড়ানোর ক্ষেত্রে সুরক্ষা সুবিধা /tmpরয়েছে noexec।

বর্ণনা অনুযায়ী ডেবিয়ান এর বাগ যে ব্যক্তি অনুসরণ করে , সেটিং APT::ExtractTemplates::TempDirমধ্যে apt.confএকটি যে ডিরেক্টরিকে নয় noexecরুট প্রয়োজন এবং প্রবেশযোগ্য debconf উদ্বেগ নিবারণ করা হবে।

Comments

কিন্তু, আমি আছে শুনেছি যে অ্যাপ্লিকেশন মাঝেমধ্যে যদি / tmp -র পরিবর্তে এক্সিকিউটেবল নয় ভঙ্গ করবে। আমি এখনও বাস্তবে এটি ঘটতে দেখিনি।

— ই

প্রশ্নটিতে লিখিত ম্যানুয়ালটিতে উল্লিখিত হয়েছে, এটি কোনও বিকল্প স্থাপন না করেই ডেবকনফ প্যাকেজ প্রাক-কনফিগারেশনের সাথে ঝামেলা করে।

— ফিল মিলার

হ্যাঁ, নেক্সেক্স সুরক্ষার জন্য খুব ভাল একটি অতিরিক্ত স্তর এবং এটির কারণে ধ্বংসের জিনিসগুলি ব্রেক করতে আমি দেখিনি। প্যাকেজ ইনস্টলেশন একমাত্র জিনিস এবং এমনকি এখানে উত্তর হিসাবে বলা হিসাবে কাজ করা যেতে পারে। আমার সমাধান হিসাবে আমার মতো এটির একটি নাম রয়েছে: ওরফে আপডেট = "মাউন্ট-ও এক্সিকিউট, রিমাউন্ট /

— টিএমপি

আমার ধারণা এটি অস্বাভাবিক, তবে প্যাকেজ ইনস্টলেশন প্রসঙ্গে বাইরে / টিএমপি থেকে কিছু চালানোর জন্য লেখা প্যাকেজগুলির উপস্থিতি রয়েছে (যেমন, বেলজিয়ামের বৈদ্যুতিন পরিচয় কার্ডগুলি ব্যবহার করার জন্য মিডলওয়্যারের বর্তমান সংস্করণ)।

— ইকুয়েগ

ইকুয়েৰে প্যাকেজ কি? এটি সম্ভবত একটি বাগ হিসাবে রিপোর্ট করা উচিত। আমি বাজি রাখতে রাজি আছি যে এটি কীভাবে ব্যবহার করছে তাতেও সুরক্ষার দুর্বলতা পাওয়া যায়।

— ফিল মিলার

Answer 2

প্যাকেজটি ইনস্টল করার জন্য অনেক ডিবিয়ান প্যাকেজগুলির / tmp নির্বাহযোগ্য হতে হয়। এগুলি প্রায়শই বাগ হিসাবে চিহ্নিত করা হয় ('সাধারণ' / 'ইচ্ছার তালিকার তীব্রতা):

https://www.google.com/#q=site:bugs.debian.org+noexec+/tmp

আমি আজই স্থিতিশীল শাখায় একটি আপডেট কার্নেল ইনস্টল করার সময় এই ত্রুটিটি পেয়েছি।

সুতরাং দেখে মনে হচ্ছে যে ডেবিয়ান (& ডেরিভেটিভস?) Nompec মাউন্ট করার জন্য / tmp এর জন্য প্রস্তুত নয় ...

Answer 3

নিম্নলিখিতগুলি /etc/apt.conf, বা, /etc/apt/apt.conf.d/50remount এ যুক্ত করুন

DPkg::Pre-Install-Pkgs {"mount -o remount,exec /tmp";};
DPkg::Post-Invoke {"mount -o remount /tmp";};

Comments

আমি প্রতিস্থাপিত করে থাকেন mountদ্বারা /bin/mountকেস পাথ পরিবর্তিত পরার হবে। তুমি কখনই জানতে পারবে না.

— লেকেনস্টেইন

Answer 4

আপনি কার্যকর করার জন্য বেছে নিতে পারেন এমন পরিপূরক সুরক্ষা ব্যবস্থাগুলির জন্য ওয়ার্কআরউন্ড বিদ্যমান থাকলেও, খুব সহজেই নিয়ন্ত্রিত সুরক্ষা ব্যবস্থা (যেমন মাউন্টিং / টিএমপি নেক্সেক বা বিকল্প বন্দরে এসএসএইচ চালানো) স্বয়ংক্রিয়ভাবে বা স্ক্রিপ্টেড আক্রমণগুলিকে ব্যর্থ করে দেবে যা ডিফল্টদের উপর নির্ভর করে কাজ করা। এটি আপনাকে একটি নির্ধারিত এবং জ্ঞানসম্পন্ন আক্রমণকারীর বিরুদ্ধে রক্ষা করবে না, তবে 99% এরও বেশি সময় ধরে আপনি কোনও সংকল্পবদ্ধ বা জ্ঞানী আক্রমণকারীর বিরুদ্ধে যাবেন না। পরিবর্তে, আপনি একটি স্বয়ংক্রিয় আক্রমণ স্ক্রিপ্টের বিরুদ্ধে নিজেকে রক্ষা করবেন।

Answer 5

প্রথম: এটি অনেকগুলি, বিভিন্ন আক্রমণের কেসগুলিকে কভার করে কারণ এটি চারপাশে কয়েকটি জ্ঞাত উপায় ছিল (যার মধ্যে কয়েকটি স্থিরও ছিল) অদ্ভুত। আক্রমণকারীরা / dev / shm বা / tmp এ কোড ডাউনলোড করা একটি সাধারণ কাজ।

গভীরতার সাথে প্রতিরক্ষা সর্বাধিক সাধারণ ওয়েপপয়েন্টগুলিকে সুরক্ষিত করা, প্রতিটি এগুলি থামিয়ে দেয় যা আপনার সিস্টেমকে আরও বাঁচিয়ে তোলে। নিরাপদ না. তবে এটিরও একটি সুযোগ থাকবে । যদি তারা তাদের দ্বিতীয় পেলোড আনতে না পারে তবে এটি আপনার পক্ষে বেশ ভাল সুযোগ।

• এটি iptables ব্যবহারকারীর নিষেধাজ্ঞার দ্বারাও বন্ধ হতে পারে।
• এটি SELinux দ্বারাও বন্ধ হয়ে যেতে পারে।
• সহজেই অ্যাক্সেস করা অন্যান্য শোষণের কারণে এটিও থামানো যায় না ।

মোদ্দাটি হ'ল এটি আপনি যত সহজেই পারেন কঠোর করা এবং আক্রমণগুলির 99% কেটে দেওয়া।

দ্বিতীয়: এটি খারাপ অনুশীলন বন্ধ করে দেয় (টেম্প থেকে স্টাফ চালানো, কোনও ব্যবহারকারীর tmpdir এর পরিবর্তে / tmp এর মাধ্যমে বড় অ্যাপ্লিকেশন ইনস্টল করে), তথ্য / টেম্পিতে রেখে। কাস্টম ইনস্টলারগুলি সাধারণত টিএমপিডিআইআর বুঝতে পারে : এছাড়াও না: ইনস্টলেশন সময়, পয়েন্ট-ইন-টাইম ক্রিয়া হিসাবে, কোনও সুরক্ষা সমস্যা স্থায়ীভাবে বন্ধ করার কোনও বৈধ কারণ নয় ।

তৃতীয়: / টিএমপি (একটি "বৈশিষ্ট্য") এ বেনামে থাকা নেমস্পেসগুলি বিবেচনা করে আপনি সেখানে যা রেখেছেন তা সীমাবদ্ধ রাখতে এবং সেখান থেকে চালাতে চান।

চতুর্থ: সুবিধার্থে এটি কোনও প্রাসঙ্গিক বিষয় নয়। ধরে নিই আমরা অর্থের জন্য এবং একটি উদ্দেশ্যে সার্ভার চালাই: আমরা এই স্টাফের জন্য দায়বদ্ধ। "ওহ, আমি লক ডাউন / টিএমপি করিনি কারণ পরের বছর আমার সফ্টওয়্যারটি আপডেট করার পরে আমার আরও কয়েক মিনিটের প্রয়োজন হবে"। অবশ্যই এটি কেবলমাত্র একটি জিনিস যা ব্ল্যাকমেল করা এবং ঠিকঠাক হওয়ার মধ্যে দাঁড়িয়েছে। একটি দুর্দান্ত কারণ? আমি তাই মনে করি না.

এটা কেমন:

"আমরা শিখেছি যে শত্রুরা বিনা নোটিশে আক্রমণ করতে পারে। তারা খাবারে বিষ প্রয়োগ করতে কয়েকশ গুপ্তচর ব্যবহার করতে পারে। তাই আমরা আমাদের সৈন্যদের হাতে বন্দুক দেওয়া বন্ধ করে দিয়েছি।"

কিসের অপেক্ষা?

সিস্টেম সুরক্ষিত করার জন্য আরও অনেক প্রচেষ্টা, অভিজ্ঞতা এবং ভাগ্যের প্রয়োজন রয়েছে এমন অন্যান্য ব্যবস্থা রয়েছে এবং লোকেদের সীমিত অর্থ, লাইফস্প্যান রয়েছে এবং তাদের পরিবারগুলির সাথে সময় কাটাতে চান: সহজ জিনিসটি এড়িয়ে যাবেন না।

Answer 6

কিছু অ্যাপ্লিকেশন রয়েছে যেগুলি ইনস্টল করতে কার্যকর করতে tmp / tmp প্রয়োজন। আগের কাজটিতে, আমি সেখানে যাওয়ার আগে অ্যাডমিনরা / টিএমপি নেক্সেক সেটআপ করেছিলেন, তবে আমি আবিষ্কার করেছি যে ডিবি 2 প্যাকেজটি ইনস্টল হবে না। এমনকি আপনি অন্য কোথাও ডিবি 2 প্যাকেজটি অনাবৃত করলেও, ইনস্টল পদ্ধতিটি কিছু ফাইল / টেম্পে অনুলিপি করে এবং এটি কার্যকর করতে সক্ষম হওয়ার প্রত্যাশা করে, অবশ্যই কোনটি অনুমতি অস্বীকার করে ব্যর্থ হয়েছিল। যদি আপনি সচেতন না হন যে ফাইল সিস্টেমটি নেক্সেকের মাউন্ট করা হয়েছে, তবে এটি কিছুটা বিভ্রান্তিকর হতে পারে। এটি কেবলমাত্র বিন্যাসেক ছাড়াই / টিএমপি পুনরুদ্ধার করার পরে ইনস্টলটি চালিয়ে যেতে সক্ষম হয়েছিল।

যাইহোক, মুল বক্তব্যটি হ'ল কমপক্ষে একটি বাণিজ্যিক পণ্যটির জন্য / টিএমপি প্রয়োজন নোটেক্সেক না লাগানো, এবং অন্যগুলিও থাকতে পারে। আমি এর জন্য সত্যিই বাধ্যতামূলক কারণ খুঁজে পাইনি। আপনি যদি আরও ভাল সুরক্ষা চান, আমি পরিবর্তে সেলিনাক্সের সাথে যেতে চাই।

Comments

সাম্বা দুর্বলতার জন্য একটি শোষণের বিশ্লেষণ, যা কোনও নেক্সেক / টিএমপি দ্বারা বন্ধ করা হবে: বোবাও ৩60.c০.সিএন / এলার্নিং / ডেটেল / 41৪68.h.এসটিএমএল (ক্রোমের গুগল অনুবাদ প্রস্তাবিত It পে-লোডের বড় অংশ ...) (আপনি অনেকগুলি সাধারণ স্বয়ংক্রিয় শোষণগুলি সেভাবে ভাঙ্গতে পারেন ....)। mount -o remount,exec /tmpআপনার যখন স্টাফ ইনস্টল করার দরকার হয় তখন কাজ করে ... (হ্যাঁ, এটি কাজ করা খুব নগণ্য, তবে অনেক আক্রমণকারী বিরক্ত করে বলে মনে হয় না ...)

— গার্ট ভ্যান ডান বার্গ