OpenBSD w wersji 4.3

Nie bardzo rozumiem po co doinstalowywać PaX'a SELinuksa i inne skoro są domyślnie zainstalowane i nawet domyślnie uaktywnione.

SELinux domyślnie instalowany ??

Ciekawe czy w jakim distro; Novell preferuje AppArmora tak samo jak Slack; Debian ma defaultowo wyłączone;

PaX chyba nie jest już rozwijany (przynajmniej wg Wikipedii)

RH używa Exec Shield.

@Tomasz Chiliński: Nie chodzi nawet o SELinuksa. Zreszta bezposredniego odpowiednika SELinuksa w zadnym z BSD nie ma, bo nie ma po co, SELinux nie jest zbyt dobrym wzorem do nasladowania. Jest za to (we FreeBSD) modularna infrastruktura Mandatory Access Control.

Sila systemow BSD, jesli chodzi o bezpieczenstwo, polega na jakosci kodu i ilosci dziur w porownaniu do Linuksa. Kiedy jeszcze mi sie chcialo – 2005 – zrobilem sobie zestawienie praktycznie eksploitowalnych dziur w Linuksie (kernelu, glibcu i innych obowiazkowych elementach Linuksa, ktore poza Linuksem uzywane nie sa) i FreeBSD. W linuksie wygladalo to tak:

– Linux Kernel Binary Format Loaders Privilege Escalation

– Linux Kernel Page Fault Handler Privilege Escalation

– A signedness error in /proc

– A signedness error in drivers/char/n_tty.c

– An error within the handling of the OUTS instruction on 64-bit platforms

– Table sizes in nls_ascii.c are incorrectly set to 128 instead of 256

– A signedness error in sysfs when writing to a sysfs file can be exploited to overwrite kernel memory

– Some signedness errors in drivers/block/scsi_ioctl.c

– Linux Kernel sys_epoll_wait() Function Integer Overflow

– Some unspecified errors have been reported in the ISO9660 filesystem

– A signedness error in the bluez_sock_create() function

– An information leak exists in the ext2_make_empty() function

– Linux Kernel ELF Core Dump Privilege Escalation Vulnerability

– Linux Kernel pktcdvd and raw device Block Device Vulnerabilities

– An error in the mmap() function

– Linux Kernel IA32 Compatibility execve() Buffer Overflow

– Linux Kernel XDR Encode/Decode Buffer Overflow

– A boundary error in sendmsg() when copying 32bit msg_control

– An error in the raw_sendmsg() function

– A boundary error in /drivers/i2c/i2c-core.c

– insecure permissions being set on /dev/input by udev

Dwadzieścia jeden poważnych błędów, co daje średnio jeden błąd co trzy tygodnie. Na kilka z nich (uselib(), epoll(), ELF coredump i parę innych) można bez problemu znaleźć gotowe exploity.

We FreeBSD:

– devfs Ruleset Bypass

– i386_get_ldt() Kernel Memory Disclosure Vulnerability

– Kernel Memory Disclosure

– ifconf() Function Kernel Memory Disclosure

– amd64 Direct Hardware Access

– sendfile Kernel Memory Disclosure

Sześć. Przy czym warto zauważyć, że nie ma wśród nich ani jednego, który umożliwiałby łatwe i szybkie podniesienie uprawnień, jak w przypadku linuksowego epoll czy uselib.

A, i w przypadku Linuksa wszystkie watpliwe, albo wymagajace dziwnego sprzetu (dziury w konkretnych driverach albo architekturach) odsialem; we FreeBSD zostawilem wszystko jak jest.

No jak juz mowisz o jakosci kodu, to warto

moze jeszcze zarzucic "wc -l" na oba kernele

no i wspomniec o tym, ze im wiecej ludzi

z czyms grzebie tym wiecej smiecia wylazi

na swiatlo dzienne.

Aha, i przypominam, zaczalem watek pijac

do komunikatu na stronie OpenBSD ktory

wyrazie zaweza zabawe do REMOTE.

@jarek: To naprawde nie wina BSD, ze Linux zawiera kupe smiecia. Poza tym nie ma jakiejs konkretnej zaleznosci miedzy iloscia patrzacych ludzi i jakoscia kodu – z jednej strony owszem, ludzie wypatruja, z drugiej strony ludzie wprowadzaja nowe bledy.

@jarek: A, zapomnialbym. Powyzsze zestawienie nie zawiera bledow w sterownikach i kodu specyficznego dla dziwnych architektur; to, co zostaje, jest ~ podobne objetoscia (liczba linii) do BSD.