Forum Debian Users Gang

End of the m0n0wall project

m0n0wall is a project aimed at creating a complete, embedded firewall software package that, when used together with an embedded PC, provides all the important features of commercial firewall boxes (including ease of use) at a fraction of the price (free software).

Dear m0n0wall enthusiasts,

on this day 12 years ago, I have released the first version of m0n0wall to the public. In theory, one could still run that version - pb1 it was called - on a suitably old PC and use it to control the Internet access of a small LAN (not that it would be recommended security-wise). However, the world keeps turning, and while m0n0wall has made an effort to keep up, there are now better solutions available and under active development.

Therefore, today I announce that the m0n0wall project has officially ended. No development will be done anymore, and there will be no further releases.

The forums and the mailing list will be frozen at the end of this month. All the contents of the website, repository, downloads, mailing list and forum will be archived in a permanent location on the web so that they remain accessible indefinitely to anyone who might be interested in them.

m0n0wall has served as the seed for several other well known open source projects, like pfSense, FreeNAS and AskoziaPBX. The newest offspring, OPNsense (https://opnsense.org), aims to continue the open source spirit of m0n0wall while updating the technology to be ready for the future. In my view, it is the perfect way to bring the m0n0wall idea into 2015, and I encourage all current m0n0wall users to check out OPNsense and contribute if they can.

Finally, I would like to take this opportunity to thank everyone who has been involved in the m0n0wall project and helped in some way or another - by contributing code, documentation, answering questions on the mailing list or the forum, donating or just spreading the word. It has been a great journey for me, and I'm convinced that even now that it has come to an end, the m0n0wall spirit will live on in the various projects it has spawned.

Manuel Kasper
15 February 2015

Nastepna piekna rzecz, ktora bedzie we FreeBSD 11 - HARDENEDBSD.

Opis i funkcje
https://www.soldierx.com/news/HardenedBSDs-Integriforce

Porownanie, odpowiednik NETBSD:
https://netbsd.org/docs/guide/en/chap-veriexec.html

Screen z zastosowania:
http://i.imgur.com/wHp2eAN.png

FreeBSD 11 bedzie miazdzylo po calosci !

Przeciez openbsd na desktopie to prawie nikt nie uzywa

uzytkownikubunt napisał(-a):

Yampress napisał(-a):

Przeciez openbsd na desktopie prawie nikt nie uzywa

Selekcja. Przecież pisałem ;)
W razie czego jednak jest KDE (3 i 4), Gnome, Xfce, Fluxbox, Openbox w portach :D

Nie selekcja. Po protu wybór...   Uważasz ze openbsd jest tak ciężkie aby go się nauczyć? i To tworzy selekcje?
Jest na desktop ciężkie w użytkowaniu, bo wielu rzeczy  nie uruchomisz na nim tak jak na linuxie . I nawet nie chodzi tutaj o prędkość działania tylko o multimedialność. 
Dla mnie systemy BSD są prostsze od linuxa. Tylko netbsd daje jakiś poziom skomplikowania. FreeBSD to aktualnie jest banalne.

uzytkownikubunt napisał(-a):

bryn1u napisał(-a):

Nastepna piekna rzecz, ktora bedzie we FreeBSD 11 - HARDENEDBSD.

Opis i funkcje
https://www.soldierx.com/news/HardenedBSDs-Integriforce

Porownanie, odpowiednik NETBSD:
https://netbsd.org/docs/guide/en/chap-veriexec.html

Screen z zastosowania:
http://i.imgur.com/wHp2eAN.png

FreeBSD 11 bedzie miazdzylo po calosci !

Co z tego, że będą takie zabezpieczenia skoro na pakietach binarnych ich nie będziesz mógł włączyć, bo nie będą skompilowane z odpowiednimi opcjami? Ja wiem, że w społeczności FreeBSD i Linuksa są eksperci i/lub jednostki lubiące bezpieczeństwo i stabilność, ale na każdą taką osobę przypada odpowiednio ze 100 i 500 osób, które się na tym nie znają lub wolą zamiast tego, by system się trochę szybciej uruchamiał. Tylko wśród OpenBSD jest społeczność ludzi, którzy są w stanie w imię wartości - bezpieczeństwa, poświęcić odrobinę innych cech. Tak sobie nawet myślę, że to nawet dobrze, że w OpenBSD nie ma wielu sterowników i nie działa na wielu laptopach tak enerooszczędnie jak Linux. Dzięki temu następuje selekcja w czasie której część ludzi odpada :)

Musze cie rozczarowac w zwiazku z pakietami binarnymi :(

HardenedBSD: {
  url: "http://pkg.hardenedbsd.org/current/${ABI}"
  mirror_type: "http",
  signature_type: "pubkey",
  pubkey: "/usr/share/keys/pkg/trusted/hardenedbsd.crt.2014-09-04",
  enabled: yes
}

http://pkg.hardenedbsd.org/current/amd64/All/

Pozyjemy zobaczymy. Chyba nie jest problemem przekompilowac wszystkie porty z dodatkowymi opcjami i zrobic paczki. Do tego wystarczy skrypt. Gdzies sie natchnalem, ze beda dwa repa. Jedno normalne a drugie hardened. Zreszta do FreeBSD - 11 jest jeszcze troche czasu. Nie ukrywam, ze bedzie to ogromny skok zarowno na warstwie emulacji linux_compat, writualizacji min. bhyve oraz bardzo rozbudowanej warstwie zabezpieczen. Badzmy optymistami.

1775

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:14:16)

No i stalo sie. Panowie do jajka doszla nowa opcja:

PAX_NOEXEC              # Remove WX pages from user-space and enforce W^X

@uzytkownik

Ostatnie zdania sa dla ciebie :P Jest tam tez fraza na ktora czekasz tzw: firefox :D

Over the past few months, Oliver has been busy writing a new exploit mitigation feature for HardenedBSD: NoExec. The first part of this project was merged into master tree, and there are still ongoing issues to solve. Our implementation is inspired by PaX's. NoExec prevents pages that are marked as writable from being marked executable as well. It also prevents using mprotect(2) to change a non-executable page to an executable one. This, of course, can cause issues with applications that expect to be able to mark existing pages as executable. Firefox is a good example. You will need to either jail the application in a jail with NoExec turned off or use secadm to turn off NoExec for that application.

This feature bumps the HardenedBSD version number up to 17. We're doing a new package build as well. You'll also get some applications built as Position-Independent Executables (PIEs) with this package build.

Sysctl hardening

[root@Indyferentny ~/paxtest-0.9.11]# sysctl hardening
hardening.pax.aslr.status: 2
hardening.pax.aslr.mmap_len: 30
hardening.pax.aslr.stack_len: 20
hardening.pax.aslr.exec_len: 21
hardening.pax.aslr.compat.status: 2
hardening.pax.aslr.compat.mmap_len: 8
hardening.pax.aslr.compat.stack_len: 8
hardening.pax.aslr.compat.exec_len: 8
hardening.pax.pageexec.status: 2
hardening.pax.mprotect.status: 2
hardening.pax.segvguard.status: 1
hardening.pax.segvguard.debug: 0
hardening.pax.segvguard.expiry_timeout: 120
hardening.pax.segvguard.suspend_timeout: 600
hardening.pax.segvguard.max_crashes: 5
hardening.version: 17
hardening.log.log: 1
hardening.log.ulog: 0
hardening.allow_map32bit: 0
hardening.procfs_harden: 1
hardening.ptrace_hardening.status: 1
hardening.ptrace_hardening.gid: 50000
[root@Indyferentny ~/paxtest-0.9.11]#

https://www.freebsd.org/cgi/man.cgi?query=mprotect&apropos=0&sektion=0&manpath=FreeBSD+10.1-RELEASE&arch=default&format=html

Ostatnio edytowany przez bryn1u (2015-03-26 19:07:56)

Z tego co sie doczytalem to FreeBSD (inne odnogi nie wchodza w rachube) jak sie myle to poprawcie.

Ten konfig, to  jakiś horror.

W Gentoo flagi Paxa się teraz nakłada przy pomocy XATTR, i to jest najwygodniejsza opcja.

# file: usr/bin/mplayer
user.pax.flags="PemRS"

ale root może je modyfikować.

Jak chcesz bezpieczniej np na serwerze, to od tego są literki w /etc/grsec/policy

A tutaj dokumentacja:
http://www.gentoo.org/proj/pl/hardened/grsecurity2.xml#doc_chap3
http://www.grsecurity.net/~spender/newDoc.pdf
https://grsecurity.net/gracldoc.htm

Jest jeszcze demon Paxa, do automatycznego ustawiania flag, paxctld, ale na razie w wersji dosyć dziecięcej. ;)

Ostatnio edytowany przez Jacekalex (2015-03-26 21:25:09)

Chattr dodaje flagi na pliku, a nie na atrybutach XATTR, które są częścią systemu plików.
Flagi do pliku dodaje opcja CONFIG_PAX_PT_PAX_FLAGS z kernela.

Z resztą chciałbyś klepać taki konfig do np 150 albo 300  binarek? Bo ja nie bardzo. :D

W kompie mam już zrobiony konfig (do demona paxctld) i ten liczy sobie tylko 807 pozycji, a to jeszcze nie koniec.
Oczywiście na serwerach jest tego dużo mniej, tam się nie pakuje Mate, KDE i LXQT, ale tam lepiej to w polityce grsec opisać, jest prostsza, niż ten Twój konfig, a przy okazji masz w niej dużo więcej możliwości, np CAPABILITIES, dodatkowy FW (na razie dla IPv4), i możliwość dokładnego zdefiniowane, co dany program może otworzyć, a także np ile pamięci i czasu procesora może użyć (limity zgodne z ulimit, ale lichsze, niż przez cgroup), to wszystko dostępne z poziomu tylko powyżej roota, bo nawet root nie może choćby zajrzeć do polityki grsec, jeśli nie zaloguje się do roli admina w gradm.

Przykład polityki domyślnej dla wszystkiego i wyjątku dla sshd masz w tym dokumencie:
http://grsecurity.net/researchpaper.pdf

Krótko pisząc, filozofia konfiguracji inna ale skuteczność bardzo wysoka, ciekawe tylko, dlaczego nagle zaczęli ładować Paxa do FBSD, w czasie migracji na Clanga.

W każdym razie, Linux z Grseciem & Paxem daje radę, a FBSD się dopiero uczy, czy raczej zaczyna bawić takimi klockami. ;)

Jedyna ważna zaleta we FBSD będzie taka, ze to się znajdzie w defaultowym systemie, podczas, gdy w Linuxie żadna duża dystrybucja (może z wyjątkiem Archa) nie dostarcza gotowego jajka z Grsec, trzeba przeważnie kompilować jajo samodzielnie, czego 95% tzw "adminów" nie potrafi. ;)


Przy okazji: Czy w w tym HardenedBSD lub FBSD planują coś w typie Trusted_Patch_Execution, Harden_Ipc, czy np Deny-New_USB (przełączane przez sysctl/proc) - tego  można łatwo zapiąć np do wygaszacza ekranu.
Pytam, bo Pax jest tylko ważnym, ale nie najważniejszym załącznikiem do Grseca.
Tu masz porównanie z SElinuxem i Apparmorem:
https://grsecurity.net/compare.php


Co prawda nie zagłębialem się w szczegóły, ale przy włączonym harden_ipc, uprawnienia semaforów i połączeń IPC mają wartości 600 lub 700

 ipcs -a 

------ Kolejki komunikatów ---
klucz      id_msq     właściciel uprawn.    bajtów      komunikatów

------ Segmenty pamięci dzielonej ----
klucz      id_shm     właściciel uprawn.    bajtów    podłączeń stan        
0x00000000 0          pacjent       600        393216     2          dest         
0x00000000 98305      pacjent       600        393216     2          dest         
0x00000000 131074     pacjent       600        393216     2          dest         
0x00000000 294915     pacjent       600        67108864   2          dest         
0x00000000 589828     pacjent       600        524288     2          dest         
0x00000000 688133     pacjent       600        393216     2          dest         
0x00000000 851974     pacjent       600        393216     2          dest         
0x00000000 884743     pacjent       600        393216     2          dest         
0x00000000 917512     pacjent       600        393216     2          dest         
0x00000000 950281     pacjent       600        393216     2          dest         
0x00000000 1048586    pacjent       600        393216     2          dest         
0x00000000 1146891    pacjent       600        393216     2          dest         
0x00000000 1310732    pacjent       600        393216     2          dest         
0x00000000 1409037    pacjent       600        393216     2          dest         
0x00000000 1638414    pacjent       600        393216     2          dest         
0x00000000 3375119    pacjent       600        524288     2          dest         
0x00000000 1835024    pacjent       600        393216     2          dest         
0x00000000 17203217   pacjent       600        393216     2          dest         
0x00000000 2457618    pacjent       600        393216     2          dest         
0x00000000 2129939    pacjent       600        393216     2          dest         
0x00000000 40271892   pacjent       600        524288     2          dest         
0x00000000 2293781    pacjent       600        524288     2          dest         
0x00000000 2490390    pacjent       700        4828160    2          dest         
0x00000000 17367063   pacjent       600        393216     2          dest         
0x00000000 2883608    pacjent       600        393216     2          dest         
0x00000000 2981913    pacjent       600        393216     2          dest         
0x00000000 3014682    pacjent       600        524288     2          dest         
0x00000000 44040219   pacjent       600        524288     2          dest         
0x00000000 40304668   pacjent       600        4194304    2          dest         
0x00000000 42827805   pacjent       600        393216     2          dest         

------ Tablice semaforów -------
klucz      id_sem     właściciel uprawn.    lsem      
0x00000000 3538944    nginx      600        1         
0x00000000 3571713    nginx      600        1         
0x00000000 3080194    apache     600        1         
0x00000000 3112963    apache     600        1         
0x00000000 3145732    apache     600        1         
0x00000000 3178501    apache     600        1         
0x00000000 3211270    nginx      600        1         
0x00000000 3244039    nginx      600        1         
0x00000000 3342344    nginx      600        1         
0x00000000 3375113    nginx      600        1         
0x00000000 3473418    nginx      600        1         
0x00000000 3506187    nginx      600        1

Wcześniej miały przeważnie z umask, a czasami jakieś wariactwa, np 666 lub 777.

Pokaż, jak uzbrojone są połączenia IPC w tym HardBSD, bo co to znaczy wbić się do IPC jakiegoś  ważnego programu, to oznacza praktycznie kontrolę nad tym programem.

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2015-03-27 01:14:24)