Forum Debian Users Gang

@Jacku

Mozesz mi dac przyklad nakladania flagi na sztywno pod debianem dla nowo dodanego programu, ktorego PaX blokuje czyli mprotect ? Tak, zeby dzialal.

root@ns321124:/usr/src/linux_grsec# cat .config | grep CONFIG_PAX_PT_PAX_FLAGS
CONFIG_PAX_PT_PAX_FLAGS=y

I co ja mam z tym zrobic teraz ?

Drogi Jacku czasami uwazam, ze jestes tak zadufany w grsec i innych rzeczach, ze nawet nie pamietasz albo nie chcesz pamietac co pisze/pisalem do ciebie. PRzykladem jest twoj pytanie o TPE. TPE pod FreeBSD jest od parunastu lat jak jest modul mac_bsdextended.
Przykładowo u mnie:

ugidfw add subject not uid root gid exec object ! gid wheel:999 type r mode arsw

Znaczenie regulki:
Uzytkownik nie bedacy rootem nie nalezacy do grupy exec, probujacy sie dostac do plikow, ktorye nie naleza do grup z przedzialu od 0:999. Dostaja typ r (binarki), mode uprawnienia arsw:

a administrative operations (przenoszenie, kopiowanie itd)
                                      r      read access                      (czytanie)
                                      s      access to file attributes     (dostep do atrybutow)
                                      w      write access                    (zapisywac)
                                      x      execute access                (wykonywac)
                                      n      none

W skorcie. Jezeli nie jestes dodany do grupy exec (twoj odpowiednik grupy TPE) nie mozesz odpalac wlasnych programow itd. Pliki systemowe UNIX zaczynaja sie od 0 do 999, czyli userzy moga uzywac tylko programow zainstalowanych przez roota !

możliwość dokładnego zdefiniowane, co dany program może otworzyć, a także np ile pamięci i czasu procesora może użyć (limity zgodne z ulimit, ale lichsze, niż przez cgroup), to wszystko dostępne z poziomu tylko powyżej roota, bo nawet root nie może choćby zajrzeć do polityki grsec, jeśli nie zaloguje się do roli admina w gradm.

Heh to pod FreeBSD jest dostepne i nie wymaga ani Grsec ani Pax'a.

Za pomoca chflags admina w jailu mozesz tak ograniczyc, ze nie bedzie mogl nawet zmieniac podstawowych atrybutow na plikach z nalozonym kernsecure na poziomie 3. A jakby sie ktos wlamal to pozostaje mu popatrzec i wyjsc.

ugidfw add subject gid users object gid wheel type d mode sx

Trzymam userow zawsze w grupie users. Kazdy dodany do tej grupy musi przestrzegac roles mac.
Znaczenie regulki:
Uzytkownicy nalezacy do grupy users probujacy sie dostac do folderow nalezacych do grupy wheel dostaja uprawnienia sx. A efekt jest taki:

bryn1u@Proton.edu.pl:[~]:$> ls /
ls: /: Permission denied
bryn1u@Proton.edu.pl:[~]:$> ls /etc
ls: /etc: Permission denied
bryn1u@Proton.edu.pl:[~]:$> ls /boot
ls: /boot: Permission denied
bryn1u@Proton.edu.pl:[~]:$> ls /root
ls: /root: Permission denied
bryn1u@Proton.edu.pl:[~]:$> ls /etc/ssh
ls: /etc/ssh: Permission denied

w poprzedniej regulce type r oznaczal binarki a tutaj type d oznacza foldery

The rule will apply only to objects matching
                                all the specified conditions.  A leading not
                                means that the object should not match all the
                                remaining conditions.  A condition may be
                                prefixed by ! to indicate that particular
                                condition must not match the object.  Objects
                                can be required to be owned by the user and/or
                                group specified by uid and/or gid.  A range of
                                uids/gids can be specified, separated by a
                                colon.  The object can be required to be in a
                                particular filesystem by specifying the
                                filesystem using filesys.  Note, if the
                                filesystem is unmounted and remounted, then
                                the rule may need to be reapplied to ensure
                                the correct filesystem id is used.  The object
                                can be required to have the suid or sgid bits
                                set.  The owner of the object can be required
                                to match the uid_of_subject or the
                                gid_of_subject attempting the operation.  The
                                type of the object can be restricted to a
                                subset of the following types.

                                      a      any file type
                                      r      a regular file
                                      d      a directory
                                      b      a block special device
                                      c      a character special device
                                      l      a symbolic link
                                      s      a unix domain socket
                                      p      a named pipe (FIFO)

                   mode arswxn  Similar to chmod(1), each character represents
                                an access mode.  If the rule applies, the
                                specified access permissions are enforced for
                                the object.  When a character is specified in
                                the rule, the rule will allow for the
                                operation.  Conversely, not including it will
                                cause the operation to be denied.  The
                                definitions of each character are as follows:

                                      a      administrative operations
                                      r      read access
                                      s      access to file attributes
                                      w      write access
                                      x      execute access
                                      n      none

           remove rulenum
                   Disable and remove the rule with the specified rule number.

SEE ALSO
     mac_bsdextended(4), mac(9)

HISTORY
     The ugidfw utility first appeared in. FreeBSD 5.0

FreeBSD 5.0 - jakis 2003 rok. Takie rozwiazanie jest natywnie od 12 lat !

Zrob to pod linuxem dla grupy nie usera na /etc/passwd

bryn1u@Proton.edu.pl:[~]:$> ls -lo /etc/passwd
ls: /etc/passwd: Permission denied
bryn1u@Proton.edu.pl:[~]:$> cat /etc/passwd
cat: /etc/passwd: Permission denied
bryn1u@Proton.edu.pl:[~]:$> cat /etc/passwd | wc -l
cat: /etc/passwd: Permission denied
       0

Role:

subject gid users object gid hide type a mode n

A tu jest efekt z debiana:

root@ns321124:/# chmod o-r /etc/passwd
root@ns321124:/# su - test
I have no name!@ns321124:~$

I pamietaj, ze ja nigdy nie krytykowalem Pax'a/Grse bo dla mnie jest to najlepsza rzecz jaka spotkala linuxa. Dziwi mnie do tej pory, ze tak wspaniale rozwiazanie nie jest zaimplementowane w ani jednej dystrybucji linuxa, a jest ich tyle, ze sie ich nie da zliczyc.

Ostatnio edytowany przez bryn1u (2015-03-27 08:35:12)

Moim zadniem. Skoro ja zrozumialem narzedzie ugidfw z mac_basdextended. To ty ze swoja wiedza bys to po prostu polknal, pisal regulki tak jak mowisz po polskiemu. W  moim odczuciu, zobaczyles ten mechanizm "raz", przetworzyles, ze skladnia nie jest na wzor linuxa, grse i dlatego porownales do zlozonosci z SELinuxa. A ja ide o zaklad, ze jakbys wklepal to w konsole pare razy, zobaczyl jak dziala to bys sie w tym zakochal. A po drugie uwielbiam z toba dyskutowac na ten temat bo robi sie niezla lekturka. Wyniki z google juz prowadza do tego forum i tego tematu :D

Mylisz pojęcia, TPE robi zupełnie coś innego, dotyczy uruchamiania binarek, a nie uprawnień do plików, to dwie rożne sprawy.

[Gentoo Wiki]:

Trusted Path Execution (TPE) is a protection which restricts the execution of files under certain circumstances determined by their path. Using it will make privilege escalation harder when an account restricted by TPE is compromised as the attacker won't be able to execute custom binaries which are not in the trusted path.

Chyba rozumiem.

Za pomoca lekko zmodyfikowanej regulki, ktora napisalem wczesniej moge wylaczyc prawa wszystkim nowym/starym userom oraz rootowi np w jailu.

ugidfw add subject not uid root gid exec object ! gid wheel:999 filesys /jails/Indyferentny type r mode arsw
ugidfw add subject uid root object ! gid wheel:999 filesys /jails/Indyferentny type r mode arsw

Blokuje wszystkim uzytkownikom i do tego root tez dochodzi. Z tego co wiem, zeby np "wylaczyc" roota pod LXC to trzeba go wyciac w RBAC'u (moge sie mylic)
Dodatkowe zabezpiecznie ktore jest w grsec dla chroot.

ugidfw add subject not uid root gid 0 object filesys /jails/Indyferentny suid type a mode n

Czyli wszystko z +s (suid) nie ma zadnego prawa ! Czy przykladowy screen.

Powiedz mi jeszcze prosze co dokladnie mam uzyc pod gentoo, zeby te wszystkie flagi dzialaly. Olewam debiana na rzecz gentoo !

Ostatnio edytowany przez bryn1u (2015-03-27 11:41:22)

This report covers FreeBSD-related projects between January and March 2015. This is the first of four reports planned for 2015.

http://www.freebsd.org/news/status/report-2015-01-2015-03.html

Powoli zbliża się wydanie FBSD 10.2 https://www.freebsd.org/releases/10.2R/schedule.html

2064

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:20:36)

"Jest to najpewniej związane z rozpoczęciem dodawania oficjalnego wsparcia OpenSSH w PowerShellu."


http://osworld.pl/microsoft-zostal-zlotym-partnerem … d-foundation/

2087

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:21:05)

2088

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:21:06)

10.2-RELEASE już na mirrorach:

http://ftp.freebsd.org/pub/FreeBSD/releases/ISO-IMAGES/10.2/

2147

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:22:20)

O w morde :)

http://osworld.pl/openbsd-pracuje-nad-wlasnym-hiperwizorem/

Ostatnio edytowany przez bryn1u (2015-09-04 09:41:08)

Opis tego hyperwizora wskazuje, że jest mocno wzorowany na linuksowym KVM, ma praktycznie identyczne wymagania względem procka.

to wiecej niz w centos'ie :D