Forum Debian Users Gang

morfik siłujesz się z wiatrakami, dzisiaj wszystko jest do shaczenia, wystarczy spojrzeć na ogrom dziur w hardzie o sofcie nawet nie wspominam. Daj spokój, wszystko co masz na kompie wpiętym do sieci traktuj jak dostępne publicznie co oczywiście nie oznacza, że jest dostępne ale może być w każdej chwili i to wystarczy, zalepianie dziur staje się nudne a ciągłe utwardzanie maszyny to pogoń za marchewką na kiju, oczywiście sprawdza się na 'motłoch' ale dla chcącego (trzylitrówki mające zasięgi i budżet) pokonać taki system to pestka.

btw. ja tam zapinam chromium w firejaila+wspomaganie apparmora (jeżeli chodzi o chromium to korzystam z defaultowego przypięcia do apparmora ograniczającego min dbusa), nie cierpi na funkcjonalności i jakaś tam ochrona dodatkowego mechanizmu jest

Like Firejail, AppArmor restricts programs’ capabilities with per-program profiles. If you have an AppArmor profile for your application, enable it. Firejail should work fine on top of AppArmor. There is some overlap between the two technologies: both of them blacklist the same filesystem. In case one of them misses something important, hopefully the other one picks it up.

If you don’t have an AppArmor profile for your specific application, we give you one.../etc/apparmor.d/firejail-default

Ostatnio edytowany przez hi (2018-11-08 16:35:32)

firejail + apparmor? Po co to, co takiego robi ten firejail czego apparmor nie potrafi?

Nic nowego nie robi w porównaniu z AA.

Opisany przez Ciebie babol wkrótce naprawią, a AA to bardzo solidne zabezpieczenie w razie czego.
Także cierpliwości, nie ma się czym martwić.

W sysctl nie mam klucza, o którym piszesz:

sysctl -a | grep  userns
kernel.unprivileged_userns_apparmor_policy = 1

Za uwagę dziękuje:

Linux 4.19.1-g1

Ostatnio edytowany przez Jacekalex (2018-11-08 17:18:00)

morfik porównywanie zabezpieczania kompa do zabezpieczania domu to trochę pokrętna logika. Wiedz, że dzisiejszy sprzęt jest tak robiony aby miał te luki, patrz klocki i nie tylko zresztą, wystarczy chociażby codzienna lektura niebezpiecznika czy z3s i włos sie jeży na głowie :)

Zabezpieczenia nie są po to by trwały w nieskończoność i były niezawodne. Zabezpieczenia mają ci dać więcej czasu na reakcję na zagrożenie, które się pod twoim adresem kroi i nic więcej

problem w tym, że będzie to za chwilę bardzo trudne do osiągnięcia bo luki schodzą coraz częściej do hardwaru a tam już sobie nie pogrzebiesz :)

Oczywiście wiem o co Ci chodzi i też nie jestem w tej kwestii kompletnym ignorantem ale nie popadajmy w paranoję z drugiej strony nie łudźmy się, że mamy system jak skała.

Złoty środek Panowie :)

morfik napisał(-a):

firejail + apparmor? Po co to, co takiego robi ten firejail czego apparmor nie potrafi?

działa :) u mnie apparmor ma czasami zadyszki przy chromie/chromium albo steamie a nie mam czasu się babrać i poprawiać profile po każdej aktualizacji tych apek a są one dosyć częste, do reszty preferuję jak najbardziej czysty aa :)

Ostatnio edytowany przez hi (2018-11-08 17:53:06)

@hi -- a domy to nie są tak robione, żeby łato można było się do nich włamać? Pokaż mi kraty w oknach czy pancerne szyby albo jakieś zapory ogniotrwałe i ściany grubości metra, a całość schowana głęboko pod Racoon City... xD Właśnie po to się stosuje zabezpieczenia, by atakujący tak łatwo nie mógł się poruszać po naszym środowisku... Poza tym, ja się nie łudzę, że mam system jak skała, ja to po prostu wiem.... Przekonałem się parę miechów temu jak pendrive próbowałem zamontować w systemie i mi nie wyszło, bo zapomniałem o regułach polkita... xD Ale system zabronił podłączyć obcego pendrive, a skoro mi zabronił, to i każdemu, kto by próbował coś podłączyć, również... i o to chodzi w tych zabezpieczeniach. :]

@Jacekalex zaraz popatrzę na te 4.19

Ostatnio edytowany przez morfik (2018-11-08 17:49:04)

Ale ty widzisz, jaki tam jest fix? kernel.unprivileged_userns_clone=0 . To było poprawione już od początku. Ale z takim ustawieniem to przeglądarki się rzucają, i tego dotyczy ten wątek.

W sumie to tylko jeden został fix'nięty w kodzie. Drugi to nie wiem przez co, a trzeci przez ustawienie 0 w kernel.unprivileged_userns_clone . Więc co najmniej jeden błąd wciąż jest do wykorzystania. xD

Ostatnio edytowany przez morfik (2018-11-08 18:03:40)

No tak, wszystkie chodzą póki co za wyjątkiem chromium v70. Więc skoro wszystkie poza FF są podobne do chromium, to pewnie niedługo też przestaną działać.

Nie znam szczegółów tego ataku to ci nie powiem jak on działa i czy cokolwiek w naszej rzeczywistości jest jeszcze na to podatne poza płytką ubuntu 8.04, która mam jeszcze w szafce. xD

morfik napisał(-a):

Nie znam szczegółów tego ataku to ci nie powiem jak on działa i czy cokolwiek w naszej rzeczywistości jest jeszcze na to podatne poza płytką ubuntu 8.04, która mam jeszcze w szafce. xD

https://github.com/MorteNoir1/virtualbox_e1000_0day

@ Jacekalex już chyba wiem o co chodzi z tym brakiem kernel.unprivileged_userns_clone u ciebie. To właśnie był ten fix, tj. danie możliwości wyłączenia tego syfu w debianie. W debianowej 4.19 (z exp) ten parametr dalej figuruje. Czyli nie masz tego pacza w swoim kernelu i masz podatny system na tego CVE. xD

Co do wersji przeglądarki, z reguły jak się aktualizują chrome, chromium i opera u mnie, to ten sam zestaw rzeczy chcą (czasem zmieniane nazwny chromium na opera, itp). Ale ja mam obecnie niby:

$ chromium --version
Chromium 70.0.3538.67 built on Debian buster/sid, running on Debian buster/sid

$ google-chrome --version
Google Chrome 72.0.3595.2 dev

I nawet na tej v70 google-chrome również działał, czyli coś pozmieniali w chromium.

Na bugtrackerze jest jeszcze coś takiego:
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=9 … e&mbox=no

Wygląda na to, że ja nie mam chromium-sandbox w systemie.

Zaraz to sprawdzę czy działa. xD

morfik napisał(-a):

serio, bug w aplikacji, którego nie chcą fixnąć przez pół roku? Właśnie po to jest apparmor, by tego typu błędy ograniczyć

w tym przypadku prędzej grsecurity, tylko kto tego używa na desktopie?

morfik napisał(-a):

Nawet jeśli by u mnie tego typu błąd zaistniał i miałbym profi

widzę, że u Pana remedium na wszystko to apparmor, niezłe podejście ale zalecam jednak twarde zejście do rzeczywistości i wysłuchanie tego wykładu w całości (szczególnie drugą część o backdorach w oprogramowaniu sprzętowym:

https://www.youtube.com/watch?v=1wO-o_mIUTU

morfik napisał(-a):

idealny przykład, dlaczego powinniśmy jednak stosować zabezpieczenia.

nie napisałem nigdzie, że nie powinniśmy zabezpieczać swoich maszyn, jedyne co to śmieszą mnie takie frazy:

morfik napisał(-a):

Poza tym, ja się nie łudzę, że mam system jak skała, ja to po prostu wiem

sorry ale nawet niebezpieczniaki wiedzą, że to gówno prawda i traktują swoje sprzęty tak jak te które hakują tylko trochę lepiej je zabezpieczają :) Poczytaj co w tym temacie pisze gostek z z3s i jakiego systemu używa i co na jego temat mówi

Ostatnio edytowany przez hi (2018-11-08 20:27:32)

hi napisał(-a):

nie napisałem nigdzie, że nie powinniśmy zabezpieczać swoich maszyn, jedyne co to śmieszą mnie takie frazy:

morfik napisał(-a):

Poza tym, ja się nie łudzę, że mam system jak skała, ja to po prostu wiem

Przecie to było ironicznie powiedziane. xD Umknęło ci inne moje zdanie, że każde zabezpieczenie można złamać?

hi napisał(-a):

sorry ale nawet niebezpieczniaki wiedzą, że to gówno prawda i traktują swoje sprzęty tak jak te które hakują tylko trochę lepiej je zabezpieczają :)

No właśnie jest tutaj ta subtelna różnica "tylko trochę lepiej je zabezpieczają" — ja mam tak samo przecie: mój system niczym się nie różni od twojego, czy przeciętnego kowalskiego, za wyjątkiem pewnych drobnych zmian w kwestii bezpieczeństwa. xD

Przecie apparmor narzuca jedynie restrykcje co do tego co aplikacja może robić, m.in. jakie pliki ma w swoim zasięgu. Domyślnie masz blokowane wszystkie pliki i to nie tylko odczyt i zapis ale również wykonywanie, itd. Więc powiedź mi jak taka trefna appka, mająca profil apparmora, może krzywdę zrobić mi w systemie, jeśli nie ma ona X na shellu?  Niech ta apka próbuje sobie wykonać nawet i "rm -Rf /" , to i tak jej nic nie da, bo nie ma X na rm no i oczywiście nie ma zapisu na /** ... Moim skromnym zdaniem ta drobna różnica (posiadanie apparmora) nieco utrudnia aplikacjom wrogie zachowanie i tym wygrywa mój system vs system kowalskiego, nic więcej. xD

Piaskownica zaś to dodatkowa izolacja miedzy procesami, które mając w AppArmor ustawiony dostęp do tych samych zasobów mogłyby mieć ze sobą kontakt. Sam AppArmor nie zapewnia takiego typowego sandboksa.

To już jest zrobione w samych przeglądarkach jako multiproces, każda karta chodzi w innym procesie, i przynajmniej w teorii powinna korzystać z zabezpieczeń dostępnych w systemach operacyjnych jak seccomp czy capsicum.

Oczywiście programiści "powinni", ale nie zawsze tak to działa, jeśli natomiast mam otwarte kilkanaście zakładek w jednym oknie FF, to Firefail poszczególnych kart i tak nie ochroni, bo widzi proces przeglądarki a nie poszczególne procesy kart.

Chyba żeby metodą Morfika robić trzy profile do FF (różne do różnych działań),
albo metodą znaną z QubesOS, czyli kilka VM z osobnymi  systemami,
każda do innych działań.
To w Firejailu też jest osiągalne, podobnie jak przy pomocy wszystkich chrootów
na sterydach jak np LXC, Docker czy kiedyś OpenVZ.

EDIT:
Mamy jednak jeszcze troszkę czasu, u mnie w mieście w czytelni jest zainstalowane na publicznych kompach  Kubuntu z KDE-3.5 (wersja Ubu 7.10)
i ciągle jeszcze działają, co mnie aż dziwi, bo mają względnie świeże przeglądarki Chrome.

Także z sensownie skonfigurowanym Linuxem mamy trochę spokoju, najwyraźniej nie jest zbyt łatwo ugryźć Linuxa.

EDIT2:
Najciekawszy błąd projektowy, jaki ostatnio widziałem:
https://spidersweb.pl/autoblog/jeep-dywaniki-blokuj … gazu-usterka/
xD

Ostatnio edytowany przez Jacekalex (2018-11-08 21:40:21)