URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 137741
[ Назад ]
Исходное сообщение
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в ядре Linux"
Отправлено opennews , 05-Сен-25 09:07 
Проект Openwall опубликовал модуль ядра LKRG 1.0.0 (Linux Kernel Runtime Guard), предназначенный для проверки целостности структур ядра и выявления попыток эксплуатации уязвимостей в ядре. Отмечается, что присвоение номера версии 1.0.0 ознаменовало достижение проектом зрелого состояния. Код проекта распространяется под лицензией GPLv2...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=63827

Содержание
Сообщения в этом обсуждении
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 09:07 
сертификат фстек есть?
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 09:12 
Идея бредовая. Чтобы защитить квартиру, надо ставить железную дверь, а не датчик прохода через пустой дверной проем. Тем более, что датчик работает не всегда, а только по событиям вроде "слышу чей-то топот, напоминающий топот воров".
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Жироватт , 05-Сен-25 09:26 
Бытовые аналогии тем и плохи, что не описывают ничего.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 09:46 
В новости все описано: сабж не защищает, а только фиксирует взлом. И работает он не всегда, а только по некоторым событиям. Это самый бредовый способ из всех. Навеяло вантузом и его антивирусами, которые с "проактивной усиленной защитой".
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 10:19 
> В новости все описано: сабж не защищает, а только фиксирует взлом.

В новости все описано - эксплойт прибивается при попытке получения повышенных привилегий.
То есть сабж защищает. Не на 100%, конечно, но так и не бывает.

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 11:36 
> эксплойт прибивается при попытке получения повышенных привилегий

Эксплоит НЕ прибивается, читай внимательнее: аффтар сабжа посчитал, что эксплоит ВСЕГДА пользуется сисколами вроде fork, exit etc. Это не так. Далее, допустим эксплоит вызвал такой сискол и изменил память ядра. Сабж просто _зафиксирует_, что такое изменение произошло, залогирует куда-нибудь пост-фактум и попытается завершить ОДИН ИЗ пидов эксплоита. Тот самый пид, который и вызвал сискол. Другие остаются в целости и сохранности! Я ж говорю: вантузомышление. Буду удивлен, если сабж сумеет предотвратить хотя бы 0.1% от всех атак на ядро. Правильная защита -- не пассивное наблюдение за памятью (за пустым дверным проемом без двери), а активная изоляция всего подряд (собственно установка двери).

Вот серьезно. Поди к своему завцеха и скажи: "а давайте вместо того, чтобы не пускать в здание по неверному ключу -- мы просто ВПУСТИМ и залогируем ошибочность ключа. Но ВПУСТИМ.".

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Big Robert TheTables , 05-Сен-25 12:37 
для более точной аналогии надо добавить электрошокер или газовую камеру в предбаннике.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 13:15 
> Это не так

дополнит. Автор добавил проверку по таймеру на случай если не угадал с сисколами

> Сабж просто _зафиксирует_, что такое изменение произошло, залогирует куда-нибудь пост-фактум и попытается завершить ОДИН ИЗ пидов эксплоита.

у сабжа три возможных реакции. Паника гарантированно остановит эксплоит

> Правильная защита -- не пассивное наблюдение за памятью

активно следим за списком сисколов — неправильный список, пассивно сканируем по таймеру — пассивно вообще не надо, угу

> а активная изоляция всего подряд

какие накладные расходы будут?

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 14:31 
паника все остановит, еще можно много паники накидать по таймеру, вдруг атак больше чем одна.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Анон666 , 05-Сен-25 19:57 
Сразу видно непрофессионала подкроватного админа) Вместо четкой и строгой конкретики по технике - гнилые аналогии с борщом и тефтелями. Вы думаете вы так классно косите под инженеров, а мы вас таких поросят каждый день видим на работе)
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 09:46 
И хороши тем, что можно не разбираться в вопросе, но выглядеть экспертом.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 13:03 
Аналогии по определению*
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 14:00 
> Бытовые аналогии тем и плохи, что не описывают ничего.

Господи, и этому комментарию наставили плюсиков. 🤦

Нет, дружок, его аналогия с вошедшим в отрытую дверь вором буквально описывает суть действия сабжа. Прямо с официального сайта:

"LKRG attempts to post-detect and hopefully promptly respond to unauthorized modifications to the running Linux kernel"

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Анон666 , 05-Сен-25 20:35 
Дружки у тебя в твоём клубе остались) Инженеры аналогиями не пользуются, если тебе не сказали (а в техническом вузе это говорят примерно на 2 курсе), а пользуются выкладками и принципом достаточного основания. Аналогиями пользуются гуманитарии, косящие под инженеров, которые не знают, что доказательство по аналогии доказательством не является, а является мошенничеством. За которое бьют канделябром.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 14:32 
Наконец-то хоть кто-то обратил на это внимание. А то постоянно тут софт/ядра сранвают с автомобилями запорожец и порше, личный опыт колоноскопии, сортир в виде дырки на улице и т.д.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 16:44 
> Бытовые аналогии тем и плохи, что не описывают ничего.

когда твоя "умна дверь" будет открываться по команде "откройте милиция", тогда "описывать" все будет следак, при понятых конечно же :)

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено 60260 , 05-Сен-25 09:52 
тоже бредовая идея, не дверь а пулемет максима ставить на вход и перед всеми окнами. сто процентов гарантия!
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено mfa , 05-Сен-25 11:07 
"сто процентов гарантия"
Не против ручной гранаты, домашнего огнемёта, бодрящих газов...
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено IdeaFix , 05-Сен-25 15:38 
Во многих странах настороженное оружие запрещено. В этой тоже кстати.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 17:22 
Защищаться - нельзя, можно только логировать проникновение.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 15:01 
В бытовых аналогиях, любая железная дверь выпиливается плазморезом или бензорезом большой мощности, за считанные минуты.
Когда воры знают, что вызова не будет или по вызову никто не приедет, они спокойно заходят, стреляют собак, людей, решетки с окон вырывают машиной, двери ваши железные вместе с коробками вырывают ломами.

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 19:08 
А вызова не будет потому, что «мусорнуться» — харам. Культура такая…

Впрочем, ни к сабжу, ни к ядру это не имеет никакого отношения. LKRG хорош тем, что защищает от примитивных атак, а для сложных в ядре может просто не оказаться гаджетов. Да, так тоже бывает. Упс.

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 09:24 
Жалко у rsbac супер хреново с документацией. Кажется, что самая лучшая модель защиты на стероидных плагинах. Особенно, на фоне selinux, которым поговаривают легко прострелить себе же ногу кривой настройкой.
Если кто знает хорошую доку по rsbac - киньте пожалуйста.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 19:09 
Для тех, кто при помощи SELinux может себе ногу прострелить комикс нарисовали. Но видимо всё ещё сложно. Агукать по-моему ещё не пробовали, надо подкинуть идею.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 10:14 
Убунта обновится не может.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено jura12 , 05-Сен-25 10:24 
ставил его предыдущие версии. после срабатывания компьютер загрузиться не может.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 11:02 
Вот что бывает когда ядро дырявое by design.
Приходится писать костылики, чтобы узнать что тебя взломали.
Которые так не хило жрут проц.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 11:12 
> Вот что бывает когда ядро дырявое by design

А недырявых ядер у нас нет, сори.

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 11:42 
Зато микроядра есть, у QNX например.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено r2d0 , 05-Сен-25 12:03 
И где тот QNX сейчас?
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 13:05 
>  И где тот QNX сейчас?

С огромной вероятностью в рентгене, КТ, МРТ, другом мед оборудовании.
А так же везде где нужна реальная надежность, а не то, что может предоставить линукс.
Поищи QNX for medical devices.

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 13:51 
> А так же везде где нужна реальная надежность, а не то, что может предоставить линукс

Очередной гений сравивает RTOS с системой общего назначения (а в контексте новости - в первую очередь корпоративно-серверного).

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 17:18 
Да, но нужно искать в проспектах 20-летней давности.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Юрий , 05-Сен-25 18:25 
Более 215 млн автомобилей в мире (по данным BlackBerry на 2023 год) содержат компоненты QNX.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 11:48 
> А недырявых ядер у нас нет, сори.

seL4, формально верифицированное к тому же.
QNX как уже сказали выше.

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 11:08 
не дебиан не ставится, E: Невозможно найти пакет lkrg-dkms
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 11:13 
> не дебиан не ставится, E: Невозможно найти пакет lkrg-dkms

А зачем для дебиана вообще какая-то защита от уязвимостей?
Там и так протухшие пакеты, а которых все экплойты не исправлены, зато записаны!

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 15:32 
на дебиане из-за протухших пакетов ни одна из уязвимостей не работает...
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено SKZ , 05-Сен-25 12:04 
Надо бы это, конечно, по-другому делать. Микроядро-гипервизор и под ним уже все остальное - собственно, так L4Linux сделан.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 12:27 
https://a13xp0p0v.github.io/2021/08/25/lkrg-bypass.html

Все же бороться нужно с проблемами, а не со следствием. Если есть возможность исполнить какой-то левак в ядре, то шансов тут немного.

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено OpenEcho , 05-Сен-25 19:26 
> Все же бороться нужно с проблемами, а не со следствием.

Это для случаев в здоровой логике, для простых смертных - не работает, им нужно кучу пугалок о найденых вирусах и святой веры в наилучшее решение, потому как и васи и пети и всех их знакомых так именно и сделанно

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 13:41 
loading out-of-tree module taints kernel.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено ИмяХ , 05-Сен-25 14:35 
>>прекращён перехват удалённых вызовов override_creds() и revert_creds(), что ограничило выявление атак, переопределяющих указатель cred. Ограничения попытались компенсировать

Уже откровенно бэкдоры делают и не стесняютя.

"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 15:34 
Ядро линпуса умеет запустать произвольный код через eBPF и эта "фича" не отключается. Твой ход, модуль защиты.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено Аноним , 05-Сен-25 15:42 
Для загрузки своего кода в eBPF нужны права root.
"Выпуск LKRG 1.0.0 для защиты от эксплуатации уязвимостей в я..."
Отправлено localhostadmin , 05-Сен-25 19:17 
А разве этим не разрабы линукса должны?