Hardened gentoo

raptoni · n00b Joined: 18 Jul 2008 Posts: 20

Ich habe jetzt schon einiges gelesen darüber, aber bin nur noch verwirrter.
Wenn ich das richtig verstanden habe gibt es für den GCC 4x keine offizielle Version. Wenn ich ein Paket installiere kommt aber immer die Meldung ich sollte das hardened Profil benutzen, wenn ich GCC 4x nicht brauche. Außerdem gibt es das hardened USE FLAG bei ziemlich vielen Programmen.
Ich möchte später einmal einen Web/Mail Server einrichten also sollte ich hardened verwenden?
Kann man die Version aus diesem Thread in Produktivsystemen benutzen?
https://forums.gentoo.org/viewtopic-t-668885-postdays-0-postorder-asc-start-0.html

Allgemeine Verständnisfrage:
hardened ist ein spezieller Compiler, welcher zusätzliche "Sicherheits/Stablitäts" USE FLAGS hinzufügt?

mfg

schachti · Posted: Fri Jul 25, 2008 6:11 am Post subject: Re: Hardened gentoo

raptoni · n00b Joined: 18 Jul 2008 Posts: 20

Ist GCC 3x langsamer oder lassen sich damit gewisse Sachen nicht kompilieren? Ist es "Pflicht" auf einem Server Hardened zu verwenden? Für was gibt es das USE FLAG hardened und selinux bei manchen Programmen obwohl ich nicht hardened benutze? Was is wenn ich jetzt doch das experimentelle benutze. Treten die Fehler beim Kompilieren auf oder kann es sein das sie beim laufenden Betrieb auftreten?
Fragen über Fragen.

mfg

ChrisJumper · Advocate Joined: 12 Mar 2005 Posts: 2403 Location: Germany

Hallo raptoni,

also SE-Linux ist wie ich finde etwas das du nicht brauchst. Es ist noch ein relativ hoher Mehraufwand und als ich das letzte mal versuchte ein SE-Linux Gentoo aufzusetzen bin ich gescheitert. Woran weiß ich nicht genau.. es ging um das verteilen der Rechte nach diesen Label-Policy's und ich hatte nur den Eindruck das die Howtos zu dem Thema recht veraltet sind.

Wenn du doch Wert auf eine Zugriffskontrolle für Programme/Prozesse legst lohnt sich vielleicht das werten und Nachforschen zum Stichwort SMACK, ein recht neues Mandatory-Access-Controll-System und im Kernel seit 2.6.25. Allerdings weiß ich noch nicht wie und ob Gentoo das schon unterstützt.

Setze doch einfach schon mal den Rechner auf und schau wie du voran kommst. Und welche Probleme auftreten. Werfe auch einen Blick in das Gentoo Sicherheisthandbuch.

Hast du eigentlich einen eigenen Rechner mit fester Netzadresse oder einen Root-Server bei einem Hoster?

raptoni · n00b Joined: 18 Jul 2008 Posts: 20

Ja ich bin ein absoluter noob was linux betrifft. Es drängt aber nicht, dass es fertig wird.
Das mit dem Auftreten der Fehler hast du falsch verstanden. Ich meinte wenn ich so einen Compiler benutzte, ob die fehler gleich beim kompileren auftreten oder kann es sein, dass er kompilliert und dann während dem Betrieb zum spinnen anfängt. Überhitzen kann immer passieren das ist mir klar. Hat ja damit nichts zutun =).
Unstable Programme hatte ich nicht vor zu benutzten.
Wenn es keinen Performanceunterschied zwischen GCC 4x und 3x gibt kann ich also einfach den 3er und hardened benutzen?
Was ich suche sind Erfahrungswerte. Ich kann zwar alles mögliche lesen (was ich auch mach) aber wenn ich irgendwie eine Richtung hab ist das doch was anderes. Es soll aufjedenfall was ordentliches werden und nicht irgendein Funprojekt.

mfg

kernelOfTruth · Posted: Sat Jul 26, 2008 2:29 pm Post subject: Re: Hardened gentoo

raptoni · n00b Joined: 18 Jul 2008 Posts: 20

Ich werde das neue hardened Profil vielleicht mal lokal testen wo ich leichter neuinstallieren kann. Bezgl. Fehler beim Kompilieren hab ich noch keine richitge Antwort. Treten Fehler wenn nur beim kompilieren auf oder können sie auch während dem Betrieb passieren, wenn ich zb Hardened 4.3.1 benutzte.
Für die Zwischenzeit: Reicht es das Gentoo Sicherheitshandbuch zubeachten um einen sicheren Webserver hinzubekommen? Oder ist das wie einen Server mit Windows ME zubetreiben. Ich mein es wird keine User oder dergleichen auf dem Server geben. Das fällt somit schon mal weg. Für Dritte wird bis auf http(PHP) nichts zur Verfügung gestellt.
Ich hab noch nicht ganz verstanden, was genau der Nachteil am GCC3 ist. Die ganzen CFLAGS zb sind nicht wirklich unterschiedlich. Kann ich neue Programme wie Apache 2.2.9 und MySQL damit kompilieren.

mfg

ChrisJumper · Advocate Joined: 12 Mar 2005 Posts: 2403 Location: Germany

raptoni · n00b Joined: 18 Jul 2008 Posts: 20

Was war das für eine noob Aussage: http(php), dass es mit einem *hust* quittiert wird

Ob der Gefahren von PHP weiß ich Bescheid (SQL Injects etc.) Damit kenn ich mich ganz gut aus und hab schon einiges an Erfahrung.(*Selbstüberschätzung* =)) Bis jetzt hatte ich aber immer nur normalen Webhost wo das dritte nicht funktioniert hat, darum die Entscheidung für den eigenen Server.

Sry wenn ich jetzt da nochmals nachhacke aber wie sieht es jetzt aus mit dem GCC 4.3.1 hardened. Wenn Fehler dann beim Kompilieren oder kann auch sein, dass er ordentlich kompilliert und dann das Programm während dem Betrieb zickt.

mfg

Bloodsurfer · Posted: Sun Jul 27, 2008 2:17 pm Post subject:

kernelOfTruth · Posted: Sun Jul 27, 2008 2:25 pm Post subject:

schachti · Posted: Mon Jul 28, 2008 7:30 am Post subject:

kernelOfTruth · Posted: Mon Jul 28, 2008 4:25 pm Post subject:

raptoni · n00b Joined: 18 Jul 2008 Posts: 20

Jetzt wollte ich mir gestern die hardened source kompilieren, aber es gibt ja gar keine aktuelle 2.6.26 source. Über emerge schlägt mir porage 2.6.24 vor obwohl es im ordner eine 2.6.25 source gibt. Einen PaX Patch für 2.6.26 gibt es auch nicht. Ich kenn das Change Log von x.26 nicht aber tauscht man da nicht Buffer Overflow Schutz etc. gegen andere Sicherheitslücken wenn man einen alten Kernel benutzt. Auf der gentoexperimental.com Seite gibt es ja nur die Stages. Gibt es die 2.6.26 hardened sources.

mfg

schachti · Posted: Tue Jul 29, 2008 6:46 am Post subject:

raptoni · n00b Joined: 18 Jul 2008 Posts: 20

Ja alles klar. Hab ich mir eh gedacht. Aber ist es nicht eine Sicherheitslücke einen alten Kernel zu benutzen? Zumal ja schon die Fehler bekannt sind wenn es eine neue Version gibt.

Wie sieht es mit dem GCC aus? Gibt es da auch eine spezielle hardened Version? Der 4.3.1 von Zorry ist ja speziell gepacht aber auf der Hardened Project Seite ist keine Rede von einem Speziellen Compiler. So gut wie das Handbuch ist, für das Hardened Gentoo braucht man einen Dr. in Informatik

mfg

schachti · Posted: Wed Jul 30, 2008 6:28 am Post subject:

raptoni · n00b Joined: 18 Jul 2008 Posts: 20

Also ich hab jetzt die hardened sources. Muss ich jetzt noch einen anderen Compiler installieren? Momentan hab ich den 4.1.2. Im Hardened Handbuch steht leider nichts drinnen. Die gehen wahrscheinlich davon aus, dass man die hardened stage benutzt.

Was muss ich bei der Option Enforce non-executable pages beachten. Da steht, dass man unter Umständen den Kernel dann nicht mehr booten kann.

raptoni · n00b Joined: 18 Jul 2008 Posts: 20

Wie kann ich jetzt einen hardened gcc 3 installieren. reicht es wenn ich einfach in portage eine 3er Version installiere, oder ist das eine spezielle?
Was passiert dann mit der installierten 4.1.2? Ich habe wie gesagt eine ganz normales 2008.0 pre Installed System.

kernelOfTruth · Posted: Tue Aug 12, 2008 9:22 pm Post subject:

raptoni · n00b Joined: 18 Jul 2008 Posts: 20

Da gehts ja um den neuen 4.3.2? Ich will ja wissen was ich machen muss wenn ich auf GCC3 hardened downgraden will.

kernelOfTruth · Posted: Wed Aug 13, 2008 9:58 am Post subject:

raptoni · n00b Joined: 18 Jul 2008 Posts: 20

Ok jetzt kenn ich mich überhaupt nicht mehr aus. Es hat doch 5 Post vorher geheißen ich soll den offizellen GCC 3 nehmen. Außerdem hat es geheißen mann kann damit eh alles kompilieren.
Wenn du sagst ich brauch zuerst den hardened GCC4 um den GCC3 zukompilieren, wie bekomm ich dann den 4er.

Ich habe jetzt die hardened source runtergeladen. Soll ich die mit dem normalen GCC4.1.2 und hardened USE FLAG kompilieren?
Was ist dann mit den ganzen Patches.

In gentoo-wiki gibts wirklich alles nur nichts zu hardened.

mfg

vitae · Posted: Fri Aug 15, 2008 6:51 am Post subject:

raptoni · n00b Joined: 18 Jul 2008 Posts: 20

Also ich habe jetzt den GCC 3.4x hardened installiert. Wusst nicht, dass ich einfach das profile ändern muss und dann noch mal emerge gcc.
Das hat soweit alles funktioniert. Komischerweise musste ich den gcc3.4 3mal emergen, dass er das hardened USE FLAG auch angezeigt hat.(eix)
Jetzt habe ich 6 Profile und zwei gcc. Der GCC 4 wird jetzt aber rot und mit einem [M] suffix in eix angezeigt.
Soweit hat aber alles funktioniert. Ich habe auch kleine Pakete wie git und layman emergen können.
Als nächstes habe ich versucht den GCC 4 hardened zuinstallieren. Das Overlay habe ich heruntergeladen, den Ordner in der make.conf eingetragen und nochmal emerge gcc gemacht.

Der Ordner wurde gefunden, dann kam zuerst eine Warnung, dass 4 .eclass Dateien überschrieben werden.
Aber vorgeschlagen wurde wieder nur der 3.4. hardened. Ich habe auch sys-devel/gcc unter package.unmask eingetragen.

Aufjedenfall dürfte jetzt irgendwas kaputt sein weil als ich man emerge aufrufen wollte, sagte er die libstdc++.so.6 konnte nicht gefunden werden.

Bin jetzt gerade am reemergen von gcc 3.4

Mein Frage jetzt: Was habe ich jetzt. Einen funktionierenden 3.4 hardened. KernelofTruth hat ja gesagt mit dem vanilla gcc4 kann ich kein hardened GCC3 emergen. Ich hatte aber keine Fehler und nachher hat der gcc 3.4 auch funktioniert.

Wenn ja: Was hab ich falsch gemacht, das ich den gcc4 hardened nicht installieren kann?
Was muss ich beim 3er beachten wenn ich damit die hardened sources kompilieren will?
Was muss ich bei der Option Enforce non-executable pages beachten. Da steht, dass man unter Umständen den Kernel dann nicht mehr booten kann?

mfg

PS: jetzt hab ich, nachdem ich gcc3 neu emerged habe und der fehler bei man immer noch da war, revdep-rebuild --library libstdc++.so.6 ausgeführt und prompt geht emerge mit 9 Packeten los. unteranderm eix, welches ich schon installiert habe.