[howto] grsecurity

koma · Advocate Joined: 06 Jun 2003 Posts: 2702 Location: Italy

Non tutti conoscono le grsecurity (io le ho scoperta da pochissimo, quindi mi limiterò a spiegare come si patcha).

Controlliamo che sistema stiamo usando

Controlliamo prima che kernel abbiamo per evitare errori.
il metodo più veloce è questo:

federico · Posted: Wed Apr 28, 2004 11:06 am Post subject:

Era un pezzo che mi chiedevo quando sarebbero uscite le grsec pe ril 2.6
Mitico koma!
_________________
Sideralis www.sideralis.org
Pic http://blackman.amicofigo.com/gallery
Arduino http://www.arduino.cc
Chi aveva potuto aveva spaccato
2000 pezzi buttati là
Molti saluti,qualche domanda
Semplice come musica punk

randomaze · Bodhisattva Joined: 21 Oct 2003 Posts: 9985

Il lavoro é ottimo, ma ti segnalo un paio di cose....

koma · Advocate Joined: 06 Jun 2003 Posts: 2702 Location: Italy

Ho aggiunto le cose che mi avete fatto notare

_________________
http://www.youtube.com/watch?v=_yoJI-Tl94g GLORY GLORY HYPNOTOAD

federico · Posted: Wed Apr 28, 2004 11:31 am Post subject:

Se poi ti senti proprio figo e vuoi scrivere "la guida definitiva alla configurazione di grsec" saro' il primo a leggerla

_________________
Sideralis www.sideralis.org
Pic http://blackman.amicofigo.com/gallery
Arduino http://www.arduino.cc
Chi aveva potuto aveva spaccato
2000 pezzi buttati là
Molti saluti,qualche domanda
Semplice come musica punk

koma · Advocate Joined: 06 Jun 2003 Posts: 2702 Location: Italy

ahhahaah non credo di essere sufficientemente bravo per una cosa simile l'unica cosa che posso conigliare è un medium level per il grsec

_________________
http://www.youtube.com/watch?v=_yoJI-Tl94g GLORY GLORY HYPNOTOAD

maiosyet · Posted: Wed Apr 28, 2004 11:54 am Post subject:

Woh, non è che hai qualche link (magari in italiano) sulle grsecurity, che l'unica cosa che ho trovato è un pezzo su hackerjournal e chissà perchè non mi ispira molto... :wink:

koma · Advocate Joined: 06 Jun 2003 Posts: 2702 Location: Italy

http://www.grsecurity.net/papers.php <- qui ma in italiano nn so :\
_________________
http://www.youtube.com/watch?v=_yoJI-Tl94g GLORY GLORY HYPNOTOAD

primero.gentoo · Guru Joined: 23 Dec 2003 Posts: 402

Questi non sono degli How-To ma degli articoli su grsecurity, comquneu interessanti

http://www.securityfocus.com/infocus/1551

Ovviamente www.gentoo.org/proj/en/hardened/grsecurity.xml

http://www.samag.com/documents/s=8859/sam0309g/sam0309g.htm

PDF http://www.cs.virginia.edu/~jcg8f/GrsecuritySELinuxCaseStudy.pdf

Ne avevo anche altri ... poi li cerco e ti faccio sapere

Ciao
_________________
"Linux, the choice of a GNU generation"
==Micro$oft - just say NO==
(L#USER 353039)

motaboy · Retired Dev Joined: 15 Dec 2003 Posts: 1483

Dovrebbero parlarne nel prossimo numero di Linux&C, nella sezione Hardening Linux, fino adesso è stata molto interessante.

Bye!
_________________
...

.:deadhead:. · Posted: Wed Apr 28, 2004 4:20 pm Post subject:

Diggs · Posted: Wed Apr 28, 2004 6:24 pm Post subject:

Un pò di links

GrSecurity:

http://www.linuxquestions.org/questions/archive/4/2003/05/4/61683

File Permission:

https://forums.gentoo.org/viewtopic.php?t=140142
(è un pò restrittivo eehe)

http://linux.psycholand.org/art/hardening.html
(da correggere e ottimizzare per gentoo)

Selinux:

http://www.crypt.gen.nz/selinux/faq.html#GA.4

Good Work :wink:

_________________
IRCNET NICK: diggs on IRCNET
http://leonardo.netsons.org/
Gioca a Tremulous! Player [!!!] Diggs [ITA]

FonderiaDigitale · Posted: Wed Apr 28, 2004 8:53 pm Post subject:

interessante.

Pero' forse manca la parte relativa alla configurazione di PaX e i permessi sulle risorse, ovvero la parte grossa di utilizzo del sistema.
Potresti includerla?
_________________
Come disse un amico, i sistemisti sono un po' come gli artigiani per l'informatica

Diggs · Posted: Sun May 02, 2004 2:14 pm Post subject:

Vista la gran quantità di persone interessate a grsecurity, selinux ed ecc ecc perchè non fare una cosa carina:

Creare una serie di topic relativi al "minimum security howto" nella quale ognuon riporta le proprie esperienze riguardo ai tool sopra riportati, al filesystem hardening, al networking ed ecc ecc. Magari non veri e propri tutorial [se ci fossero sarebbe grande cosa :wink:

]

Una sorta di topic "Tip for..."...
_________________
IRCNET NICK: diggs on IRCNET
http://leonardo.netsons.org/
Gioca a Tremulous! Player [!!!] Diggs [ITA]

primero.gentoo · Guru Joined: 23 Dec 2003 Posts: 402

ecco un'altro bel link che avevo ... sparso in quel gran casino che e' il mio bookmark :lol:

SANS whitepaper (PDF)

ciauz
_________________
"Linux, the choice of a GNU generation"
==Micro$oft - just say NO==
(L#USER 353039)

Neomubumba · Posted: Sun Dec 19, 2004 4:51 pm Post subject:

Scusate ma volevo porvi qualche domanda.

A quanto ho capito non si può usare una patch se non per il kernel per il quale è stata fatta. Quindi se uno usa i gentoo-dev-sources (essendo la stabile la 2.6.9) non si può usare giusto?

Quindi se volessi il gentoo-dev-sources-2.6.7 (per cui c'è la patch) basta dare un emerge =sys-kernel/gentoo-dev-sources-2.6.7 giusto?

Poi volevo fare una precisazione. Da quanto ne sò i gentoo-sources sono già patchati per il grsecurity. Basta ovviamente configurarli.

Un ultima domanda: SElinux è compatibile col grsecurity?

Grazie e scusate per la miriade di domande.
_________________
Some of those that were forces, are the sames that bore crosses,
Some of those that were crosses, are the sames that are forces

.:deadhead:. · Posted: Sun Dec 19, 2004 5:31 pm Post subject:

FonderiaDigitale · Posted: Mon Dec 20, 2004 7:45 am Post subject:

selinux e grsecurity sono due implementazioni diverse.
grsecurity e' piu userfriendly, mentre selinux e' piu granulare.
grsecurity e' fermo al kernel 2.6.7 a causa di modifiche al codice mmap che hanno fatto sui kernel successivi.
selinux e' MOLTO ostico da installare, specie su gentoo.. calcola che io nonostante vari tentativi non sono mai riuscito a crearne un sistema funzioannte.

grsecurity ha dalla sua il fatto che puo' "imparare" dall'esecuzione dei demoni, mentre con selinux sei tu che devi scrivere tutte le acl (pensaci)
_________________
Come disse un amico, i sistemisti sono un po' come gli artigiani per l'informatica

Neomubumba · Posted: Mon Dec 20, 2004 3:23 pm Post subject:

Grazie per i consigli. Un ultimissima domanda... stò seguendo un tutorial che ho trovato su OpenSource (a proposito appunto di Grsecurity) e dice di patchare le binutils con una patch per PaX. Ho provato a guardare se c'era qualche falg specifico per le binutils ma ho trovato che le uniche flag possibili sono: -bootstrap -build -debug -multitarget +nls. E non mi sembra che ci sia nulla che abbia a che vedere con PaX, quindi la mia domanda è: sono già patchate (che non penso che sia così) e se no se posso patcharle io usando lo stesso emerge.

Andrebbe bene qualcosa del genere:

.:deadhead:. · Posted: Mon Dec 20, 2004 3:38 pm Post subject:

Prova a cercare Pax in portage...
_________________
Proudly member of the Gentoo Documentation Project: the Italian Conspiracy !

Neomubumba · Posted: Mon Dec 20, 2004 3:46 pm Post subject:

In portage c'è Pax come paxctl (che è quello che devo mettere) ma il fatto è che nell'articolo c'è scritto che si patchano le binutils per aggiungere il supporto alle Pax. Quindi se in portage c'è paxctl (che è quello che poi devo installare), le binutils dovrebbe essere già patchate per supportare paxctl (altrimenti le richiederebbe come dipendenza, no?)

Infatti ho provato pure a dare:

.:deadhead:. · Posted: Mon Dec 20, 2004 5:49 pm Post subject:

Magari è così

cmq oltre ad eventuali guide, io butterei anche un occhio alla doc presente sul sito di gsecurity e di pax...
_________________
Proudly member of the Gentoo Documentation Project: the Italian Conspiracy !

Sparker · l33t Joined: 28 Aug 2003 Posts: 992

Come già accennato esiste il progetto gentoo-hardened
Per ora la documentazione è un po' scarsa
Hanno creato il kernel hardened-(dev-)sources, che contiene sia grsec che PAX che selinux.
Inoltre è utile compilare il sistema con la USE "hardened", in particolare viene patchato gcc per creare binari più sicuri (non chiedetemi come :oops:

)

FonderiaDigitale · Posted: Mon Dec 20, 2004 7:00 pm Post subject:

riguardo hardened-dev-sources, se si abilita la flag selinux viene escluso pax+grsecurity (ovviamente)
_________________
Come disse un amico, i sistemisti sono un po' come gli artigiani per l'informatica

Neomubumba · Posted: Tue Dec 21, 2004 12:37 pm Post subject:

Se però non si mette la flag use selinux mi sembra di aver capito che è possibile usare sia PaX/Grsecurity che SElinux. Basta abilitare questa opzione (e poi configurare le nuove opzioni):