Problemy z kernelem

[Konrad Stepien]

On Thu, 10 Dec 1998, Tomasz Kłoczko wrote:

> chattr był ale co z tego .. Pytałem się już jak przestawić securelevel.
> echo do proca nie działa (perm den):
> 
> Nie wiem co jest, że nie mogę podbić securelevel z ręki (?). W źródłach
> stoi (w do_securelevel_strategy() )
> 
>                 if (level < securelevel && current->pid != 1)
>                         return -EPERM;
> Czyli przynajmniej podwyszenie powinno być możliwe z ręki.
> 
> Czy też innym miejscu w którym jest sprawdzane euid, bo:
> 
> #echo "3" > /proc/sys/kernel/securelevel 
> bash: /proc/sys/kernel/securelevel: Odmowa dostępu
> #id -a
> uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel),47(zmailer)
> 
> Konrad, a Ty jak to robisz ?
> 
Ano tak:
-rwxr-xr-x   1 root     root         4309 Aug 16 21:19 securelevel*
                                                       ^^^^^^^^^^^
-rw-r--r--   1 root     root          254 Jan 24  1998 securelevel.c
-rwxr-xr-x   1 root     root         5023 Aug 16 20:45 stacktest*
-rw-r--r--   1 root     root         1057 Jan 24  1998 stacktest.c
[root w sekator secure-linux]# pwd
/usr/src/secure-linux

Programik (banalny) dostarczony z secure-linuxem. Działał mi z 2.0.35
+ solar. (znaczy respektował chattr-a i blokował raw devices).
Teraz aktualnie mam wyłączone, bo trochę majstruję z kernelami, a
obniżenie securelevel-a mi się nie udało, zostawał tylko reset.

> Niemniej do obniżenia securelevel nie jest przystosowany obecny init czyli
> jakby ktoś chciał obciąć logi to nie wystarczy "init 1" tylko restart w
> single -> chattr i dopiero cięcie.
> 
Też dlatego tego teraz nie mam.

> > BTW ktoś wie jak się ma skuteczność stack-guarda do solara ?
> > Bo można by jednak takie np. suidy i demony kompilować stack-guardem.
> 
> IMHO jest taka sama jak secure-linux. Tutaj trzeba czegoś takiego co jest
> w ultra sparc, że separacja stosu jest robiona na pozionie proca. Jest to
> jedyny znany mi procesor, który ma tego typu ficzer.
> 
No to zostaje jeszcze tylko bounds-checking w kompilatorze. Gdzieś mi się
o oczy obiło, że ktoś przerobił gcc pod tym kątem (nie mam pojęcia jak to
zrobił i jak to działa). No albo dokładny audyt źródeł, co jest raczej
dla nas niewykonalne.

PS. Jakby co to proponyję przenieść się na pld-security.

-- 
Konrad Stępień          | InterData s.c. http://www.interdata.com.pl
konrad w interdata.com.pl | Łódź al. Kościuszki 3 tel +48+42 639-81-71