Использует ли Ubuntu функции безопасности, такие как DEP и ALSR?

11

Я часто читал, что такие функции, как DEP (предотвращение выполнения данных) и ASLR (рандомизация расположения адресного пространства), предоставляются в Windows. В Windows вы получаете некоторый контроль над включением DEP для 32-битных программ.

Доступны ли эти функции в Ubuntu?
что-нибудь нужно сделать, чтобы включить эти функции?

kernel security

— hhlp
источник

20

Да для обоих. Они включены по умолчанию; вам не нужно ничего делать, чтобы включить его. Более длинный ответ следует ...

DEP по умолчанию используется в Ubuntu. Это делается через бит NX, если процессор поддерживает его, или эмулируется с помощью сегментации памяти, если процессор не поддерживает его. Для получения дополнительной информации см. Элемент функции неисполняемой памяти .

ASLR по умолчанию используется в Ubuntu для любых сегментов памяти, которые можно переместить (стек, библиотеки, куча, mmap). Единственная часть программы, которая не может быть перемещена по умолчанию, - это область основного кода («текстовый» сегмент). Программы должны быть специально скомпилированы как PIE (позиционно-независимый исполняемый файл), чтобы включить это. Многие чувствительные программы уже построены таким образом. Для более подробной информации смотрите список

Многие дополнительные функции безопасности также доступны по умолчанию в Ubuntu. Смотрите полный список в документации по функциям безопасности Ubuntu .

— Кис Кук
источник

1

Ядро Linux по умолчанию использует аналогичные технологии, однако они отличаются от версий Windows. Если ваш процессор имеет возможность устанавливать бит NX (большинство современных процессоров), то ядро будет использовать его. В ядре также есть слабая реализация ASLR, и более сильные могут быть установлены, но не установлены по умолчанию в Ubuntu.

— Райан Гулер
источник

3

В данный момент я не могу найти ссылки (статья в Википедии en.wikipedia.org/wiki/ASLR не содержит битов сравнения энтропии), но я понимаю, что Windows ASLR слабее, чем Linux. И если вам нужен более тяжелый ASLR, чем по умолчанию в Linux, вы можете собрать собственное ядро с набором патчей PaX, которое предлагает более высокую энтропию при небольшой стоимости совместимости.

— Kees Cook

Хорошая статья, в которой разбираются различия cert.org/blogs/certcc/post.cfm?EntryID=191, конечно, она не будет завершена некоторыми обсуждениями более мелких деталей: D reddit.com/r/netsec/comments/ 1xjwde /…

— Univ426

0

В общем и целом, для этого вам понадобится PAE-версия ядра. Для получения подробной информации по этой теме см. Это резюме .

— организовать
источник

3

PAE нужен только для аппаратного NX. 64-битная уже является PAE, поэтому на 32-битной, если вы не используете ядро PAE или на вашем оборудовании отсутствует бит NX, Ubuntu эмулирует функцию NX с использованием сегментации памяти.

— Кис Кук

@ Кук Кук: Спасибо за информацию. ОП спросил про 32бит. На моей системе (Ubuntu 10.10 32bit) dmesgговорит NX (Execute Disable) protection cannot be enabled: non-PAE kernel. С другой стороны, когда я провел тесты с bazaar.launchpad.net/~ubuntu-bugcontrol/qa-regression-testing/... , пй , казалось , должны быть исполнено, но не для -pieи -rieиспытаний. Так что это немного смущает меня.

— организовать

2

к сожалению, в 10.10 и более поздних отчетах dmesg есть ошибка, в которой не говорится, когда эмуляция NX включена на оборудовании с NX, но без ядра PAE: kernel.ubuntu.com/git?p=ubuntu/…

— Kees Cook

1

(Это было сообщено как ошибка сейчас: bugs.launchpad.net/ubuntu/+source/linux/+bug/745181 )

— Kees Cook