👩‍🚀 👩‍🏭 📮 कठोर जेंटू: स्थापना 🎄 ↘️ 🧗🏿

Hardent Gentoo को स्थापित करने की प्रक्रिया (अधिक सटीक रूप से, वर्तमान Gentoo सिस्टम को Hardened में अपग्रेड करना) कुछ इस प्रकार है:

कठोर टूलचिन पर स्विच करें और इसके साथ पूरी प्रणाली को फिर से बनाएं ताकि सभी बायनेरिज़ PIE और SSP का उपयोग करें (इसके बाद सिस्टम SSP द्वारा संरक्षित हो जाता है)
हार्ड-सोर्स स्थापित करें (उनमें गेंटू से PaX + GrSecurity + SeLinux + अतिरिक्त पैच होते हैं) और उन्हें PaX, GrSecurity और GrSecurity / RBAC के लिए समर्थन के साथ संकलित करें
नए कर्नेल के साथ रिबूट करें (उसके बाद सिस्टम को PX + PIE और GrSecurity द्वारा भी संरक्षित किया जाता है)
कुछ समय के लिए कॉन्फ़िगर और डिबग एक्सेस प्रतिबंध (जिसके बाद सिस्टम GrSecurity / RBAC द्वारा संरक्षित हो जाता है)

अपेक्षित मुद्दे:

PIE + SSP के साथ सब कुछ संकलित नहीं किया जा सकता है - शायद अलग-अलग पैकेजों को एक या दोनों के बिना पैच या संकलित करने की आवश्यकता होगी (अभी के लिए, मुझे एक्स-कंपाइल के लिए केवल gcc-config के माध्यम से वैनिला जीसीसी पर स्विच करने की आवश्यकता है ताकि वे एटीआई जलाऊ लकड़ी के साथ काम करें)
नहीं सब कुछ ठीक काम कर सकते हैं, क्योंकि कुछ प्रोग्राम (आमतौर पर एक्स और जावा के रूप में संदर्भित) पूरी तरह से वैध उद्देश्यों के लिए गतिशील रूप से उत्पन्न कोड के निष्पादन का उपयोग करते हैं, और अब जब आप ऐसा करने की कोशिश करते हैं तो वे एसएसपी या पीआईई + पाक्स को थूक देंगे - इन कार्यक्रमों के लिए आपको व्यक्तिगत रूप से कुछ पीएएक्स सुरक्षा को निष्क्रिय करना होगा (इसके लिए) विशेष उपयोगिताओं हैं, उदाहरण के लिए paxctl) और / या एसएसपी के बिना उन्हें संकलित करें
सब कुछ ग्रैससिटी की कर्नेल की "सुविधाओं" की सीमाओं के कारण काम नहीं कर सकता है - इस मामले में, आपको कुछ मेक इनसिटी सुरक्षा को निष्क्रिय करने की आवश्यकता होगी (विश्व स्तर पर, मेनुकोनफिग में)
एक्सेस अधिकार प्रतिबंध सेट करना आसान नहीं हो सकता है, और किसी भी समय जब कुछ थ्रेड प्रोग्राम कुछ ऐसा करता है जिसे हमने उसके अधिकारों को निर्धारित करते समय ध्यान में नहीं रखा - यह कर्नेल द्वारा nailed किया जाएगा ... और आपको इन नियमों को तत्काल ठीक करना होगा

खैर, चलिए ... :)

ऑप्टिमाइज़ेशन बहुत मजबूत (-ओ 3) के साथ मिलकर कठोर टूलचिन के कारण अलग-अलग संकलन ग्लिच और संकलन विफल हो सकते हैं, इसलिए आपको -et3 को /etc/make.conf में -O2 को बदलने और अन्य सभी -f * अनुकूलक फ्लैग को हटाने की आवश्यकता है।

हम कठोर प्रोफ़ाइल से गुजरते हैं। (सैद्धांतिक रूप से, इसके बजाय, आप बस USE झंडे जोड़ सकते हैं: "कठोर पाई ssp।")

ln -snf ../usr/portage/profiles/hardened/x86/2.6/ /etc/make.profile

प्रोफ़ाइल को कठोर / x86 / 2.6 / पर स्विच करने के बाद, कई USE झंडे जिन्हें मुझे बंद करने की आवश्यकता है, जो नियमित प्रोफ़ाइल में स्वचालित रूप से चालू होते हैं - मैंने उन्हें make.conf में जोड़ा (आपके पास अलग-अलग झंडे हो सकते हैं, बस इस बिंदु का पालन करना याद रखें):

 avi encode gtk2 jpeg mpeg oss quicktime spell truetype xv bitmap-fonts truetype-fonts type1-fonts

कठोर-टूलचैन को संकलित करना और इसके साथ अन्य सभी पैकेजों का पुनर्निर्माण करना:

 emerge binutils gcc glibc emerge -e world dispatch-conf

इसके बाद, आपको कुछ और पैकेज लगाने होंगे:

 emerge paxtest paxctl gradm

कठोर टूलकिन पर स्विच करने से पहले, पैक्सटेस्ट पहले दिया जा सकता था। यह उपयोगिता विभिन्न खतरनाक संचालन करने की कोशिश करती है (जैसे कोड निष्पादन के साथ स्टैक ओवरफ्लो), जो आमतौर पर कारनामे करते हैं। यदि सिस्टम सुरक्षित है, तो इसके सभी प्रयास दबा दिए जाएंगे, जो यह रिपोर्ट करेगा। सामान्य तौर पर, आप इसे कड़े टूलचिन को स्थापित करने से पहले, उसके बाद और कर्नेल के साथ रिबूट करने के बाद भी चला सकते हैं, जहां पीएएक्स सक्षम है, मज़े के लिए। :)

paxtest के रूप में इसकी निर्भरता भी chpax प्रोग्राम स्थापित करेगी - यह PaX को नियंत्रित करने का एक पुराना तरीका है, इसके बजाय paxctl का उपयोग करना बेहतर है। लेकिन स्रोतों के बिना वितरित किए गए कुछ कार्यक्रमों को संकलित किया गया है ताकि पैक्सक्टल उनके साथ काम न कर सकें, और आपको chpax का उपयोग करना होगा।

अच्छी तरह से, ग्रिसेरिटी में आरबीएसी को कॉन्फ़िगर करने के लिए ग्रेडम की आवश्यकता होती है - प्रक्रियाओं और उपयोगकर्ताओं के अधिकारों पर समान प्रतिबंध।

कर्नेल सेटिंग्स के लिए के रूप में। शुरुआत के लिए, मैंने Gentoo और GrSecurity डॉक में वर्णित सब कुछ कॉन्फ़िगर किया है - सभी सुरक्षा सक्षम नहीं हैं, लेकिन अधिकांश सॉफ़्टवेयर इन सेटिंग्स के साथ काम करेंगे। सेटिंग्स का विश्लेषण करने की प्रक्रिया में, कई सैद्धांतिक धारणाएं उत्पन्न हुईं:

यदि आप सिस्टम को फिर से स्थापित करने के लिए कठोर कर्नेल को लोड करते हैं, तो यह विकल्प सक्षम होने पर समस्याएं उत्पन्न हो सकती हैं:

 PaX -> Non-executable pages -> Disallow ELF text relocations

ऐसे सर्वर पर जहां कोई Xs नहीं हैं, आप अतिरिक्त रूप से सक्षम कर सकते हैं: (इससे पहले यह जांचना न भूलें कि Xs के अलावा, विशेष रूप से hwlock में, काम करना बंद न करें):

 Grsecurity -> Address Space Protection -> Disable privileged I/O

इसके अलावा, अभी भी एक धारणा है कि कुछ चुरोट प्रतिबंध गैन्टू को स्थापित करने (जो चुरोट के अंदर जाता है) या सिस्टम को ठीक करने की कोशिश कर रहा है (यदि, उदाहरण के लिए, इस तरह के कठोर कर्नेल के साथ सीडी से बूट करने की कोशिश कर सकते हैं):

 Grsecurity -> Filesystem Protections -> Deny mounts Grsecurity -> Filesystem Protections -> Deny double-chroots Grsecurity -> Filesystem Protections -> Deny (f)chmod +s Grsecurity -> Filesystem Protections -> Deny mknod

प्रारंभ। जारी रखने के लिए ...

कठोर जेंटू: स्थापना

More articles: