Linux 内核自防护项目

"2015年11月，华盛顿邮报发布了一篇关于Linux内核安全性的报道， 厂商们多年以来极力掩饰的Linux内核安全状况第一次呈现在了公众面前，虽然在黑客圈Linux内核自身安全的脆弱性早已经不是秘密，而多年以来自由软 件社区和商业用户也用各种各样的方式来规避Linux内核本身的安全性问题，由于Mobile和IoT的趋势，越来越多的人开始关注这个基础架构中的基础 架构和担心Linux的安全性会影响到未来重度依赖自由软件的IoT体系，由Kees Cook主导的Kernel Self-Protection Project( KSPP)应运而生，目标是为了让Linux内核本身具有对漏洞利用的防御能力，主要工作是参考PaX/Grsecurity的实现来移植或者重新实现类似的功能然后推进到Linux内核主线。随着Linux 4.6的发布，第一个加固patch合并到了主线，而Kees Cook也为KSPP编写了介绍性文档以让更多的人能了解和参与到KSPP中。"

文章转载自 开源中国社区[http://www.oschina.net]

时间： 2024-08-01 07:31:48

Linux 内核自防护项目的相关文章

Linux 内核自防护项目 KSPP

内核自防护 内核自防护是针对 Linux 内核对抗自身的安全缺陷的设计与实现.这个领域涉足广泛的问题,包括干掉一整个类型的 bug,阻止漏洞利用的方法和积极的检测攻击行为.这篇文档不讨论所有的议题,但这篇文档是整个内核自防护项目的一个起点和回答一些常见的问题.(欢迎提交补丁) 在最糟糕的场景下,我们假设一名没有权限的本地攻击者拥有对内核内存任意读写访问的能力.在很多情况下,被利用的 bug 不会提供这个层面的访问能力,但在防御最糟糕的情况的同时我们也会讨论更多限制的攻击场景.root 用户大大的

GCC plugin infrastructure 进入 Linux 内核主线

HardenedLinux 写道 "自2015年11月Linux内核自防护项目开始以来,GCC插件基础架构合并进入Linux内核主线成为了KSPP的第一个里程碑,除了GCC插件基础架构外有两个插件一起合并:用于代码复杂度评估的CYC_COMPLEXITY和用于追踪代码调用的SANCOV(可用于辅助类似syzkaller的fuzzer).GCC插件基础架构和相关插件来源于PaX/Grsecurity,完成这次从PaX/Grsecurity到Linux内核主线移植的作者也是来自于PaX/Grsecu

NSA在Github上建立主页 开放了32个项目 selinux项目多年前就是Linux内核的一部分

国家安全局 (nsa)-美国情报机构, 他们经常进行一些秘密工作,但今天他们终于加入了 github, 并推出了官方 github 页.国家安全局雇用了天才级的程序员和最聪明的数学家, 他们不断地破解密码, 收集每个人的情报, 开发黑客工具, 如EternalBlue , 4月被 影子经纪人 泄露, 并被 WannaCry 勒索病毒 滥用, 在全球范围内肆虐传播. NSA在Github上推出其主页 情报机构主要是秘密工作, 但在2013年爆发爱德华·斯诺登泄漏事件之后, 国家安全局NSA已经开始

Offset2lib 攻击绕过 64 位 Linux 内核防护

安全研究人员Hector Marco发布公布了针对64位Linux内核的ASLR防护的绕过,slide和论文提 供下载,这种攻击被称为offset2lib,ASLR的实现是在Linux内核里,而在GNU/Linux发行版上加载一个应用程序到内存中会先找一个 随机的地址加载第一个共享库,之后加载的共享库紧跟之前加载对象的地址,一个内存地址的泄漏就足够让地址随机化变得无用,甚至GOT(Global Offset Table)的地址泄漏都不是必须的,由于大部分的GNU/Linux发行版(除了像Gent

企业级Linux服务器安全防护要点

  随着开源系统Linux的盛行,其在大中型企业的应用也在逐渐普及,很多企业的应用服务都是构筑在其之上,例如Web服务.数据库服务.集群服务等等.因此,Linux的安全性就成为了企业构筑安全应用的一个基础,是重中之重,如何对其进行安全防护是企业需要解决的一个基础性问题,基于此,本文将给出十大企业级Linux服务器安全防护的要点. 1.强化:密码管理 设定登录密码是一项非常重要的安全措施,如果用户的密码设定不合适,就很容易被破译,尤其是拥有超级用户使用权限的用户,如果没有良好的密码,将给系统造成很

Linux内核剖析 之 历史和体系结构分析

Linux 内核剖析 之 历史和体系结构分析       Linux 内核是一个庞大而复杂的操作系统的核心,不过尽管庞大,但是却采用子系统和分层的概念很好地进行了组织.在本文中,您将探索 Linux 内核的总体结构,并学习一些主要的子系统和核心接口.您还可以通过其他 IBM 文章的链接更深入地进行学习.       由于本文的目标是对 Linux 内核进行介绍并探索其体系结构和主要组件,因此首先回顾一下 Linux 的简短历史,然后从较高的层次审视 Linux 内核的体系结构,最后介绍它的主要子

《Linux内核精髓：精通Linux内核必会的75个绝技》一HACK #15　ramzswap

HACK #15 ramzswap 本节介绍将一部分内存作为交换设备使用的ramzswap. ramzswap是将一部分内存空间作为交换设备使用的基于RAM的块设备.对要换出(swapout)的页面进行压缩后,不是写入磁盘,而是写入内存.可以使用的内存仅为完成压缩的部分.压缩处理使用的是LZO注1. ramzswap是从Linux 2.6.33合并到Staging驱动程序的.Staging驱动程序是指尚未达到某种程度的质量的试验性驱动程序. 通过使用ramzswap,运转速度可以比换出到一般磁盘

linux内核数据结构之kfifo

1.前言 最近项目中用到一个环形缓冲区(ring buffer),代码是由linux内核的kfifo改过来的.缓冲区在文件系统中经常用到,通过缓冲区缓解cpu读写内存和读写磁盘的速度.例如一个进程A产生数据发给另外一个进程B,进程B需要对进程A传的数据进行处理并写入文件,如果B没有处理完,则A要延迟发送.为了保证进程A减少等待时间,可以在A和B之间采用一个缓冲区,A每次将数据存放在缓冲区中,B每次冲缓冲区中取.这是典型的生产者和消费者模型,缓冲区中数据满足FIFO特性,因此可以采用队列进行实现.

Linux的历史----Linux内核剖析（一）

Unix操作系统 Unix的由来 汤普逊和里奇最早是在贝尔实验室开发Unix的,此后的10年,Unix在学术机构和大型企业中得到了广泛的应用,当时的UNIX拥有者AT&T公司以低廉甚至免费的许可将Unix源码授权给学术机构做研究或教学之用,许多机构在此源码基础上加以扩充和改进,形成了所谓的"Unix变种",这些变种反过来也促进了Unix的发展,其中最著名的变种之一是由加州大学柏克莱分校开发的BSD产品. 后来AT&T意识到了Unix的商业价值,不再将Unix源码授权给学