Re: [openbsd] Re: fwd: [nick@holland-consulting.net: Supporting OpenBSD]

[Pavel Labushev <p.labushev@gmail.com>]

Sergey Prysiazhnyi пишет:

>> Или давайте поступим иначе: вы на свою машину вешаете prefork-демон
>> уязвимой версии, в которой обнаружена публичная уязвимость и для
>> которой, в свою очередь, опубликован рабочий PoC-эксплойт, и надеетесь
>> на защиты рантайма, а я пытаюсь провести взлом.
> 
> Выбирайте демон.
> 
>> Теперь представим, что это мне удалось. Сколько и с какими оговорками вы
>> готовы заплатить за успешное проведение такого, более простого пентеста?
> 
> Во-первых, не будет никаких оговорок, а во-вторых я в долгу не останусь.
> Напишите мне личным письмом стоимость часа Вашей работы в контексте данной
> задачи.

Совсем без оговорок? Вы серьёзно? И даже атака типа ret2libc на
prefork-демон под OpenBSD на x86 с возвратом на mprotect() с последующим
возвратом на внедрённый код вас не смутит?

В таком случае хочу сразу уточнить: на сколько типичной будет конфигурация?

В принципе можно запустить несколько экземпляров демонов и распределять
запросы между ними, периодически перезапуская родителей прозрачно для
клиентов. Да. Но этот подход не _документирован и не рекомендован_ для
дополнения защит рантайма в рамках проекта OpenBSD. Можно и LKM написать
для перехвата и запрета mprotect() с PROT_EXEC|PROT_WRITE, но это не
OpenBSD, а сторонняя инициатива.

>> Вы где-нибудь читали или слышали официальное мнение разработчиков
>> OpenBSD по поводу недостатков W^X?
> 
> Да, говорил с последними лично по поводу.

Уточняю: публичное мнение. В данном случае под "официальным" я имел
ввиду публичное мнение разработчиков OpenBSD, а не кулуарное.

> Я не стану данный тезис комментировать, вижу смысла нет, скажу просто, - Павел,
> давайте попробуем/сравним/проверим на _платной_ основе? 

Давайте. Я подумаю над деталями и вам напишу.

Теперь что касается смысла... Помимо своего мнения об изъянах механизмов
защит рантайма, я вам привёл факты. И вы упорно избегаете их
комментировать. Дело ваше. Я только прошу не делать вид, будто всё
сводится к пентестам здесь и сейчас.

Успех или провал пентеста не изменят ровным счётом ничего в таймлайне
переписки CORE Security с командой OpenBSD по поводу уязвимости в стеке
IPv6:
http://www.coresecurity.com/content/open-bsd-advisorie - факт.

Отсутствие документации на реализованные механизмы защиты - факт.

Отсутствие публичного подтверждения уязвимости W^X на x86 при возврате
на retf, а также отсутствие публичных сообщений о закрытии этой
уязвимости - факт.

Отсутствие механизмов защиты от выполнения внедрённого кода в
пространстве ядра - факт.

Выводы можно делать разные, но факты остаются фактами.

> Нет, я только лишь имел ввиду, что защита рантайма от OpenBSD может быть лучше.

Уже не считаете, что количество битов энтропии ASLR на x86 - "перебор"?

>> Было время, когда я доверял мнению команды OpenBSD, и только потом, с
>> огорчением для себя выяснил, что это мнение доверия не заслуживает. К
>> сожалению, с тех пор там практически ничего не изменилось в подходах.
> 
> Может, самым простым решением для Вас данных дилем станет собственный проект? 

Я вам объяснил (надеюсь, что понятно), почему меня задевает эта тема.
Казалось бы, вопрос закрыт.

Но теперь вы даёте абсурдный совет. Зачем, как не троллинга ради? Чтобы
придать абсурдность моим словам? Чтобы сместить акцент с обмана и
недоговорок на "you are free to leave"? Это просто бессмысленная полемика.

Там, где OpenBSD перестала меня устраивать, я использую Hardened Gentoo
и x86-ядра с актуальными патчами Grsecurity/PaX, и в ваших абсурдных
советах не нуждаюсь.

-- 
To unsubscribe send an e-mail to openbsd+unsubscribe@uaoug.org.ua
For retrieval in messages archive http://www.uaoug.org.ua/archive