लिनक्स कर्नेल सुरक्षा कार्ड

लिनक्स कर्नेल सुरक्षा एक बहुत ही जटिल विषय क्षेत्र है। इसमें बड़ी संख्या में जटिल रूप से परस्पर संबंधित अवधारणाएं शामिल हैं, और इसका ग्राफिक प्रतिनिधित्व होना उपयोगी होगा। इसलिए, मैंने एक लिनक्स कर्नेल रक्षक मानचित्र विकसित किया। यहाँ एक किंवदंती है:



तो, नक्शे में निम्नलिखित वस्तुएं हैं:

• भेद्यता वर्ग
• हमलों के संचालन के लिए उनके संचालन की तकनीकें;
• त्रुटि का पता लगाने वाले तंत्र;
• संरक्षण तकनीक।

बदले में, मुख्य संरक्षण प्रौद्योगिकियां विषम हैं। कुछ लिनक्स वेनिला कर्नेल का हिस्सा हैं, अन्य को विभिन्न कारणों से अलग-अलग भेजा जाता है (उदाहरण के लिए, वाणिज्यिक सुरक्षा विशेषताएं हैं)। कर्नेल सुरक्षा तंत्र हैं जिन्हें हार्डवेयर समर्थन की आवश्यकता होती है।

इस प्रकार, लिनक्स कर्नेल सुरक्षा विषय काफी व्यापक है, और विकसित नक्शा इसके अध्ययन और विश्लेषण में मदद करता है। मानचित्र पर वस्तुओं को जोड़ने वाली प्रत्येक रेखा उनके पारस्परिक प्रभाव को इंगित करती है, जिसका सार प्रलेखन में स्पष्ट किया जाना चाहिए। इस सिद्धांत को सामान्य मानचित्र के एक टुकड़े पर चित्रित किया जा सकता है। चित्रा 1 STACKLEAK प्रौद्योगिकी की सुरक्षा सुविधाओं को दर्शाता है।



आरेख 1. STACKLEAK प्रौद्योगिकी की सुरक्षा विशेषताएं

PAX_MEMORY_STACKLEAK एक वाणिज्यिक लिनक्स कर्नेल सुरक्षा तकनीक है जो निम्न प्रकार की भेद्यताओं के शोषण का प्रतिकार करती है: गहराई में ढेर अतिप्रवाह, एकतरफा चर का उपयोग, और उपयोगकर्ता अंतरिक्ष में सूचना रिसाव। नक्शे में इन भेद्यता वर्गों (सीडब्ल्यूई, कॉमन वीकनेस एन्यूमरेशन) के लिए पहचानकर्ता शामिल हैं।

STACKLEAK तकनीक को लिनक्स वेनिला कर्नेल में पेश किया गया था, जो आरेख में परिलक्षित होता है। एक KMSAN डिबगिंग तंत्र भी है जो आपको पता लगाने की अनुमति देता है कि कर्नेल को उपयोगकर्ता अंतरिक्ष में अनइंस्टॉल किए गए चर और सूचना रिसाव का उपयोग करते समय परीक्षण किया गया है।

यह ध्यान देने योग्य है कि यह कार्ड कोर के लिए हमले की परिधि को कम करने के मुद्दे को संबोधित नहीं करता है। वास्तव में, निष्पादन योग्य के आकार को कम करने वाली लगभग किसी भी कार्यक्षमता को अक्षम करना भी हमले की परिधि को कम करता है। और इस परियोजना में, मुख्य ध्यान सुरक्षा उपकरणों पर है जो कमजोरियों के शोषण के खिलाफ लिनक्स कर्नेल की आत्मरक्षा प्रदान करते हैं।

चित्र 2 कर्नेल संस्करण 5.1 के लिए पूर्ण मानचित्र दिखाता है (छवि पर क्लिक करने से पूर्ण आकार खुल जाएगा)।


आरेख 2. लिनक्स v5.1 कर्नेल सुरक्षा सुविधाएँ मैप

नक्शा लगातार विकसित हो रहा है, इसे कम से कम हर कर्नेल रिलीज़ को अद्यतन करने की आवश्यकता है। इसलिए, स्रोत को पाठ के रूप में रखना और संस्करण नियंत्रण प्रणाली में बनाए रखना सुविधाजनक है। इसके अलावा, कनेक्शन के चौराहों की एक न्यूनतम संख्या के साथ वस्तुओं को मैन्युअल रूप से व्यवस्थित नहीं करने के लिए, डीओटी भाषा को मानचित्र बनाने के लिए चुना गया था, और आरेख निम्न कमांड का उपयोग करके ग्राफविज़ पैकेज द्वारा स्वचालित रूप से उत्पन्न होता है:

dot -Tsvg linux-kernel-defence-map.dot -o linux-kernel-defence-map.svg 

लिनक्स कर्नेल सिक्योरिटी कार्ड GPL v3.0 के तहत लाइसेंस प्राप्त एक ओपन सोर्स प्रोजेक्ट है। रिपॉजिटरी GitHub पर स्थित है । इस परियोजना के लिए अत्यंत उपयोगी है:

• कर्नेल सुरक्षा की वर्तमान स्थिति की निगरानी करना,
• जीएनयू / लिनक्स पर आधारित आईपी के खतरे वाले मॉडल विकसित करना,
• उचित उपचार का चयन।

इसके अलावा, लिनक्स कर्नेल सुरक्षा सुविधाएँ मानचित्र को इस विषय पर स्रोत कोड, प्रलेखन और जानकारी के अन्य स्रोतों के बारे में जानने में मदद करने के लिए डिज़ाइन किया गया है:

• सुरक्षा सुरक्षा गुण
• लिनक्स कर्नेल सुरक्षा दस्तावेज
• कर्नेल स्व संरक्षण परियोजना प्रलेखन
• एंड्रॉइड ओपन सोर्स प्रोजेक्ट के लिए ग्रामसुरिटी को स्थानांतरित करने की वर्तमान स्थिति
• Microsoft अनुसंधान केंद्र (MSRC) से OS सुरक्षा रुझानों का अवलोकन
• लिनक्स कर्नेल रनटाइम गार्ड खतरा मॉडल (LKRG)

और लिनक्स कर्नेल कॉन्फ़िगरेशन फ़ाइल में सुरक्षा विकल्पों के सत्यापन को स्वचालित करने के लिए, मैंने kconfig-hardened-check प्रोजेक्ट बनाया, जो सक्रिय रूप से टीमवर्क खोलने के लिए धन्यवाद विकसित कर रहा है। उपयोगिता x86_64, arm64, x86_32 और आर्म आर्किटेक्चर का समर्थन करती है।

मैं आपको लिनक्स कर्नेल सिक्योरिटी फीचर्स मैप के विकास और kconfig- हार्ड-चेक उपयोगिता के विकास में भाग लेने के लिए आमंत्रित करता हूं।