Andrejs Konovalovs Google programmatūras inženieris, atklāja metodi, kā attālināti atspējot aizsardzību no Slēgts tiek piedāvāts Linux kodolā, kas piegādāts Ubuntu. Ar kuru parāda, ka aizsardzības metodes ir neefektīvas, kā arī viņš arī piemin, ka teorētiski atklātajām metodēm vajadzētu darboties arī ar Fedora kodolu un citiem izplatījumiem (taču tās nav pārbaudītas).
Tiem, kas nezina par bloķēšanu, viņiem vajadzētu zināt, ka tā ir Linux kodola sastāvdaļa Tās galvenā funkcija ir ierobežot root lietotāja piekļuvi sistēmas kodolam un šī funkcionalitāte ir pārvietots uz LSM moduli pēc izvēles ielādēts (Linux drošības modulis), kas izveido barjeru starp UID 0 un kodolu, ierobežojot noteiktas zema līmeņa funkcijas.
Tas ļauj bloķēšanas funkcijai būt balstītai uz politiku, nevis stingri kodēt netiešo politiku mehānismā, tāpēc Linux drošības modulī iekļautā slēdzene nodrošina ieviešanu ar vienkāršu politiku paredzēts vispārējai lietošanai. Šī politika nodrošina precizitātes līmeni, kuru var kontrolēt, izmantojot kodola komandrindu.
Par bloķēšanu
Bloķēšana ierobežo sakņu piekļuvi kodolam un bloķē UEFI drošus sāknēšanas apvedceļus.
Piemēram, bloķēšanas režīmā piekļuve / dev / mem, / dev / kmem, / dev / port, / proc / kcore, debugfs, atkļūdošanas režīma kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS ierobežoti, kā arī CPU ACPI un MSR reģistri.
Kamēr kexec_file un kexec_load zvani ir bloķēti, miega režīms ir aizliegts, DMA izmantošana PCI ierīcēm ir ierobežota, ir aizliegta ACPI koda importēšana no EFI mainīgajiem un manipulācijas ar ievades / izvades portiem, ieskaitot maiņas pārtraukuma numuru un I / O ports seriālajam portam.
Kā daži varbūt zina, bloķēšana tika pievienota Linux kodolam 5.4, bet tas joprojām tiek ieviests plāksteru veidā vai papildināts ar plāksteriem uz serdeņiem, kas piegādāti sadalījumiem.
Šeit viena no atšķirībām starp izplatījumos paredzētajiem spraudņiem un iegultā kodola ieviešanu ir iespēja atspējot bloķēšanu, kas tiek nodrošināta, ja sistēmai ir fiziska piekļuve.
Ubuntu un Fedora izmanto atslēgu kombināciju Alt + SysRq + X lai atspējotu slēdzeni. Ir saprotams, ka kombinācija Alt + SysRq + X to var izmantot tikai ar fizisku piekļuvi ierīcei un attālā uzbrukuma un root piekļuves gadījumā uzbrucējs nevarēs atspējot bloķēšanu.
Bloķēšanu var atspējot attālināti
Andrejs Konovalovs to pierādīja ar tastatūru saistītas metodes lietotāja fiziskās klātbūtnes apstiprināšana ir neefektīva.
Viņš atklāja, ka vienkāršākais veids, kā atspējot slēdzeni, būtu simulēt nospiediet Alt + SysRq + X caur / dev / uinput, taču šī opcija sākotnēji ir bloķēta.
Bet vēl vismaz divi aizstāšanas veidi Alt + SysRq + X.
- Pirmā metode ietver saskarnes izmantošanu sysrq-trigeris: simulēt, vienkārši iespējojiet šo saskarni, ierakstot "1" / proc / sys / kodols / sysrq un pēc tam ierakstiet "x" / proc / sysrq-trigger.
Šī nepilnība tika novērsta decembra Ubuntu kodola atjauninājumā un Fedora 31. Jāatzīmē, ka izstrādātāji, tāpat kā / dev / uinput, viņi sākotnēji mēģināja bloķēt šo metodi, taču bloķēšana nedarbojās koda kļūdas dēļ. - Otra metode ir tastatūras atdarināšana, izmantojot USB / IP, un pēc tam no virtuālās tastatūras nosūta Alt + SysRq + X secību.
Kodolā pēc noklusējuma ir iespējots USB / IP, ko nodrošina Ubuntu, un moduļi usbip_core y vhci_hcd nepieciešamais tiek nodrošināts ar nepieciešamo ciparparakstu.
Uzbrucējs var izveidot virtuālu USB ierīci, palaižot tīkla saskarni palaižot tīkla kontrolleri un savienojot to kā attālu USB ierīci, izmantojot USB / IP.
Par norādīto metodi ir ziņots Ubuntu izstrādātājiem, taču risinājums vēl nav izlaists.
Fuente: https://github.com