Andrew Konovalov Inxhinier i softuerit Google, zbuloi një metodë për të çaktivizuar në distancë mbrojtjen nga Lockdown të ofruara në kernelin Linux të furnizuar në Ubuntu. Me të cilat tregon se metodat e mbrojtjes janë joefektive, plus ai gjithashtu përmend që metodat që ai zbuloi teorikisht duhet të punojnë me kernelin e Fedora dhe shpërndarje të tjera gjithashtu, (por nuk janë testuar).
Për ata që nuk janë në dijeni të Lockdown, ata duhet ta dinë se është një përbërës i kernelit Linux që Funksioni i tij kryesor është të kufizojë hyrjen e përdoruesit rrënjë në kernelin e sistemit dhe këtë funksionalitet është zhvendosur në modulin LSM ngarkuar opsionalisht (Moduli i Sigurisë Linux), i cili vendos një pengesë midis UID 0 dhe kernelit, duke kufizuar funksione të caktuara të nivelit të ulët.
Kjo lejon që funksioni i kyçjes të jetë i bazuar në politikë sesa të kodifikojë fort një politikë implicite brenda mekanizmit, kështu që kyçi i përfshirë në Modulin e Sigurisë Linux siguron një zbatim me një politikë të thjeshtë të destinuara për përdorim të përgjithshëm. Kjo politikë siguron një nivel të grimcimit të kontrollueshëm përmes linjës komanduese të kernelit.
Rreth bllokimit
Kyçi kufizon hyrjen e rrënjës në bërthamë dhe bllokon rrugët e sigurta të anashkalimit të boot-it nga UEFI.
Për shembull, në modalitetin e kyçjes, ndër të tjera, disa ndërfaqe janë: të kufizuar si dhe regjistrat ACPI dhe MSR të NJMF-së.
Ndërsa thirrjet kexec_file dhe kexec_load janë të kyçura, modaliteti i gjumit është i ndaluar, përdorimi i DMA për pajisjet PCI është i kufizuar, importimi i kodit ACPI nga ndryshoret EFI është i ndaluar dhe manipulimet me portat e hyrjes / daljes, duke përfshirë ndryshimin e numrit të ndërprerjes dhe një I / Porta O për portin serik.
Siç mund ta dinë disa, mekanizmi i bllokimi u shtua në kernelin Linux 5.4, por akoma zbatohet në formën e arnimeve ose plotësohet me arna në bërthamat e furnizuara me shpërndarjet.
Këtu, një nga ndryshimet midis shtojcave të dhëna në shpërndarjet dhe implementimit të ngulitur të kernelit është aftësia për të çaktivizuar bllokimin e dhënë kur ka qasje fizike në sistem.
Ubuntu dhe Fedora përdorin kombinimin e tasteve Alt + SysRq + X për të çaktivizuar bllokimin. Kuptohet që kombinimi Alt + SysRq + X mund të përdoret vetëm me qasje fizike në pajisje dhe në rast të një sulmi në distancë dhe qasje në rrënjë, sulmuesi nuk do të jetë në gjendje të çaktivizojë bllokimin.
Bllokimi mund të çaktivizohet nga distanca
Andrei Konovalov e vërtetoi këtë metoda të lidhura me tastierën për konfirmimi i pranisë fizike të një përdoruesi janë joefektive.
ai zbuloi se mënyra më e lehtë për të çaktivizuar bllokimin do të ishte simulimi shtyp Alt + SysRq + X përmes / dev / uinput, por ky opsion është bllokuar fillimisht.
Por të paktën dy mënyra të tjera për të zëvendësuar Alt + SysRq + X.
- Metoda e parë përfshin përdorimin e ndërfaqes sysrq-shkas: për të simuluar, thjesht aktivizoni këtë ndërfaqe duke shtypur "1" në / proc / sys / kernel / sysrq dhe pastaj shtypni "x" në / proc / sysrq-shkas.
Ky hendek u rregullua në azhurnimin e kernelit të Ubuntu të Dhjetorit dhe në Fedora 31. Vlen të përmendet që zhvilluesit, si në rastin e / dev / uinput, ata fillimisht u përpoqën të bllokonin këtë metodë, por bllokimi nuk funksionoi për shkak të një defekti në kod. - Metoda e dytë është të imitoni tastierën përmes USB / IP dhe më pas të dërgoni sekuencën Alt + SysRq + X nga tastiera virtuale.
Në kernel, USB / IP i furnizuar nga Ubuntu është aktivizuar si parazgjedhje dhe modulet usbip_core y vhci_hcd të nevojshme janë të pajisur me nënshkrimin e kërkuar dixhital.
Një sulmues mund të krijojë një pajisje virtuale USB duke ekzekutuar një kontrollues rrjeti në ndërfaqen e kthimit dhe duke e lidhur atë si një pajisje të largët USB duke përdorur USB / IP.
Metoda e specifikuar u është raportuar zhvilluesve të Ubuntu, por një zgjidhje nuk është lëshuar ende.
Fuente: https://github.com