Re: [gentoo-user-ru] article about Hardened Gentoo

Re: [gentoo-user-ru] article about Hardened Gentoo

[Vladimir Solomatin]

Hello, Alex Efros
On 08/12/2007 06:27 PM, you wrote:
> Я на хабре http://www.habrahabr.ru/blog/linux/ написал статью о переходе
> на Hardened Gentoo (разбитую на 4 части), может вам будет любопытно.
>   
Спасибо, любопытно.
Вопросик есть. Из рассылки за 2005й год:

> О! Знакомая проблема.  :-)  Из-за этого бага мне приходится X-ы компилировать
> gcc без hardened. Задобало уже. Правда, это единственная прога, которую
> приходится компилировать gcc без hardened - всем остальным хватает запуска
> /etc/init.d/chpax. Насколько я понимаю это даже не баг в X, а баг в
> ati-drivers, которые я использую.
>   
Пока hardened профиль использую только на серверах, на десктопе пока не 
тестровал. Инетерсует, и сейчас X-ы нужно собирать gcc без hardened?

-- 
Vladimir Solomatin (slash@relex.ru)
Phone: + 7 (4732) 711711
Relex Inc, Voronezh.

Re: [gentoo-user-ru] article about Hardened Gentoo

[Alexey Voychehovich]

ребят. коммерция пришла в генту? это печально :(

Re: [gentoo-user-ru] article about Hardened Gentoo

[Alex Efros]

Hi!

On Wed, Feb 20, 2008 at 11:08:59PM +0200, Alexey Voychehovich wrote:
> ребят. коммерция пришла в генту? это печально :(

Вы о чём?

-- 
			WBR, Alex.

Re: [gentoo-user-ru] article about Hardened Gentoo

[Alex Efros]

Hi!

On Wed, Feb 20, 2008 at 05:11:26PM +0300, Vladimir Solomatin wrote:
> Пока hardened профиль использую только на серверах, на десктопе пока не 
> тестровал. Инетерсует, и сейчас X-ы нужно собирать gcc без hardened?

Да нет, этой проблемы уже давно нет. Вроде проприетарные дрова nVidia
были hardmasked в hardened, но я юзаю драйвер от xorg и никаких проблем.

-- 
			WBR, Alex.

Re: [gentoo-user-ru] article about Hardened Gentoo

[Mad Deer]

Alex Efros пишет:
> Hi!
> 
> On Wed, Feb 20, 2008 at 05:11:26PM +0300, Vladimir Solomatin wrote:
>> Пока hardened профиль использую только на серверах, на десктопе пока не 
>> тестровал. Инетерсует, и сейчас X-ы нужно собирать gcc без hardened?
> 
> Да нет, этой проблемы уже давно нет. Вроде проприетарные дрова nVidia
> были hardmasked в hardened, но я юзаю драйвер от xorg и никаких проблем.
> 
а проблемы с GCC-4.x ещё остались?

-- 
Да здравствует то, благодаря чему мы, несмотря ни на что.(c) Задорнов
Registered Linux User #317544
Linux 2.6.22-gentoo-r6 i686 AMD Athlon(tm) 64 X2 Dual Core Processor 5000+

Re: [gentoo-user-ru] article about Hardened Gentoo

[Alex Efros]

Hi!

On Fri, Feb 22, 2008 at 12:21:13PM +0300, Mad Deer wrote:
> а проблемы с GCC-4.x ещё остались?

Никаких проблем. Стоит gcc-3.4.6-r2. ;-)
Насколько я понял, hardened-версия gcc-4 врядли выйдет в ближайшие пол
года-год.

-- 
			WBR, Alex.

Re: [gentoo-user-ru] article about Hardened Gentoo

[Vladimir Solomatin]

Hello, Alex Efros
On 11/14/2005 04:39 PM, you wrote:
> Executable anonymous mapping             : Killed
> Executable bss                           : Killed
> Executable data                          : Killed
> Executable heap                          : Killed
> Executable stack                         : Killed
> Executable anonymous mapping (mprotect)  : Killed
> Executable bss (mprotect)                : Killed
> Executable data (mprotect)               : Killed
> Executable heap (mprotect)               : Killed
> Executable stack (mprotect)              : Killed
> Executable shared library bss (mprotect) : Killed
> Executable shared library data (mprotect): Killed
> Writable text segments                   : Killed
> Anonymous mapping randomisation test     : 15 bits (guessed)
> Heap randomisation test (ET_EXEC)        : 13 bits (guessed)
> Heap randomisation test (ET_DYN)         : 23 bits (guessed)
> Main executable randomisation (ET_EXEC)  : No randomisation
> Main executable randomisation (ET_DYN)   : 15 bits (guessed)
> Shared library randomisation test        : 15 bits (guessed)
> Stack randomisation test (SEGMEXEC)      : 23 bits (guessed)
> Stack randomisation test (PAGEEXEC)      : 24 bits (guessed)
> Return to function (strcpy)              : Vulnerable
> Return to function (memcpy)              : Vulnerable
> Return to function (strcpy, RANDEXEC)    : Vulnerable
> Return to function (memcpy, RANDEXEC)    : Vulnerable
> Executable shared library bss            : Killed
> Executable shared library data           : Killed
>
> Что нужно ещё включить чтобы "Return to function" тоже были защищены я пока
> не разбирался - времени нет.
>   
$ bzless /usr/share/doc/paxtest-0.9.6/README.bz2

Return to function (strcpy)
Return to function (strcpy, RANDEXEC)
Return to function (memcpy)
Return to function (memcpy, RANDEXEC)

        Return to function attacks are very nasty. These tests are hard to
        stop by kernel patches, but they show that there you should not 
expect
        perfect protection from this kind of security patches.

-- 
Vladimir Solomatin (slash@relex.ru)
Phone: + 7 (4732) 711711
Relex Inc, Voronezh.



-- 
Vladimir Solomatin (slash@relex.ru)
Phone: + 7 (4732) 711711
Relex Inc, Voronezh.