Kusakata: セキュリティ#カーネルの防御への転送ページ

2017-05-14T02:58:28Z

Kusakata.bot: update Pkg/AUR templates

2017-05-10T23:02:49Z

update Pkg/AUR templates

← 古い版		2017年5月11日 (木) 08:02時点における版
7行目:		7行目:
	{{Related articles end}}		{{Related articles end}}

	[[Wikipedia:ja:PaX\|PaX]] は [[grsecurity]] パッチのサブセットとして開発されており、公式リポジトリの {{pkg\|linux-grsec}} パッケージに含まれています。スタンドアロンのパッケージとして [[AUR]] の {{aur\|linux-pax}} でインストールすることも可能です。		[[Wikipedia:ja:PaX\|PaX]] は [[grsecurity]] パッチのサブセットとして開発されており、公式リポジトリの {{pkg\|linux-grsec}}{{Broken package link\|{{aur-mirror\|linux-grsec}}}} パッケージに含まれています。スタンドアロンのパッケージとして [[AUR]] の {{aur\|linux-pax}}{{Broken package link\|package not found}} でインストールすることも可能です。

	PaX にはメモリ破損を利用する攻撃から身を守る [[grsecurity]] の機能のほとんどが含まれています。完全な[[Wikipedia:ja:アドレス空間配置のランダム化\|アドレス空間配置のランダム化]]、カーネルとユーザー空間のコード/データの分離の強化、情報を漏洩する恐れがある様々なクラスの排除など、PaX は様々な方法でカーネルやユーザー空間のプロセスを堅牢化します。カーネルのハードニング機能はユーザーには大きな影響がありませんが、MPROTECT / RANDMMAP 機能はいくつかのアプリケーションを別扱いにする必要を生じさせます。		PaX にはメモリ破損を利用する攻撃から身を守る [[grsecurity]] の機能のほとんどが含まれています。完全な[[Wikipedia:ja:アドレス空間配置のランダム化\|アドレス空間配置のランダム化]]、カーネルとユーザー空間のコード/データの分離の強化、情報を漏洩する恐れがある様々なクラスの排除など、PaX は様々な方法でカーネルやユーザー空間のプロセスを堅牢化します。カーネルのハードニング機能はユーザーには大きな影響がありませんが、MPROTECT / RANDMMAP 機能はいくつかのアプリケーションを別扱いにする必要を生じさせます。
27行目:		27行目:
	=== カスタムカーネル ===		=== カスタムカーネル ===

	カスタムカーネルをビルドすることで、パフォーマンスとセキュリティの妥協点を自由にコントロールすることができます。ビルド済みの {{pkg\|linux-grsec}} パッケージはパフォーマンスよりもセキュリティを優先しています。i686 では、{{ic\|CONFIG_PAX_MEMORY_SANITIZE}} と {{ic\|CONFIG_PAX_MEMORY_STACKLEAK}} を無効化することでパフォーマンスへの影響を抑えられます。x86_64 では、前記のオプションと共に {{ic\|CONFIG_PAX_MEMORY_UDEREF}} を無効化することで同じことになります。ただし、上で説明したように {{ic\|pax_nouderef}} で実行時に変えることもできます。		カスタムカーネルをビルドすることで、パフォーマンスとセキュリティの妥協点を自由にコントロールすることができます。ビルド済みの {{pkg\|linux-grsec}}{{Broken package link\|{{aur-mirror\|linux-grsec}}}} パッケージはパフォーマンスよりもセキュリティを優先しています。i686 では、{{ic\|CONFIG_PAX_MEMORY_SANITIZE}} と {{ic\|CONFIG_PAX_MEMORY_STACKLEAK}} を無効化することでパフォーマンスへの影響を抑えられます。x86_64 では、前記のオプションと共に {{ic\|CONFIG_PAX_MEMORY_UDEREF}} を無効化することで同じことになります。ただし、上で説明したように {{ic\|pax_nouderef}} で実行時に変えることもできます。

	== PaX 例外 ==		== PaX 例外 ==
35行目:		35行目:
	$ setfattr -n user.pax.flags -v "emr" /usr/bin/問題のバイナリ		$ setfattr -n user.pax.flags -v "emr" /usr/bin/問題のバイナリ

	{{Note\|{{pkg\|linux-grsec}} パッケージは拡張属性''のみを''サポートしています。ELF 例外マーカーのサポートは含まれていません。拡張属性は特殊なツールを必要とせず、バイナリに変更を加える必要もありません。従ってずっと優れた設定方法です。}}		{{Note\|{{pkg\|linux-grsec}}{{Broken package link\|{{aur-mirror\|linux-grsec}}}} パッケージは拡張属性''のみを''サポートしています。ELF 例外マーカーのサポートは含まれていません。拡張属性は特殊なツールを必要とせず、バイナリに変更を加える必要もありません。従ってずっと優れた設定方法です。}}

	様々な機能の中でも MPROTECT 機能が一番問題を起こしやすく、{{pkg\|linux-grsec}} ではデフォルトでカーネルログに[[Grsecurity#監査\|違反を記録]]しています。[[Grsecurity]] の PaX サブセットだけではこうした問題を判断するのは困難です。		様々な機能の中でも MPROTECT 機能が一番問題を起こしやすく、{{pkg\|linux-grsec}}{{Broken package link\|{{aur-mirror\|linux-grsec}}}} ではデフォルトでカーネルログに[[Grsecurity#監査\|違反を記録]]しています。[[Grsecurity]] の PaX サブセットだけではこうした問題を判断するのは困難です。

	{{pkg\|pax-utils}} パッケージに便利なツールが含まれています。例えば、{{ic\|pspax}} ユーティリティはカーネルのパースペクティブとケーパビリティから PaX のパーミッションを表示することができます。{{ic\|scanelf}} ツールを使えばバイナリの属性を確認できます。		{{pkg\|pax-utils}} パッケージに便利なツールが含まれています。例えば、{{ic\|pspax}} ユーティリティはカーネルのパースペクティブとケーパビリティから PaX のパーミッションを表示することができます。{{ic\|scanelf}} ツールを使えばバイナリの属性を確認できます。
46行目:		46行目:
	=== paxd パッケージを使う ===		=== paxd パッケージを使う ===

	公式リポジトリの {{pkg\|paxd}} パッケージには、実行可能ファイルが更新されたり設定ファイルが修正されたときに自動で {{ic\|/etc/paxd.conf}} から PaX の例外を適用するデーモンが入っています。パッケージによって提供されているバイナリに例外を適用する方法として、公式でサポートされています。		公式リポジトリの {{pkg\|paxd}}{{Broken package link\|package not found}} パッケージには、実行可能ファイルが更新されたり設定ファイルが修正されたときに自動で {{ic\|/etc/paxd.conf}} から PaX の例外を適用するデーモンが入っています。パッケージによって提供されているバイナリに例外を適用する方法として、公式でサポートされています。

	==== ユーザーの例外 ====		==== ユーザーの例外 ====
54行目:		54行目:
	=== ソフトモード ===		=== ソフトモード ===

	[[sysctl]] で {{ic\|1=kernel.pax.softmode=1}} を設定すると、例外を設定する代わりに、脆弱性対策の許諾を設定するようになります。サーバーで動作するウェブサービスなど、リスクが高い特定のバイナリだけに対策を課したいときに使うことができます。ただし、脆弱性緩和機能の例外を設定するほうがセキュリティ上効果が高く、{{pkg\|paxd}} を使えば大体の作業は自動化することが可能です。		[[sysctl]] で {{ic\|1=kernel.pax.softmode=1}} を設定すると、例外を設定する代わりに、脆弱性対策の許諾を設定するようになります。サーバーで動作するウェブサービスなど、リスクが高い特定のバイナリだけに対策を課したいときに使うことができます。ただし、脆弱性緩和機能の例外を設定するほうがセキュリティ上効果が高く、{{pkg\|paxd}}{{Broken package link\|package not found}} を使えば大体の作業は自動化することが可能です。

	== ユーザー空間の機能のテスト ==		== ユーザー空間の機能のテスト ==

2015年2月11日 (水) 08:21にKusakataによる

2015-02-11T08:21:24Z

差分を表示

Kusakata: en:PaXへの転送ページ

2015-01-14T10:23:14Z

en:PaXへの転送ページ

新規ページ

#redirect[[en:PaX]]

PaX - 版の履歴

Kusakata: セキュリティ#カーネルの防御への転送ページ

Kusakata.bot: update Pkg/AUR templates

2015年2月11日 (水) 08:21にKusakataによる

Kusakata: en:PaXへの転送ページ