Forum Debian Users Gang

Nastepna piekna rzecz, ktora bedzie we FreeBSD 11 - HARDENEDBSD.

Opis i funkcje
https://www.soldierx.com/news/HardenedBSDs-Integriforce

Porownanie, odpowiednik NETBSD:
https://netbsd.org/docs/guide/en/chap-veriexec.html

Screen z zastosowania:
http://i.imgur.com/wHp2eAN.png

FreeBSD 11 bedzie miazdzylo po calosci !

Przeciez openbsd na desktopie to prawie nikt nie uzywa

[quote=uzytkownikubunt][quote=Yampress]Przeciez openbsd na desktopie prawie nikt nie uzywa[/quote]
Selekcja. Przecież pisałem ;)
W razie czego jednak jest KDE (3 i 4), Gnome, Xfce, Fluxbox, Openbox w portach :D[/quote]
Nie selekcja. Po protu wybór...   Uważasz ze openbsd jest tak ciężkie aby go się nauczyć? i To tworzy selekcje?
Jest na desktop ciężkie w użytkowaniu, bo wielu rzeczy  nie uruchomisz na nim tak jak na linuxie . I nawet nie chodzi tutaj o prędkość działania tylko o multimedialność. 
Dla mnie systemy BSD są prostsze od linuxa. Tylko netbsd daje jakiś poziom skomplikowania. FreeBSD to aktualnie jest banalne.

[quote=uzytkownikubunt][quote=bryn1u]Nastepna piekna rzecz, ktora bedzie we FreeBSD 11 - HARDENEDBSD.

Opis i funkcje
https://www.soldierx.com/news/HardenedBSDs-Integriforce

Porownanie, odpowiednik NETBSD:
https://netbsd.org/docs/guide/en/chap-veriexec.html

Screen z zastosowania:
http://i.imgur.com/wHp2eAN.png

FreeBSD 11 bedzie miazdzylo po calosci ![/quote]
Co z tego, że będą takie zabezpieczenia skoro na pakietach binarnych ich nie będziesz mógł włączyć, bo nie będą skompilowane z odpowiednimi opcjami? Ja wiem, że w społeczności FreeBSD i Linuksa są eksperci i/lub jednostki lubiące bezpieczeństwo i stabilność, ale na każdą taką osobę przypada odpowiednio ze 100 i 500 osób, które się na tym nie znają lub wolą zamiast tego, by system się trochę szybciej uruchamiał. Tylko wśród OpenBSD jest społeczność ludzi, którzy są w stanie w imię wartości - bezpieczeństwa, poświęcić odrobinę innych cech. Tak sobie nawet myślę, że to nawet dobrze, że w OpenBSD nie ma wielu sterowników i nie działa na wielu laptopach tak enerooszczędnie jak Linux. Dzięki temu następuje selekcja w czasie której część ludzi odpada :)[/quote]
Musze cie rozczarowac w zwiazku z pakietami binarnymi :(

HardenedBSD: {
  url: "http://pkg.hardenedbsd.org/current/${ABI}"
  mirror_type: "http",
  signature_type: "pubkey",
  pubkey: "/usr/share/keys/pkg/trusted/hardenedbsd.crt.2014-09-04",
  enabled: yes
}

http://pkg.hardenedbsd.org/current/amd64/All/

Pozyjemy zobaczymy. Chyba nie jest problemem przekompilowac wszystkie porty z dodatkowymi opcjami i zrobic paczki. Do tego wystarczy skrypt. Gdzies sie natchnalem, ze beda dwa repa. Jedno normalne a drugie hardened. Zreszta do FreeBSD - 11 jest jeszcze troche czasu. Nie ukrywam, ze bedzie to ogromny skok zarowno na warstwie emulacji linux_compat, writualizacji min. bhyve oraz bardzo rozbudowanej warstwie zabezpieczen. Badzmy optymistami.

1775

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:14:16)

No i stalo sie. Panowie do jajka doszla nowa opcja:

PAX_NOEXEC              # Remove WX pages from user-space and enforce W^X

@uzytkownik

Ostatnie zdania sa dla ciebie :P Jest tam tez fraza na ktora czekasz tzw: firefox :D

Over the past few months, Oliver has been busy writing a new exploit mitigation feature for HardenedBSD: NoExec. The first part of this project was merged into master tree, and there are still ongoing issues to solve. Our implementation is inspired by PaX's. NoExec prevents pages that are marked as writable from being marked executable as well. It also prevents using mprotect(2) to change a non-executable page to an executable one. This, of course, can cause issues with applications that expect to be able to mark existing pages as executable. Firefox is a good example. You will need to either jail the application in a jail with NoExec turned off or use secadm to turn off NoExec for that application.

This feature bumps the HardenedBSD version number up to 17. We're doing a new package build as well. You'll also get some applications built as Position-Independent Executables (PIEs) with this package build.[/quote]
Sysctl hardening

Kod:

[root@Indyferentny ~/paxtest-0.9.11]# sysctl hardening
hardening.pax.aslr.status: 2
hardening.pax.aslr.mmap_len: 30
hardening.pax.aslr.stack_len: 20
hardening.pax.aslr.exec_len: 21
hardening.pax.aslr.compat.status: 2
hardening.pax.aslr.compat.mmap_len: 8
hardening.pax.aslr.compat.stack_len: 8
hardening.pax.aslr.compat.exec_len: 8
hardening.pax.pageexec.status: 2
hardening.pax.mprotect.status: 2
hardening.pax.segvguard.status: 1
hardening.pax.segvguard.debug: 0
hardening.pax.segvguard.expiry_timeout: 120
hardening.pax.segvguard.suspend_timeout: 600
hardening.pax.segvguard.max_crashes: 5
hardening.version: 17
hardening.log.log: 1
hardening.log.ulog: 0
hardening.allow_map32bit: 0
hardening.procfs_harden: 1
hardening.ptrace_hardening.status: 1
hardening.ptrace_hardening.gid: 50000
[root@Indyferentny ~/paxtest-0.9.11]#

https://www.freebsd.org/cgi/man.cgi?query=mprotect&apropos=0&sektion=0&manpath=FreeBSD+10.1-RELEASE&arch=default&format=html

Ostatnio edytowany przez bryn1u (2015-03-26 19:07:56)

---

E-Booki: FreeBSD, OpenBSD, Linux, Hacking, PHP, Catia, Perl_CGI, Mysql ...
[b]http://unix-ebooki.neth.pl/[/b]