Проект Openwall опубликовал (https://www.mail-archive.com/announce@lists.openwall.co...) выпуск модуля ядра LKRG 0.7 (https://www.openwall.com/lkrg/)  (Linux Kernel Runtime Guard), обеспечивающего выявление несанкционированного внесения изменений в работающее ядро (проверка целостности) или попыток изменения полномочий пользовательских процессов (определение применения эксплоитов). Модуль подходит как для организации защиты от уже известных эксплоитов для ядра Linux (например, в ситуациях когда в системе проблематично обновить ядро), так и для противостояния эксплоитам для ещё неизвестных уязвимостей. Об особенностях LKRG можно прочитать в первом анонсе проекта (https://www.opennet.me/opennews/art.shtml?num=47989).

Среди изменений в новой версии:

-  Проведён рефакторинг кода для обеспечения поддержки различных архитектур CPU. Добавлена начальная поддержка архитектуры ARM64;

-  Обеспечена совместимость с ядрами Linux 5.1 и 5.2, а также ядрами, собранными без включения при сборке ядра опций CONFIG_DYNAMIC_DEBUG,
CONFIG_ACPI и CONFIG_STACKTRACE, и с ядрами собранными с опцией CONFIG_STATIC_USERMODEHELPER. Добавлена экспериментальная поддержка  ядер от проекта  grsecurity;
-  Значительно изменена логика инициализации;
-  В подсистеме проверки целостности повторно включено самохэширование (self-hashing) и устранено  состояние гонки в движке  меток перехода (*_JUMP_LABEL), приводящее к взаимной блокировке при инициализации одновременно с событиями загрузки или выгрузки других модулей;

-  В коде определения применения эксплоитов добавлены новые sysctl lkrg.smep_panic (по умолчанию включен) и lkrg.umh_lock (по умолчанию выключен), добавлены дополнительные проверки бита SMEP/WP, изменена логика отслеживания новых задач в системе, переработана внутренняя логика синхронизации с ресурсами задач, добавлена поддержка OverlayFS, помещён в белый список  Ubuntu Apport.

URL: https://www.mail-archive.com/announce@lists.openwall.co...
Новость: https://www.opennet.me/opennews/art.shtml?num=51139

• Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,Аноним, 19:49 , 21-Июл-19
• Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,n1rdeks, 19:56 , 21-Июл-19
  • Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,Аноним, 20:31 , 21-Июл-19
  • Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,solardiz, 14:16 , 22-Июл-19
• Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,Аноне, 20:35 , 21-Июл-19
• Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,Павел Отредиез, 20:35 , 21-Июл-19
  • Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,VINRARUS, 21:02 , 21-Июл-19
• Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,Аноним, 20:58 , 21-Июл-19
  • Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,solardiz, 14:14 , 22-Июл-19
    • Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,Аноним, 21:42 , 22-Июл-19
      • Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,solardiz, 21:49 , 22-Июл-19
• Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,kido5217, 21:15 , 21-Июл-19
  • Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,Michael Shigorin, 16:54 , 16-Авг-19
• Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,Аноним, 11:18 , 22-Июл-19
  • Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,хз.кто, 17:07 , 22-Июл-19
• Выпуск модуля LKRG 0.7 для защиты от эксплуатации уязвимосте...,andy, 18:59 , 29-Июл-19

Теперь эксплуатировать уязвимости стало сложнее.

Как оно бьёт по производительности?

метко. А вообще на сайте до сих пор написано, что они сильно не тестировали, но вроде как обещают до 2.5%. Хотя все зависит от режима.

Подробный ответ на тот же вопрос в обсуждении LKRG 0.6: https://www.opennet.me/openforum/vsluhforumID3/116625.html#3

В свете недавних новостей нужно всё.

Так-то может и нужно. Только голова не болит у разработчиков? У меня один только вопрос к различным hardened доработкам - сколько это стоит головной боли?

>сколько это стоит головной боли

Гдето между ударом кастрюлей и сковородкой.

>Добавлена начальная поддержка архитектуры ARM64

Когда armv7?

Проблемы с ACPI S3 пофиксили?

> Когда armv7?

Когда/если на LKRG на 32-битном ARM будет спрос. Пока мы спроса не видим. Cчитать ли за таковой вопрос здесь, не знаю.

> Проблемы с ACPI S3 пофиксили?

Нет. Я сейчас напомнил об этой задаче Адаму - надо или разобраться и добавить workaround, или/и добавить возможность отключения части проверок.

>Пока мы спроса не видим.

Платёжеспособный спрос вряд-ли будет - 32-битные армы вытеснены в новых телефонах 64-битными, не удивлюсь, если гугл их скоро официально дропнет. Просто интересовала возможность прикрутить LKRG к lineageos для старых телефонов как один из вариантов смягчения уязвимостей в блобах.

Необязательно платёжеспособный, так как добавить поддержку не сложно. Спасибо за пояснение.

Кто-нибудь смог это с dkms подружить?

У нас просто собрали в репозиторий: http://git.altlinux.org/tasks/archive/done/_230/236114/logs/... (а компилятор на не-сборочном сервере незачем, как мне кажется).

Как только не извернутся лишь бы grsecurity не покупать.

А почём их патчи сейчас?

в чем проблема заюзать lts ядро, где обычно ничего не ломается?