Linux varnost

Pogoj da exploit deluje:

- PulseAudio ali SELinux
- mmap_min_addr = 0 (ni pogoj if SELinux is enforcing ... SELinux will by default let anyone mmap at NULL)

Koncept je že fajn. N emoreš ob vsakem skoku kernel--userspace zgubiti vse v TLBjih, ker si pač temeljito zamenjal address space.

Operacijski sistem, ki ima celo jedro v enem pomnilniskem prostoru (address space), nima sans proti kernel-level rootkitom.

Kako pa bi po tvoje moralo biti - enlighten us? Ce imas rootkit, ki tece z najvisjimi moznimi privilegiji, ga nizji layerj ne morejo odkriti, ker jim lahko vedno laze kakor hoce. Edino neka hevrstika v jedru bi lahko odkrila rootkit. Se huje pa je recimo z ring -1 rootkiti ala Blue Pill - se pravi nek rogue hypervisor, ki zganja virtualizacijo. Kernel misli, da je sef na rac., ceprav je le na navideznem racunalniku in obstaja "nad" njim se nekdo.

Da gres gledat le implementacijo npr. netstata je pri tem smesno. Kako odkrit rootkit na komprimiranem linuxu z orodji na tem istem sistemu? NE MORES!

Lahko pa odkrijes, da je bil netstat backdooran (seveda pa moras zato zaupati vsem nivojem nad njim). Ni nujno, da bo vedno backdoor v kernelu. Nizje ko gres, visja je namrec kompleksnost (in ponavadi so zadeve tudi manj prenosljive). Teoreticno je lahko tudi kernel spremenjen le tako, da skrije backdoor v nekem user-space programu.