Revision as of 10:45, 16 February 2010

Whitelist di modprobe

Sommario

Introdotta una whitelist con la lista di moduli e comandi permessi da modprobe, per limitare, da parte dell'amministratore di sistema, il numero dei programmi, potenzialmente vulnerabili, eseguibili nel kernel.

Progettista

Nome: Miloslav Trmac
Email:mitr@redhat.com

Stato corrente

Targeted release: Fedora 13

Per informazioni aggiornate sullo stato del progetto consultare la pagina originale di questo documento.

Descrizione dettagliata

Il kernel, e le varie applicazioni che eseguono nello spazio utente, possono automaticamente caricare moduli del kernel indispensabili per eseguire certe azioni (p.e. l'inserimento di un flash disk con un particolare filesystem, può provocare l'inserimento di altro hardware e l'uso di un protocollo di rete non esplicitamente necessari). Ciò può causare anche agli utenti con ridotti privilegi di caricare moduli del kernel, e il codice del kernel potrebbe diventare vulnerabile. Questo progetto, riducendo le situazioni ad alto rischio per la sicurezza, consente agli amministratori del sistema di limitare i moduli caricati da modprobe ad una lista specifica di moduli configurata dall'amministratore, rendendo impossibile a utenti privi delle necessarie autorizzazioni di sfruttare le vulnerabilità nei moduli che ordinariamente non vengono utilizzati, p.e. quando si inserisce un dispositivo.

modprobe può anche eseguire comandi specifici invece di caricare un modulo, usando la direttiva install di configurazione; essa verrebbe ristretta usando la stessa whitelist.

Per aiutare gli amministratori a compilare la whitelist, a modpobe sono aggiunte altre funzionalità; usando una particolare opzione, sarà possibile registrare (to log) tutte le informazioni in un file specificato, incluse le azioni svolte da modprobe all'avvio del sistema. Si fornisce inoltre uno script che compila una whitelist a partire dalle informazioni di log.

Vantaggi per Fedora

Se voluto e confgurato dall'amministratore di sistema, gli attacchi nello spazio kernel sono ridotti, evitando il rischio di sfruttare vulnerabilità nel codice del kernel raramente usato.

Un sistema desktop di Fedora 12 tipico, correntemente usa circa 79 moduli, su 1964 moduli disponibili (4%). Ossia, includendo anche il file principale del kernel (/boot/vmlinuz*), il sistema desktop usa 8,36 MB di codice del kernel, su 34,66 MB di codice disponibile (24%).

Documentazione

Consultare le pagine di man:

modprobe.conf(5).
build-modprobe-whitelist(8)

Note di rilascio

Fedora ora consente agli amministratori del sistema di limitare ad un insieme ristretto esplicitamente selezionati, i moduli automaticamente caricati nel kernel. Questo serve a prevenire attacchi a codice del kernel vulnerabile, non strettamente necessario per le ordinarie operazioni del sistema (p.e. l'inserimento di un flash disk con un particolare filesystem, può provocare l'inserimento di altro hardware e l'uso di un protocollo di rete non esplicitamente necessari). Per i dettagli vedere le pagine di man build-modprobe-whitelist(8).

Altre informazioni

Per:

Obbiettivi
Test Plan
Esperienza Utente
Dipendenze
Progetto corrente
Commenti e Discussioni

visitare la pagina originale di questo documento.

@@ Line 1: / Line 1: @@
-= modprobe Whitelist =
+= Whitelist di modprobe =
 == Sommario ==
-Add a whitelist of allowed modules and commands to modprobe, to allow the system administrator to limit the amount of (potentially vulnerable) code that can run in the kernel.
+Introdotta una ''whitelist'' con la lista di moduli e comandi permessi da modprobe, per limitare, da parte dell'amministratore di sistema, il numero dei programmi, potenzialmente vulnerabili, eseguibili nel kernel.
 == Progettista ==
 * Nome: [[User:Mitr| Miloslav Trmac]]
 * Email:[mailto:mitr@redhat.com mitr@redhat.com]
@@ Line 14: / Line 13: @@
 == Descrizione dettagliata ==
-The kernel, and various user-space applications, can automatically load kernel modules necessary to handle certain actions (e.g. flash dish with a specific filesystem is attached, other hardware is plugged in, application uses a network protocol).  This may allow even unprivileged users to cause loading kernel modules, and the kernel code may be vulnerable.  This feature allows system administrators in high-security situations to limit the modules loaded by modprobe to a specific list of modules configured by the administrator, making it impossible for unprivileged users to exploit vulnerabilities in modules that are not ordinarily used by e.g. attaching hardware.
+Il kernel, e le varie applicazioni che eseguono nello spazio utente, possono automaticamente caricare moduli del kernel indispensabili per eseguire certe azioni (p.e. l'inserimento di un flash disk con un particolare filesystem, può provocare l'inserimento di altro hardware e l'uso di un protocollo di rete non esplicitamente necessari). Ciò può causare anche agli utenti con ridotti privilegi di caricare moduli del kernel, e il codice del kernel potrebbe diventare vulnerabile. Questo progetto, riducendo le situazioni ad alto rischio per la sicurezza, consente agli amministratori del sistema di limitare i moduli caricati da ''modprobe'' ad una lista specifica di moduli configurata dall'amministratore, rendendo impossibile a utenti privi delle necessarie autorizzazioni di sfruttare le vulnerabilità nei moduli che ordinariamente non vengono utilizzati, p.e. quando si inserisce un dispositivo.
-modprobe can also run specified commands instead of loading a module (using the "install" configuration directive); this is restricted using the same whitelist as well.
+''modprobe'' può anche eseguire comandi specifici invece di caricare un modulo, usando la direttiva ''install'' di configurazione; essa verrebbe ristretta usando la stessa whitelist.
-To help system administrators compile the whitelist, additional functionality is added to modprobe: it will be possible to log all information (similar to using "modprobe -v") to a specified file, including modprobe actions run in the dracut initrd.  A script will be provided that compiles a proposed whitelist from the logged data.
+Per aiutare gli amministratori a compilare la whitelist, a modpobe sono aggiunte altre funzionalità; usando una particolare opzione, sarà possibile registrare (to log) tutte le informazioni in un file specificato, incluse le azioni svolte da modprobe all'avvio del sistema. Si fornisce inoltre uno script che compila una whitelist a partire dalle informazioni di log.
 == Vantaggi per Fedora ==
-If desired and configured by the system administrator, a significant reduction of the kernel-space attack surface, avoiding risk of vulnerabilities in rarely-used kernel-mode code.
+Se voluto e confgurato dall'amministratore di sistema, gli attacchi nello spazio kernel sono ridotti, evitando il rischio di sfruttare vulnerabilità nel codice del kernel raramente usato.
-A sample desktop Fedora 12 system currently has 79 modules loaded, out of 1964 available modules (4%).  When counting code size, and the main kernel file (/boot/vmlinuz*) is included, the sample desktop system runs 8.36 MB of kernel-space code, out of 34.66 MB available (24%).
+Un sistema desktop di Fedora 12 tipico, correntemente usa circa 79 moduli, su 1964 moduli disponibili (4%). Ossia, includendo anche il file principale del kernel (/boot/vmlinuz*), il sistema desktop usa 8,36 MB di codice del kernel, su 34,66 MB di codice disponibile (24%).
 == Documentazione ==
-Included in the patch set:
+Consultare le pagine di man:
-* Updates to modprobe.conf(5).
+* modprobe.conf(5).
-* New man page for build-modprobe-whitelist(8)
+* build-modprobe-whitelist(8)
 == Note di rilascio ==
-(in "Security" section)
+Fedora ora consente agli amministratori del sistema di limitare ad un insieme ristretto esplicitamente selezionati, i moduli automaticamente caricati nel kernel. Questo serve a prevenire attacchi a codice del kernel vulnerabile, non strettamente necessario per le ordinarie operazioni del sistema (p.e. l'inserimento di un flash disk con un particolare filesystem, può provocare l'inserimento di altro hardware e l'uso di un protocollo di rete non esplicitamente necessari). Per i dettagli vedere le pagine di man build-modprobe-whitelist(8).
-Fedora now allows system administrators to restrict the modules that can be automatically loaded into the kernel to a specific subset of explicitly chosen modules.  This prevents attacks on vulnerable kernel code that is not necessary for ordinary system operation (e.g. by plugging in a flash drive with an unusual filesystem, by plugging in unusual hardware, initializing network connections using an unusual protocol).  See build-modprobe-whitelist(8) for details.
 == Altre informazioni ==

Search

It IT/Releases/13/Features/ModprobeWhitelist: Difference between revisions