More Related Content
What's hot
What's hot (20)
Viewers also liked
Similar to サンドボックス化によるセキュアなプログラミング
Similar to サンドボックス化によるセキュアなプログラミング (20)
サンドボックス化によるセキュアなプログラミング
- 1. サンドボックス化によるセキュアなプログラミン グ 2014年度 システムソフトウェアゼミ 盧 亦愷 https://github.com/luyikei/
- 3. 事前学習 ● Tcpdump のソースコードを読んだ ・chroot や setuid を使用していた。 ・cap-ng を使用し(できるなら)、特権を禁止していた。 ● OpenSSH のソースコードを読んだ ・プロセスを分割し、分割した先で、 ・OS によって違う手法を使っており、 OS別に 異なるファイルにサンドボックスのコードがあった。 ・基本は手法が違うだけで目的はTcpdumpとほぼ同じ ● パイプと fork() の修行 プロセス分割をするときに必要だから
- 4. Privilege separated tcpdump(1) ● Otto writes: "tcpdump(1) has a bad reputation; quite some vulnerabilities have been found in it. Since tcpdump is run as root when capturing packets from an interface, the impact of these vulnerabilities can be high. ● To reduce the risk of running tcpdump as root, tcpdump has been modified to become privilege separated. The parsing and printing of the network packets takes now place in an unprivileged, chrooted process. ● The work has been done by Can Erkin Acar and Otto Moerbeek. http://www.undeadly.org/cgi?action=article&sid=20040220120426
- 5. (直訳) 特権分離 tcpdump(1) ● Otto が書いた: "tcpdump(1) は評判悪い; 実にいくつかの 脆弱性が見つかったのだ. Tcpdump はインターフェース からパケットキャプチャをする以上 root で実行されなく てはならない, なのでこういった脆弱性の影響が非常に 大きくなってしまいます. ● tcpdump が root で実行されるリスクを軽減するために, tcpdump は特権を分離するように改変された. ネット ワークのパケットのパースとプリントは非特権で行われ ます, chroot のプロセスで動いています。
- 6. コードを見てみましょう
- 7. Privilege Separated OpenSSH We use an unprivileged child process to contain and restrict the effects of programming errors. A bug in the unprivileged child process does not result in a system compromise. In other words, the goal is complete privilege separation within in OpenSSH. http://www.citi.umich.edu/u/provos/ssh/privsep.html
- 8. (直訳) 特権分離 OpenSSH ● 非特権の子プロセスを使用することでプログラ ミングの不具合を含まれても影響を小さくでき る. ● 非特権の子プロセスにバグがあってもシステム の妥協は許さない. ● つまり, ゴールは OpenSSH の特権分離である.
- 10. 具体的な手法 ● rlimit プロセスに様々な制限を掛けられる ex ) CPU 時間、ファイルの作成, メモリのヒー プの上限 ● seccomp, capability システムコールの制限など.....
- 11. コードを見てみましょう
- 12. Privilege separation is a powerful principle to improve cyber security that can also be applied to other authentication services. http://www.citi.umich.edu/u/provos/ssh/privsep.html
- 22. つまりサンドボックスとは いいプロセス いい子プロセス やられる！ パイプ または, Shared memory など
- 25. つまり何故必要なのか ● 脆弱性を突かれて特権を排除して 攻撃者に好 き勝手させない ● 他のメリットに Chrome はプロセスを分割する ことによって、タブの一つがフリーズしても全 体はフリーズしない！
- 26. キャンプでやったこと
- 27. まずは Konqueror のプラグイン作 成 ● GenHash プラグイン MD5 ハッシュを計算するプラグイン ● Pi プラグイン モンテカルロ法を使用して円周率を計算する プラグイン
- 28. GenHash プラグイン ● 親プロセスがファイルを読みこむ ● 読み込んだデータをパイプで子プロセスに引き 渡す ● 子プロセスは計算するだけ！ ● そして計算結果は親プロセスにパイプで渡す
- 29. 子プロセスは計算するだけなので... ● prctlのPR_SET_NO_NEW_PRIVSを使って exeve()の禁止 ● seccomp を利用した子プロセスのシステム コールの制限 許可したシステムコール: close(), 親プロセスと の通信に使うパイプ用のread()/write() ● それ以外は禁止
- 30. Pi プラグイン ● モンテカルロ法で円周率の計算 ● ループ回数は自由にユーザーが指定できる ● 子プロセスが計算し、結果を親プロセスにパイ プで引き渡す
- 31. ループ回数が指定できてしまうので ● rlimit を使用して、子プロセスのCPU 時間を制 限
- 33. ブラウザの構成 ● 親プロセス(SandboxBrowser)が子プロセス (SandboxBrowserChildProcess)を起動する ● 子プロセスは親プロセスのtabWidgetの中に， QX11EmbedWidgetを使って埋め込む ● 子プロセスの起動はQProcessを使う. 要するに 完全に外部のプログラムを起動させる．
- 34. おこなったこと ● ブラウザの設計 / 作成 ● straceを利用してどのシステムコールが必要かの 調査 ● seccompを利用したシステムコール制限 ● rlimitによるリソース制限 ● 本当に一つの子プロセスが暴走しても大丈夫かテ ストコードの作成 ● 集大成
- 35. SandboxBadChild プロセス while(true){ if(malloc(1024 * 1024 * 64) == NULL){ break; } }
- 36. おまけ ● Qt の闇 文字入力ができない！ 救世主の Tab キー！
- 37. がしかし直った！ (キャンプ後) ● 修正はパッチを Qt に提案 (一昨日)
- 38. 謝辞
- 39. 物理的におせわになりました ● 講師の忠鉢先生 ● チューターの味噌野さん ● セキュリティ・キャンプに関わったその他の講 師、チューター、事務の方々
- 40. 非物理的におせわになりました ● Tcpdump のコード ● OpenSSH のコード ● その他のコード
- 41. オープンソースは素晴らしい！
- 43. $ man man
- 44. ありがとうございました