Безопасность

Цель проекта.
Политика полного разглашения.
Процесс аудита исходного кода.
"Безопасность по Умолчанию".
Использование криптографии.

Наблюдение за изменениями.
Доклад о проблемах безопасности.
Дополнительно.

Список проблем безопасности.

Цель

Полное разглашение

Информация, касающаяся безопасности распространяется очень быстро в кругах взломщиков, однако, с нашим опытом, написание и выпуск исправления занимает около часа работы. Таким образом, мы считаем, что полное разглашение проблем поможет людям, которые действительно беспокоятся о безопасности.

Процесс аудита

Некоторые члены из нашей аудит команды работали в Secure Networks, компания занималась созданием Ballista - пакет программ для проверки сетей на безопасность. (Secure Networks бала куплена Network Associates, Ballista переименована в Cybercop Scanner.) Эта компания проводила множество исследований в области безопасности и таким образом хорошо соответствует позиции OpenBSD.

Другой аспект нашего процесса аудита - про-активность. Во многих случаях мы обнаруживаем, что определение уязвимостей неактуально. В ходе постоянного процесса аудита мы находим множество ошибок, стараемся их исправить, даже если уязвимость не доказана. Мы исправляем одни ошибки и продолжаем искать другие, чтобы исправить и их. Мы устранили множество простых и очевидных ошибок невнимательного программирования и только по прошествии нескольких месяцев обнаружили, что они действительно опасны. (Или, более вероятно, что кто-то на BUGTRAQ опубликует, что другие операционные системы уязвимы к `недавно обнаруженной проблеме`, и тогда выяснится, что в OpenBSD эта ошибка уже была исправлена ещё в прошлом релизе). В других случаях, мы застрахованы от реализации множества пошаговых атак лишь потому, что мы исправили один из промежуточных шагов.

Награда

Наиболее интенсивная часть аудита происходила перед релизом OpenBSD 2.0, а так же в течение перехода с 2.0 -> 2.1, в конце 1996 и первой половины 1997. Тысячи (да, именно тысячи) проблем безопасности были быстро устранены в течение этого почти годового периода; ошибки подобно стандартным переполнением буфера, слабостям реализации протокола, сбору информации, и гонкам файловых систем. Большинство проблем безопасности, с которыми мы столкнулись, были устранены перед релизом 2.1, и затем, намного меньше исправлений необходимо было в следующем релизе 2.2. Мы больше не находим так много ошибок, это простой факт их исчезновения. Однако недавно найденные и исправленные проблемы безопасности, имеют тенденцию быть значительно более сложными или неясными. Тем не менее, мы будем проводить аудит по ряду причин:

• Иногда мы находим простые ошибки, которые мы пропустили ранее.
• Безопасность чем-то походит на гонку вооружений; лучшие нападающие продолжат искать более сложный путь для реализации атаки, также будем и мы.
• Нахождение и исправление едва заметных недостатков в сложной программе имеет много интересного.

"Безопасность по Умолчанию"

Это совершенный контраст со все возрастающим числом систем, которые поставляются с NFS, mountd, web-серверами и другими запущенными по умолчанию службами, в первые же минуты после инсталляции создающими для своих пользователей проблемы безопасности.

Криптография

Наблюдение за изменениями

Таким образом, здесь обычно незначительная часть всех исправлений из текущего исходного кода OpenBSD. Мы гарантируем, что другие проблемы имеют минимальное воздействие на безопасность и непригодны для реализации атаки. Если, мы обнаружим, что проблема определённо имеет значение для безопасности, исправление появится здесь очень быстро.

Люди действительно заинтересованные в безопасности, могут:

• Если вы понимаете проблемы безопасности, наблюдаете за списком рассылки изменений в исходных текстах и не спускаете глаз с вещей, которые связаны с безопасностью. А так как, пригодность для реализации атаки для многих исправлений не доказана, не ожидайте, что в commit сообщении будет сказано "SECURITY FIX!". Если проблема доказана и серьёзна, исправление появится здесь очень быстро.
• В дополнение к изменениям в исходных текстах, вы можете наблюдать за списком рассылки объявлений, касающихся безопасности, который уведомит вас о каждой проблеме безопасности, которую группа OpenBSD определила как возможную угрозу, и сообщит вам о том, как исправить проблему.
• Использовать текущее дерево исходных текстов и время от времени пересобирать полную систему (тщательно прочитайте /usr/src/Makefile). Пользователи могут быть уверены, что текущее исходное дерево всегда имеет более улучшенную безопасность, чем предыдущие релизы. Однако, строить вашу собственную систему из исходного текста не тривиально; это почти 600МБ исходного текста, и обычно возникают проблемы при переходе между главными релизами.
• Устанавливать бинарный снапшот для вашей архитектуры, которые создаются довольно часто. Например, i386 снапшот обычно создаётся еженедельно.

Доклад о проблемах

Дополнительно

• A Future-Adaptable Password Scheme.
  Usenix 1999, Niels Provos, David Mazieres.
  статья и слайды.

• Cryptography in OpenBSD: An Overview.
  Usenix 1999, Theo de Raadt, Niklas Hallqvist, Artur Grabowski, Angelos D. Keromytis, Niels Provos.
  статья и слайды.

• strlcpy and strlcat -- consistent, safe, string copy and concatenation.
  Usenix 1999, Todd C. Miller, Theo de Raadt.
  статья и слайды.

• Dealing with Public Ethernet Jacks-Switches, Gateways, and Authentication.
  LISA 1999, Bob Beck.
  статья и слайды.

• Encrypting Virtual Memory
  Usenix Security 2000, Niels Provos.
  статья и слайды.