| Grsecurity | |
|---|---|
| Típusú | Tapasz |
| Beírva | C [1] |
| Operációs rendszer | Linux |
| Engedély | GNU GPL 2 [2] |
| Weboldal | grsecurity.net _ |
A Grsecurity egy szabadalmaztatott módosításkészlet ( patch ) a Linux kernelhez , amely számos biztonsággal kapcsolatos fejlesztést tartalmaz, beleértve a kernelmemória és a felhasználói folyamatok védelmét , a kényszerített hozzáférés-szabályozást , az objektumok helyének véletlenszerű beállítását a memóriában , a fájlhozzáférési korlátozásokat a / proc, a chroot () jail -en belüli rendszerinterfészekhez való hozzáférés korlátozása, a szerver és kliens hálózati socketek használatára vonatkozó korlátozások, valamint a folyamattevékenység és néhány egyéb funkció auditálásához szükséges kiegészítő szolgáltatások. Tipikus alkalmazási terület azok a rendszerek, amelyek potenciálisan veszélyes forrásokból képesek hálózati kapcsolatokat fogadni: például különféle hálózati szolgáltatások szerverei (például webszerverek ), vagy olyan szerverek, amelyek shell hozzáférést biztosítanak felhasználóiknak . A grsecurity javítást 2001 óta adják ki a GPL 2-es verziója alatt, és tartalmazza a PaX javításkészletet . 2017. április 26-tól a grsecurity forráskódok és a kapcsolódó javítások már nem tölthetők le, terjesztésük csak fizetős alapon történik [3] . A grsecurity megalkotója és vezető fejlesztője Brad Spengler, más néven költő.
A grsecurity javítás eredetileg nyílt forráskódú és ingyenes szoftver volt. 2015-ben a grsecurity védjegy helytelen használatával kapcsolatos vita után a javítás szerzője úgy döntött, hogy leállítja a javítás stabil verziójának kódjainak ingyenes (korlátlan) terjesztését mindenki számára [4] [5] . A grsecurity [5] tesztverziói egyetlen patch formájában, sorozatokra bontás nélkül akkoriban nyilvánosan elérhetőek maradtak.
2017. április 26. óta a grsecurity javítás (valamint a PaX) tesztverzióihoz való ingyenes hozzáférés le van zárva, valószínűleg a KSPP [6] vagy a Wind River [7] konfliktusa miatt . A legújabb nyilvános kiadás a Linux kernel 4.9-es verziójának tesztjavítása volt. Az újabb verziók csak az "Open Source Security Inc" kereskedelmi előfizetői számára érhetők el (2008 óta patch-fejlesztő, PA ) [3] [8] [6] , külön szolgáltatási szerződés [9] [10] [11] keretében .
A felvilágosításban az OSSI jelezte, hogy a javítások továbbra is a GPLv2 licenc alatt állnak, minden joggal és kötelezettséggel együtt . [12] A felhasználó és a vállalat közötti kereskedelmi megállapodás azonban tartalmaz egy olyan feltételt, amely szerint meg kell fosztani az ügyfeleket a javítás jövőbeli verzióihoz való hozzáféréstől, ha a felhasználó gyakorolja a GPL által neki biztosított jogait a grsecurity javítások használatának (telepítésének és terjesztésének) megkerülésére. a megállapodás [13] .
2017 júniusában a szabad szoftvermozgalomban való részvételéről ismert Bruce Perens nyilvánosan kifejtette véleményét, miszerint harmadik feleknek kerülniük kell a „Grsecurity” termék megvásárlását a grsecurity.net webhelyről. Rámutatott, hogy a javítás a Linux kernel kódjának származéka, és a GPL 2-es verziója vagy a kompatibilis licenc feltételei szerint kell terjeszteni, ahogy az a korábbi verziók esetében is történt. Ekkor a javítás kereskedelmi termékké vált, amelyet csak térítés ellenében terjesztenek, és a felhasználókat szokásosan figyelmeztették, hogy ha újraterjesztik a javítást (ez a jogot a GPLv2 biztosította számukra), megtagadják a hozzáférést a következő verziókhoz. a javítás, amely Bruce véleménye szerint sértheti a Nyilvános Licenc 6. szakaszát, állítólag magában hordozza a licenc felmondásának és ennek megfelelően a szerzői jogok és egyéb jogok megsértésének (kalózkodás) kockázatát. [14] [15] Perens megjegyzéseit személyes internetes blogján, a Debian projekt levelezőlistáján tették közzé ( amelynek korábban Perens volt a vezetője ) [16] , majd aktívan megvitatták a Slashdot internetes fórumon [17] .
2017. július 17-én az OSSI (egyszemélyes) bírósági eljárást kezdeményezett Bruce Perens ellen (ahogyan Spangler emlékeztetett [18] ) , más lehetőségek híján rágalmazást , valamint a cég jó hírnevének és üzleti érdekeinek esetleges jelentős sérelmét látva. cége [ 19] [20] [21] ). A cég az alábbi két állítást vitatta, hamis tényeknek tekintve:
"Határozott véleményem, hogy az Ön vállalatának kerülnie kell a grsecurity.net oldalon értékesített Grsecurity terméket, mert az hozzájáruló jogsértést és szerződésszegési kockázatot jelent." „Ügyfélként az a véleményem, hogy Önt egyrészt közreműködői jogsértésnek, másrészt szerződésszegésnek vethetik alá, ha ezt a terméket a Linux kernellel együtt alkalmaznák a Grsecurity által jelenleg alkalmazott továbbterjesztés tilalmi szabályzata értelmében.”
- [3]2017 decemberében Laurel Beeler bíró (San Francisco) úgy döntött, hogy Perens az Egyesült Államok törvényei által megengedett véleményt nyilvánított, és elutasította a rágalmazási keresetet [22] . A további pereskedés körülbelül 3 évig tartott, és több fellebbezés után a 9. sémával zárult[ ismeretlen kifejezés ] az amerikai fellebbviteli bíróságok ("Open Source Security kontra Perens" ügy [23] ) [17] .) A bíróság elutasította a Bruce elleni kereseteket, és az Open Source Security-től és Brad Spanglertől a perköltségeket összegben behajtotta. körülbelül 260-300 ezer dollár [24] [22] [25] . A bíróságok nem foglalkoztak azzal a kérdéssel, hogy megsértették-e a GPL licenc feltételeit.
A pert 2017-ben a 10 legjobb nyílt forráskódú jogi ügy közé sorolták [26] .
A grsecurity egyik fő összetevője a PaX , amely számos mechanizmust valósít meg a sebezhetőségek kihasználása ellen (például puffertúlcsorduláson keresztül ), beleértve az objektumok helyének véletlenszerűsítését a memóriában (címterület-elrendezés véletlenszerűsítése, ASLR) és a tetszőleges gépi kód végrehajtása a folyamat számára írási módban elérhető oldalakról (különösen verem ).
A PaX-et a grsecurity fejlesztőcsapat egyik tagja fejleszti.
Magát a PaX-et a grsecurity programozóinak külön csapata fejleszti.
A Kernel Linux projekt egyik társszerzője és karbantartója negatívan nyilatkozott a grsecurity patch szerzői által a programkód tekintetében alkalmazott megközelítésekről, magát a projektet dicsérve [27] [28] .
A grsecurity vállalat ellentmondásos magatartást tanúsított a közösségi médiában egy olyan felhasználóval kapcsolatban, aki 2016-ban javításként jelentett egy szoftverhibát [29] .