Grsecurity

Перейти к навигацииПерейти к поиску
Grsecurity
Типпатч
Написана наСи[1]
Операционная система Linux
Репозиторийgrsecurity.net/download.…
ЛицензияGNU GPL 2[2]
Сайтgrsecurity.net (англ.)

Grsecurity — проприетарный набор модификаций (патч) для ядра Linux, который включает в себя некоторые улучшения, связанные с безопасностью, включая защиту памяти ядра и пользовательских процессов, принудительный контроль доступа, рандомизацию расположения объектов в памяти, ограничения доступа к файлам в /proc, ограничения доступа к системным интерфейсам внутри chroot() jail, ограничения на использование серверных и клиентских сетевых сокетов, а также дополнительные возможности аудита активности процессов и некоторые другие функции. Типичной областью применения являются системы, которые могут принимать сетевые подключения из потенциально опасных источников: такие как серверы различных сетевых служб (например, веб-серверы) или серверы, предоставляющие своим пользователям shell-доступ. Патч grsecurity с 2001 года выпускался на условиях лицензии GPL версии 2, и включает в себя набор патчей PaX. С 26 апреля 2017 года исходные коды grsecurity и связанных патчей больше не доступны для скачивания, а их распространение производится только на платной основе[3]. Создатель и ведущий разработчик grsecurity — Brad Spengler, также известный под псевдонимом spender.

Лицензирование и судебные споры

Изначально патч grsecurity являлся общедоступным и свободным ПО. В 2015 году, после споров о некорректном использовании торговой марки grsecurity автор патча решил прекратить свободное (неограниченное) распространение кодов стабильной версии патча для всех желающих[4][5]. Тестовые версии grsecurity[5] в виде единого патча без разбивки на серии на тот момент оставались общедоступными.

С 26 апреля 2017 года был закрыт свободный доступ к тестовым версиям патча grsecurity (а также PaX), вероятно из-за конфликта с KSPP[6] или Wind River[7]. Последней общедоступной версией стал тестовый патч для ядра Linux 4.9 версии. Более новые версии становятся доступными лишь для коммерческих подписчиков компании "Open Source Security Inc" (разработчик патча с 2008 года, штат Пенсильвания)[3][6][8], в рамках отдельного соглашения о предоставлении услуг[9][10][11].

В разъяснениях компания OSSI указала, что на патчи продолжает действовать лицензия GPLv2 со всеми правами и обязанностями. [12] Однако коммерческое соглашение между пользователем и корпорацией содержит условие о лишении клиентов доступа к будущим версиям патча в случае, если пользователь применяет права, данные ему GPL для использования (установки и распространения) патчей grsecurity в обход соглашения[13].

В июне 2017 года Брюс Перенс, известный своим участием в движении СПО, публично высказал свое мнение о том, что третьим лицам следует избегать покупки продукта "Grsecurity" на сайте grsecurity.net. Он указал что патч является производным продуктом от кода ядра Linux и должен распространяться на условиях лицензии GPL версии 2 или совместимой, как это происходило с прошлыми версиями. На тот момент патч стал коммерческим продуктом, распространяемым лишь за плату и, по соглашению, пользователи предупреждаются что если они будут распространять патч (право, данное им GPLv2), то они будут лишены доступа к последующим версиям патча, что, по суждению Брюса, якобы может нарушать Секцию 6 Публичной Лицензии, якобы несет риски прекращения действия лицензии и соответственно нарушения Авторских и Иных прав (пиратства).[14][15] Высказывание Перенса было опубликовано в его личном Интернет-блоге, в почтовой рассылке проекта Debian (главой которого Перенс ранее являлся)[16], а затем активно обсуждалось на Интернет-форуме Slashdot[17].

17 июля 2017 года компания OSSI (состоящая из одного сотрудника) инициировала против Брюса Перенса судебное разбирательство (как вспоминал Спенглер[18], из-за отсутствия иных вариантов, увидев в его высказывании диффамацию и потенциальный значительный ущерб репутации и бизнес-интересам своей компании[19][20][21]). Компания оспаривала следующие два высказывания, считая их ложными фактами:

“It’s my strong opinion that your company should avoid the Grsecurity product sold at grsecurity.net because it presents a contributory infringement and breach of contract risk.” “As a customer, it’s my opinion that you would be subject to both contributory infringement and breach of contract by employing this product in conjunction with the Linux kernel under the no-redistribution policy currently employed by Grsecurity.”

— [3]

В декабре 2017 года магистрат-судья Laurel Beeler (Сан-Франциско) постановил что Перенс высказал мнение, допускаемое законами США, и отверг заявление о диффимации[22]. Дальнейшие судебные споры продолжались около 3 лет и, после нескольких апелляций завершились в 9-й схеме[неизвестный термин] апелляционных судов США (дело "Open Source Security v. Perens"[23])[17].) Суд отклонил претензии к Брюсу и взыскал с Open Source Security и Брэда Спенглера судебные расходы в размере около 260-300 тысяч долларов[22][24][25]. Вопросы о том, нарушаются ли условия лицензии GPL, судами не рассматривался.

Судебный спор назван одним из 10 важнейших юридических дел в области открытого ПО в 2017 году[26].

PaX

Одним из основных компонентов grsecurity является PaX, реализующий несколько механизмов защиты от эксплуатации уязвимостей (например, через переполнение буфера), включая рандомизацию расположения объектов в памяти (address space layout randomization, ASLR) и ограничения на выполнение произвольного машинного кода со страниц, доступных процессу в режиме записи (в частности, стека).

PaX разрабатывается одним из членов команды разработчиков grsecurity.[]

PaX сам по себе разрабатывается отдельной от grsecurity командой программистов.[]

Критика

Один из соавторов и мейнтейнеров проекта Ядро Линукс негативно высказывался о подходах, практикуемых авторами патча grsecurity в части программного кода, низко оценив сам проект[27][28].

Корпорация grsecurity была замечена в неоднозначном поведении в социальных сетях в отношении пользователя, сообщившего о программном недочете в патче в 2016 году[29].

Примечания

  1. ↑ The grsecurity Open Source Project on Open Hub: Languages Page — 2006.
  2. ↑ Grsecurity (англ.)
  3. ↑ 1 2 grsecurity - Passing the Baton. grsecurity.net. Дата обращения: 26 мая 2020. Архивировано 19 мая 2020 года.
  4. ↑ Gold, Jon Grsecurity will stop issuing patches citing trademark abuse (англ.). Network World (28 августа 2015). Дата обращения: 28 мая 2020. Архивировано 8 ноября 2020 года.
  5. ↑ 1 2 Hardened Linux stalwarts Grsecurity pull the pin after legal fight (англ.). theregister.co.uk (27 августа 2015). Дата обращения: 28 мая 2020. Архивировано 2 октября 2018 года.
  6. ↑ 1 2 Grsecurity прекращает бесплатное распространение своих патчей. opennet.ru (26 апреля 2017). Дата обращения: 25 мая 2020. Архивировано 23 сентября 2020 года.
  7. ↑ Linux kernel security gurus Grsecurity oust freeloaders from castle (англ.). theregister.co.uk (26 апреля 2017). Дата обращения: 28 мая 2020. Архивировано 10 июля 2019 года.
  8. ↑ Jonathan Corbet. Grsecurity goes private [LWN.net] (англ.). lwn.net (4 мая 2017). Дата обращения: 26 мая 2020. Архивировано 1 апреля 2020 года.
  9. ↑ grsecurity - Access Agreement FAQ. grsecurity.net. Дата обращения: 26 мая 2020. Архивировано 1 декабря 2020 года.
  10. ↑ Допсоглашение по данным Б.Перенса, версия опубликована им в июне 2017 года Архивная копия от 24 апреля 2021 на Wayback Machine  (англ.)
  11. ↑ Уязвимости в лицензиях СПО, Андрей Савченко, 2018: "Патчи Grsecurity ... распространение кода и бинарных сборок ограничивается дополнительным договором подписки ... базовые свободы распространения и модификации СПО нарушаются". Дата обращения: 28 мая 2020. Архивировано 1 сентября 2019 года.
  12. ↑ https://grsecurity.net/agree/agreement_faq Архивная копия от 1 декабря 2020 на Wayback Machine "You may use, copy, modify, and distribute any Linux kernel modified by combination with grsecurity patches under the terms of GPLv2."
  13. ↑ https://grsecurity.net/agree/agreement_faq Архивная копия от 1 декабря 2020 на Wayback Machine "We reserve the right to revoke access to future updates of grsecurity patches and changelogs at any time for any reason. Our reasons for termination may include: ... Distribution or installation of grsecurity patches in violation of the terms of the access agreement"
  14. ↑ Warning: Grsecurity: Potential contributory infringement and breach of contract risk for customers Архивная копия от 19 мая 2020 на Wayback Machine, 2017-06-28  (англ.) "Grsecurity’s Stable Patch Access Agreement adds a term to the GPL prohibiting distribution or creating a penalty for distribution. GPL section 6 specifically prohibits any addition of terms."
  15. ↑ Grsecurity возможно нарушает лицензию GPL в своих попытках остановить перенос кода в ядро Linux. opennet.ru (10 июля 2017). Дата обращения: 28 мая 2020. Архивировано 30 марта 2020 года.
  16. ↑ debian-user: Re: Why does no one care that Brad Spengler of GRSecurity is blatantly violating the intention of the rightsholders to the Linux Kernel? Архивная копия от 26 апреля 2022 на Wayback Machine, 2017-07
  17. ↑ 1 2 Bruce Perens Wins Victory for Free Speech. 2020-02-25. Дата обращения: 26 мая 2020. Архивировано 29 июня 2020 года.
  18. ↑ Varghese, Sam iTWire - Linux kernel patch maker says court case was only way out (англ.). itwire.com (10 февраля 2020). Дата обращения: 28 мая 2020. Архивировано 14 мая 2020 года.
  19. ↑ Grsecurity Vendor Sues Open Source Pioneer Bruce Perens in GPLv2 Disagreement. 25 Aug 2017. Дата обращения: 26 мая 2020. Архивировано 5 августа 2020 года.
  20. ↑ Thomas Claburn. Linux kernel hardeners Grsecurity sue open source's Bruce Perens (англ.). www.theregister.co.uk (3 августа 2017). Дата обращения: 28 мая 2020. Архивировано 30 марта 2020 года.
  21. ↑ nebularia. Разработчики Grsecurity упоролись окончательно. Авторитетный форум об опен-сурс движении "linux.org.ru" (4 августа 2017). Дата обращения: 28 мая 2020. Архивировано 30 января 2021 года.
  22. ↑ 1 2 Grsecurity maker finally coughs up $300k to foot open-source pioneer Bruce Perens' legal bill in row over GPL Архивная копия от 27 мая 2020 на Wayback Machine / The Register  (англ.)
  23. ↑ D.C. No. 3:17-cv-04002-LB Архивная копия от 11 мая 2021 на Wayback Machine [1] [2]
  24. ↑ Суд взыскал 259 тысяч долларов с компании, разрабатывающей Grsecurity 10.06.2018. Дата обращения: 26 мая 2020. Архивировано 30 марта 2020 года.
  25. ↑ Суд предписал OSS выплатить 300 тысяч долларов Брюсу Перенсу по итогам разбирательства с Grsecurity. opennet.ru (28 марта 2020). Дата обращения: 28 мая 2020. Архивировано 3 апреля 2020 года.
  26. ↑ Richard Fontana (Red Hat). Top 10 open source legal stories that shook 2017 (англ.). Opensource.com (27 февраля 2018). Дата обращения: 28 мая 2020. Архивировано 27 сентября 2020 года.
  27. ↑ Linus Torvalds slams 'pure garbage' from 'clowns' at Grsecurity (англ.). theregister.co.uk (26 июня 2017). Дата обращения: 28 мая 2020. Архивировано 17 февраля 2020 года.
  28. ↑ Re: More CONFIG_VMAP_STACK vulnerabilities, refcount_t UAF, and an ignored Secure Boot bypass / rootkit method. Дата обращения: 28 мая 2020. Архивировано 25 апреля 2021 года.
  29. ↑ Мария Нефёдова. Разработчики Grsecurity забанили исследователя, который нашел баг в свежем патче — «Хакер». xakep.ru (28 апреля 2016). Дата обращения: 28 мая 2020. Архивировано 17 февраля 2020 года.

См. также

Литература

Ссылки