Vlákno názorů k článku Nové formáty balíčků Snap a Flatpak: co je spojuje a čím se liší? od Jiří Eischmann - Pár poznámek: * aplikace ve Flatpaku JSOU od sebe...
-
Pár poznámek:
* aplikace ve Flatpaku JSOU od sebe striktně odděleny. Taky neplatí, že si můžou vyzobávat, co kde jinde po systému je zabaleno ve Flatpaku. Můžou používat pouze runtimy, které se celé připojí read-only do sandboxu a aplikace je může používat. Existuje tam tedy pouze jedna závislost, na konkrétním runtimu. Ten může být využívaný více aplikacemi. Aplikace si ale nevybírá, co v systému je a co by se jí hodilo. Ta si řekne o konkrétní runtime, který na systému nijak nezávisí.
* nevím, jestli Flatpak bude používat SELinux, mám pocit, že se od toho plánu zcela upustilo kvůli portovatelnosti. Např. snapy (které používají AppArmor) s tím mají momentálně docela problémy. Na ne-Ubuntu distribucích je sandboxing zcela vypnutý, na Fedoře to dokonce vyžaduje vypnout SELinux.
* ty runtimy tam nejsou primárně kvůli úspoře místa, ale kvůli bezpečnosti. Jsou v ní umístěné nejpoužívanější a také na bezpečnost nejcitlivější komponenty. Předpokládá se, že o runtimy se budou starat větší upstreamové projekty nebo distribuce, které si bezpečnostní aktualizace lépe ohlídají.
-
Lael Ophir (neregistrovaný)
Na Linuxu vám jakákoliv aplikace může poslouchat X11 events, takže piškvorky můžou vidět co píšete do terminálu přihlášeného pod rootem. Podobně každá aplikace může posílat X11 events jakékoliv jiné, takže piškvorky můžou do terminálu přihlášeného pod rootem podvrhnout jakýkoliv vstup z klávesnice včetně "rm -rf --no-preserve-root /".
Snap ani Flatpack popsaný problém podle všeho neřeší: X11 is inherently insecure, which makes it impossible to sandbox applications that are using it.
http://flatpak.org/press/2016-06-21-flatpak-released.htmlThe security minded will observe that X11 is not in fact a secure protocol. A number of system abuses are possible when we hand an application this permission.
http://blog.labix.org/2016/04/22/snappy-interfacesAle nenechte se zmást nějakými technickými detaily. Za vás je zjevně jediný povolený komentář "Tux rulez!", diskuse je tu proto abyste si v ní mohl leštit tučňáka, a cokoliv jiného je trolling :D
-
Já už na svém pracovním a soukromém notebooku používám Wayland, takže pro mě to řeší. Myslím, že je dobře, že oba projekty jasně říkají, že pokud uživatelé používají X11, nejsou ty aplikace sandboxované. Každý už si může rozmyslet, jestli to je pro něj přijatelné riziko a bude dál používat X11, nebo přejde na Wayland. Poslední verze GNOME už běží na Waylandu pěkně. Možnost tady je.
-
Z pohledu klienta (aplikace) je rozdíl mezi Mirem a Waylandem malý. Navíc to pokryjí frameworky jako Qt nebo GTK. Co se týče Snap vs. Flatpak, tak tam je nejzásadnější, aby bylo jednotné API, přes které bude aplikace komunikovat se zbytkem systému (požádá si o přístup k souborům, webkameře,...). Před pár týdny lidi, kteří u nás pracují na Flatpaku, pozvali lidi, kteří pracují v Canonicalu na snapech, na schůzku, kde se dohodnou na jednotném API, protože by bylo dost neštastné, aby musely aplikace podporovat dvě různá rozhraní.
Nevím přesně, na čem se dohodli, ale doufám, že v tomto ta spolupráce bude pokračovat. Samotné zabalení pro oba formáty už je potom spíš prkotina. -
Lael Ophir (neregistrovaný)
Takže o User Interface Privilege Isolation jste fakt ani neslyšel? To je taková ta součást Windows Integrity Mechanism, která brání aplikaci typu piškvorek v podvržení window messages například do okna PowerShellu. Mimochodem je to technologie, kterou mají desktopové Windows minimálně deset let. Nemluvě o UWP, kde jsou věci ještě trochu jinak.
https://msdn.microsoft.com/en-us/library/bb625957.aspx
https://msdn.microsoft.com/en-us/library/bb625963.aspx -
j (neregistrovaný)
luliku, mluvis o ty picovine, kterou ma kazdej clovek kterej neche skoncit u chocholouska vypnutou? Mimochodem, procpak mi na uzivatele !!!s USER!!!! accountama blejou widle pozadavek na admin acc kdyz se nainstaluje ta vase aktualizacni sracka na odstranovani nezadaneho SW? Nebo mi vysvelli, jakej zamer pojal M$ tim, ze na terminal serveru vyskakuje na usery ze sou novy aktualizace, pripadne pozadavek na restart? Pricemz tak jako tak ani jedno ani druhy udelat nemuzou?
Jinak mluvis pocitam o ty technologii, ktera umoznuje podvrhnout widlim libovolnou systemovou knihovnu a dat do ni naprosto cokoli? nj, zkontrolvoat aspon crc jestli se odminula nezmenilo, to je hitech pristiho milenia ...
-
Lael Ophir (neregistrovaný)
Ne, mluvím o něčem jiném a linkoval jsem to. Jestli neumíte číst, neumíte anglicky nebo je na vás dokumentace TLDR, tak je to váš problém.
Ad procpak mi na uzivatele !!!s USER!!!! accountama blejou widle pozadavek na admin acc kdyz se nainstaluje ta vase aktualizacni sracka na odstranovani nezadaneho SW - user má user account, tak už to bývá. Pokud jde o neprivilegovaný account, a ten nástroj je Maliciou5 S0ftware R3moval T00l, tak ten prostě potřebuje admina, protože odstraňuje například kernelové rootkity, které pod uživatelem jaksi odstranit nelze.
Ad jakej zamer pojal M$ tim, ze na terminal serveru vyskakuje na usery ze sou novy aktualizace, pripadne pozadavek na restart? Pricemz tak jako tak ani jedno ani druhy udelat nemůžou - instalovat aktualizace defaultně můžou, na restart by default oprávnění nemají (a také je ten button neaktivní). Pokud chcete aby neprivilegovaní uživatelé nedostávali notifikace o updatech, je na to v GPO položka A110w non-administrators to r3ceive update n0tification5. Ovšem tohle všechno by měl znát i admin-samouk. Nechápu jak jste se mohl naučit hjkl vi, bash a regexy, když se neumíte naučit takové triviality.
Ad mluvis pocitam o ty technologii, ktera umoznuje podvrhnout widlim libovolnou systemovou knihovnu a dat do ni naprosto cokoli - asi ne. Která konkrétní technologie to má být? BTW na Linuxu nemůžete se správnými permissions zaměnit binárku nebo knihovnu? Aha.
-
Lael Ophir (neregistrovaný)
Ad poznate jediny program mimo UAC, ktory tieto veci vyuziva - komponenty Windows (wininit, winlogon, svchost, spooler, virtual machine management, session manager, csrss, task scheduler, fulltext indexer, desktop window manager, konzole atd.), Windows Explorer, Internet Explorer, Google Chrome, Adobe Reader, Steam a další.
Ad Takuto zhovadilost spravite i v iXkach a ani na to netreba dalsi nalepeny layer - konkrétně?
Ad Problem ale treba riesit z pohladu programu, ktory ma tie vstupy dostavat - Windows to řeší z pohledu programu, který ty podvržené vstupy naopak nemá dostávat.
-
Ehm... Nie. Skoro do kazdeho z menovaneho som uz emulovane vstupy posielal, ci uz cez autohotkey, python alebo dementny script vo visualbasicu.
X11 ma u kazdeho eventu flag oznacujuci, ci bol poslany pomocou SendEvent. Programom sa odporuca tento flag ignorovat, ale taky dialog s heslom alebo gksudo ho typicky nebere. Druha moznost, pouzivana hlavne pri zadavani hesiel, je spravit grab na celu klavesnicu.
> Windows to řeší z pohledu programu, který ty podvržené vstupy naopak nemá dostávat.
Vdaka com sice nemozem podvrnutym vstupom instalovat driver, ale celkom pokojne si z Chromu copy-pastnem hesla :)
Na druhej strane, ked uz mam k PC takyto pristup, ziskavat info cez sendkeys je dosti postavene na hlavu.
-
Lael Ophir (neregistrovaný)
Tak si zkuste spustit například cmd.exe pod administrátorem, a posílejte mu keystrokes z aplikace běžící pod neprivilegovaným účtem. Podle dokumentace vám volání projde, ale message nebude doručena. To jsem popisoval v příkladu s piškrovkami a terminálem přihlášeným pod rootem; na Linuxu je zjevně situace jiná.
Ad nemozem podvrnutym vstupom instalovat driver, ale celkom pokojne si z Chromu copy-pastnem hesla - záleží integrity mode. Browser většinou běží v low integrity mode, takže z něj můžete číst, ale on nemůže posílat messages (plus má pár dalších omezení například na FS).
Ad ked uz mam k PC takyto pristup, ziskavat info cez sendkeys je dosti postavene na hlavu - pokud se na to díváte "tradičně" způsobem že aplikace běžící v kontextu uživatele může všechno co může uživatel, tak ano. Problém je v tom, že aplikací existuje spousta, a těžko zabránit tomu aby piškvorky dělaly neplechu. Proto je potřeba nějaký druh sandboxingu, stejně jako třeba na mobilech. To řeší například UWP. U Win32 aplikací je to ale problém, protože ty byly napsány s tím starším pohledem na věc. Proto se zavádějí workaroundy jako integrity level, secure desktop (to jsou typicky UAC messages) atd. Navíc existují například nástroje pro alternativní vstup textu (řekněme když si zlomíte obě ruce a píšete na klávesnici brčkem), které mají výjimku (musí být uvedena v manifestu, vyžaduje digitální podpis kódu).
Ad X11 ma u kazdeho eventu flag oznacujuci, ci bol poslany pomocou SendEvent. Programom sa odporuca tento flag ignorovat, ale taky dialog s heslom alebo gksudo ho typicky nebere. Druha moznost, pouzivana hlavne pri zadavani hesiel, je spravit grab na celu klavesnicu - grab na klávesnici je dost špatná technika. Ve Windows můžete vyjma integrity levels také vytvořit nový izolovaný desktop (což můžete vidět na UAC prompts), nebo aplikaci vzít DESKTOP_HOOKCONTROL, takže jí nikdo nic nepodvrhne.
-
> Tak si zkuste spustit například cmd.exe pod administrátorem, a posílejte mu keystrokes z aplikace běžící pod neprivilegovaným účtem.
http://pasteboard.co/22CjZP8x.png
> záleží integrity mode. Browser většinou běží v low integrity mode, takže z něj můžete číst, ale on nemůže posílat messages (plus má pár dalších omezení například na FS).
ahoj. Toto slovo som Vam sem pripisal hore uvedenym skriptom :)
> to řeší například UWP. U Win32 aplikací je to ale problém, protože ty byly napsány s tím starším pohledem na věc.
A prave v Linuxe toto problem nieje. (s)chroot mame uz strasne dlho a sandboxovat X11 cez xpra alebo nieco podobne je sice technologicky trochu prekomplikovane, ale z pohladu uzivatela neviditelne.
S Waylandom sa to da jednoduchsie, ale za cenu restrikcii, ktore uzivatelia imho nebudu ochotny akceptovat.
-
Lael Ophir (neregistrovaný)
Ad ahoj. Toto slovo som Vam sem pripisal hore uvedenym skriptom - a já si právě na Win10 x64 zkusil, že SendMessage projde, ale messages nejsou doručeny. Mohl bych taky dát screenshot, ale uvidíte jen kód a cm.exe, což je dost nuda. Nevím proč to u vás jde. Nemáte náhodou vypnuté UAC?
Ad (s)chroot mame uz strasne dlho a sandboxovat X11 cez xpra alebo nieco podobne je sice technologicky trochu prekomplikovane, ale z pohladu uzivatela neviditelne - chroot neřeší X11. A používat lokálně X11 forwarding přes xpra je opravdu poněkud přes ruku. To snad už radši nějaký opravdový sandbox. Na Windows je možností víc, ale podle všeho by mělo stačit přebalit Win32 app pomocí Desktop App Converteru.
-
> Nevím proč to u vás jde. Nemáte náhodou vypnuté UAC?
Nie, ale som na W7. Mozno to MS odladil az neskor, alebo je skutocna chyba u Vas.
> A používat lokálně X11 forwarding přes xpra je opravdu poněkud přes ruku. To snad už radši nějaký opravdový sandbox.
Nie, to by dana aplikacia mala rovnake prava ako lokalna. Princip X11 sandboxu je cca taky, ze sa pusti X Server zvlast pre kazdu aplikaciu (skupinu) a nejaky kod len prehadzuje obrazky a eventy. Netvrdim, ze to znie pricetne, ale je to lepsie riesenie nez dufat, ze si vyvojar plesne po ruke sam a hodi to na Wayland alebo Windows.
-
xxxxx (neregistrovaný)
Ten obrázek, to mne zaujalo. Jaká tam máte privilegia u user účtu, který posílá. Nezvýšená?
Když jsem si s tím kdysi hrál a testoval, tak pod WXP (a částečně i W2K) se mi to nepovedlo. Jedině pokud byl uživatel v "Power Users" nebo "Administrator" group. Ale možná jsem dělal něco blbě, žádná práva jsem si v runtime nepovyšoval a používal "jen" čisté PostThreadMessage.
Nicméně připouštím, že jsem tehdy user účty právy ještě ponižoval, možná jsem tam něco přidal (resp. omezil navíc).
-
xxxxx (neregistrovaný)
Možná si odpovím sám. Pokud se pamatuji, netestoval jsem případ spuštěného admin úlohy pod user desktopem, ale s přepínáním uživatelů, remote desktop (+hack pro běh více uživatelů na XP najednou) a podobně. Je možné, že pod stejným desktopem (společné parent) by mi to na XP a nižších prošlo.
ČLÁNKY DO MAILU
