Imre kasutab arvutit - Viimased muudatused [et]

Linux kernel kontrollib tegevusi

Imre — Mon, 04 May 2026 10:15:40 GMT

Capabilities

←Vanem redaktsioon		Redaktsioon: 4. mai 2026, kell 13:15
(ei näidata sama kasutaja 3 vahepealset redaktsiooni)
27. rida:		27. rida:
	Väited syscall kasutamise kohta		Väited syscall kasutamise kohta

−	* kui tavakasutaja tegeleb omale kuuluva tekstifaili sisu muutmisega, siis ta esmalt sooritab open() syscalli ja seda üldiselt lubatakse kõigil kasutajatel teha, seejuures saab süsteem teada, kas kasutajal on lubatud kõnealuse failiga tegeleda ja mil viisil jne; ja edasi kasutaja ütleb read() syscall'i: read() iseenesest vajab tugevaid lube töötamiseks, aga süsteem tuletab loa protsessi omaniku/grupi kõrvutamisest faili omaniku/grupi ja loabittidega - näiliselt tundub, et read(), write() jt selliste syscallide kasutamine toimub väga liberaalselt ~~(käigult konstrueeritakse efektiivselt sobivad capacitid)~~	+	* kui tavakasutaja tegeleb omale kuuluva tekstifaili sisu muutmisega, siis ta esmalt sooritab open() syscalli ja seda üldiselt lubatakse kõigil kasutajatel teha, seejuures saab süsteem teada, kas kasutajal on lubatud kõnealuse failiga tegeleda ja mil viisil jne; ja edasi kasutaja ütleb read() syscall'i: read() iseenesest vajab tugevaid lube töötamiseks, aga süsteem tuletab loa protsessi omaniku/grupi kõrvutamisest faili omaniku/grupi ja loabittidega - näiliselt tundub, et read(), write() jt selliste syscallide kasutamine toimub väga liberaalselt
−	* kui kasutaja root käivitab tekstireadaktori asub tegelema tekstifaili sisu muutmisega, siis toimub sarnane kontroll kuid see annab väga jaatava vastuse kuna kasutaja on root (uid=0) - kernelil on kasutada loogika, et kui kasutaja on root siis see on samaväärne kõigi capacitite olemasoluga	+	* kui kasutaja root käivitab tekstireadaktori asub tegelema tekstifaili sisu muutmisega, siis toimub sarnane kontroll kuid see annab väga jaatava vastuse kuna kasutaja on root (uid=0) - kernelil on kasutada loogika, et kui kasutaja on root, siis see on samaväärne kõigi capacitite olemasoluga

	Joonis		Joonis
47. rida:		47. rida:
	* systemd - tegeleb seccomp ja capabilities rakendamisega		* systemd - tegeleb seccomp ja capabilities rakendamisega
	* apparmor - tegeleb lsm rakendamisega		* apparmor - tegeleb lsm rakendamisega
		+	* tundub, et reaalsuses see olukord ei ole väga sirgejooneline - nt apparmor sätib samuti capabilitisid (rakendub nö kõige suurem kitsendus)

	===gemini joonis===		===gemini joonis===
107. rida:		108. rida:
	* https://wiki.archlinux.org/index.php/Capabilities		* https://wiki.archlinux.org/index.php/Capabilities
	* man capabilities		* man capabilities
		+	* https://sites.google.com/site/fullycapable/Home
		+	* /etc/security/capability.conf

	===Capabilities - 2026 kevad märkmed===		===Capabilities - 2026 kevad märkmed===

Chrony

Imre — Sun, 03 May 2026 23:23:18 GMT

Misc - chrony protsess

←Vanem redaktsioon		Redaktsioon: 4. mai 2026, kell 02:23
27. rida:		27. rida:
	</pre>		</pre>

		+	seccomp leiab oma syscallid üles bfp-classic filtrite abil (neid ei esita 'bpftool prog show')
−	kus

	<pre>		<pre>

Linux kernel kontrollib tegevusi

Imre — Sun, 03 May 2026 23:21:49 GMT

seccomp

←Vanem redaktsioon		Redaktsioon: 4. mai 2026, kell 02:21
(ei näidata sama kasutaja üht vahepealset redaktsiooni)
17. rida:		17. rida:
	* privileegid (st õigus midagi teha, midagi kasutada) pole mitte niivõrd kasutajal, aga privileegid on protsessil		* privileegid (st õigus midagi teha, midagi kasutada) pole mitte niivõrd kasutajal, aga privileegid on protsessil
	* protsessi privileegid tulenevad muu hulgast kolmest asjaolust: 1. seccomp syscall tulemüür, 2. capabilities, 3. lsm		* protsessi privileegid tulenevad muu hulgast kolmest asjaolust: 1. seccomp syscall tulemüür, 2. capabilities, 3. lsm
		+	* capability'le vastab komplekt syscallisid (tavaliselt)
	* system call (syscall, 'make system call') - xxx		* system call (syscall, 'make system call') - xxx

185. rida:		186. rida:

	====Misc====		====Misc====
		+
		+	seccomp leiab kõneks olevad syscallid üles nn bpf-classic filtrite abil, antud juhul 23 tükki (neid ei esita bpftool prog show)
		+
		+	<pre>
		+	root@pve-svc-02:~# cat /proc/1436092/status \| grep Seccomp
		+	Seccomp: 2
		+	Seccomp_filters: 23
		+	</pre>

	<pre>		<pre>

Chrony

Imre — Sun, 03 May 2026 23:18:27 GMT

Misc - chrony protsess

@@ 41. rida: / 41. rida: @@
 ├─/home                                                          tmpfs[/systemd/inaccessible/dir]
 ├─/usr/lib/modules                                               tmpfs[/systemd/inaccessible/dir]
 </pre>
@@ 46. rida: / 93. rida: @@
 <pre>
-root@pve-svc-02:~# systemctl show chrony | egrep "^Prot|Priv" | grep yes$
+root@pve-svc-02:~# systemctl show chrony | egrep "^Prot|^Priv|^Capab" | egrep "restore$|yes$"
 PrivateTmp=yes
 ProtectKernelTunables=yes

Linux kernel kontrollib tegevusi

Imre — Sun, 03 May 2026 22:52:01 GMT

Tööpõhimõte

@@ 23. rida: / 23. rida: @@
 * Automatic Syscalls: Actions like mmap(), read(), or brk() are considered "safe." The kernel assumes that if you have the memory or the file handle, you can perform these actions. No special "permission" is needed beyond standard file permissions.
 * Restricted Syscalls: Actions like clock_adjtime(), reboot(), or mount() are "dangerous." Historically, the kernel had a simple rule: if (uid == 0) (Root), allow; else, deny.
 Joonis
@@ 172. rida: / 177. rida: @@
 CapAmb:	0000000000000001
 </pre>
 ===Kasulikud lisamaterjalid===

Operatsioonisüsteemi Debian GNU/Linux kasutamine

Imre — Sun, 03 May 2026 22:45:16 GMT

seccomp

@@ 3951. rida: / 3951. rida: @@
 fi
 </pre>
 ===ConsoleKit===

Linux kernel kontrollib tegevusi

Imre — Sun, 03 May 2026 22:44:47 GMT

Capabilities - 2026 kevad märkmed

@@ 69. rida: / 69. rida: @@
   [ RESOURCE ] (e.g., /dev/sda, System Clock, Network Socket)
 </pre>
 ===Capabilities - 2026 kevad märkmed===
@@ 140. rida: / 172. rida: @@
 CapAmb:	0000000000000001
 </pre>
 ===Kasulikud lisamaterjalid===

Operatsioonisüsteemi Debian GNU/Linux kasutamine

Imre — Sun, 03 May 2026 22:44:06 GMT

Capabilities - 2026 kevad märkmed

@@ 3983. rida: / 3983. rida: @@
 * https://wiki.archlinux.org/index.php/Capabilities
 * man capabilities
 ===seccomp===

Linux kernel kontrollib tegevusi

Imre — Sun, 03 May 2026 22:44:04 GMT

Kasulikud lisamaterjalid

@@ 15. rida: / 15. rida: @@
 * üldiselt tahab protsess kasutada mingit ressurssi ja seda on vaja kontrollida (nt peab süsteem otsustama, kas seda kasutamist lubada)
 Joonis
 <pre>
-   töötav protsess ->  syscall liides         -> kernel              ->    ressurss
+   töötav protsess  ->  syscall liides        -> kernel               ->    ressurss
                     ^                              ^                  ^
@@ 34. rida: / 41. rida: @@
 * systemd - tegeleb seccomp ja capabilities rakendamisega
 * apparmor - tegeleb lsm rakendamisega
 ===Kasulikud lisamaterjalid===

Linux kernel kontrollib tegevusi

Imre — Sun, 03 May 2026 22:33:24 GMT

Uus lehekülg: '===Sissejuhatus=== TODO ===Mõisted=== * seccomp * capabilities * dac/acl * lsm ===Tööpõhimõte=== Väited * üldiselt tahab protsess kasutada mingit ressurssi ja seda on vaja kontrollida (nt peab süsteem otsustama, kas seda kasutamist lubada) * system call (syscall, 'make system call') - Joonis <pre> töötav protsess -> syscall liides -> kernel -> ressurss ^ ^ ^...'

Uus lehekülg

===Sissejuhatus===

TODO

===Mõisted===

* seccomp
* capabilities
* dac/acl
* lsm

===Tööpõhimõte===

Väited

* üldiselt tahab protsess kasutada mingit ressurssi ja seda on vaja kontrollida (nt peab süsteem otsustama, kas seda kasutamist lubada)
* system call (syscall, 'make system call') -

Joonis

<pre>
töötav protsess -> syscall liides -> kernel -> ressurss

^ ^ ^
| | |
| | |

seccomp tulemüür capabilities lsm (apparmor)
dac
</pre>

kus

* systemd - tegeleb seccomp ja capabilities rakendamisega
* apparmor - tegeleb lsm rakendamisega

===Kasulikud lisamaterjalid===

* TODO

Operatsioonisüsteemid

Imre — Sun, 03 May 2026 22:26:07 GMT

←Vanem redaktsioon		Redaktsioon: 4. mai 2026, kell 01:26
97. rida:		97. rida:
	* [[Passwork]]		* [[Passwork]]
	* [[:Linux kernel namespace]]		* [[:Linux kernel namespace]]
		+	* [[:Linux kernel kontrollib tegevusi]]

	UEFI		UEFI

Chrony

Imre — Sun, 03 May 2026 18:57:04 GMT

Misc - chrony teenus

@@ 7. rida: / 7. rida: @@
 TODO
-===Misc===
+===Misc - chrony protsess===
 sources info

Chrony

Imre — Sun, 03 May 2026 17:33:08 GMT

Uus lehekülg: '===Sissejuhatus=== TODO ===Tööpõhimõte=== TODO ===Misc=== chrony sources info <pre> root@pve-svc-02:~# chronyc sources -v -n .-- Source mode '^' = server, '=' = peer, '#' = local clock. / .- Source state '*' = current best, '+' = combined, '-' = not combined, | / 'x' = may be in error, '~' = too variable, '?' = unusable. || .- xxxx [ yyyy ] +/- zzzz || Reachability register (octal) -....'

Uus lehekülg

===Sissejuhatus===

TODO

===Tööpõhimõte===

TODO

===Misc===

chrony

sources info

<pre>
root@pve-svc-02:~# chronyc sources -v -n

.-- Source mode '^' = server, '=' = peer, '#' = local clock.
/ .- Source state '*' = current best, '+' = combined, '-' = not combined,
| / 'x' = may be in error, '~' = too variable, '?' = unusable.
|| .- xxxx [ yyyy ] +/- zzzz
|| Reachability register (octal) -. | xxxx = adjusted offset,
|| Log2(Polling interval) --. | | yyyy = measured offset,
|| \ | | zzzz = estimated error.
|| | | \
MS Name/IP address Stratum Poll Reach LastRx Last sample
===============================================================================
^* 10.192.0.53 4 9 377 413 -135us[ -216us] +/- 3171us
</pre>

tracking info

<pre>
root@pve-svc-02:~# chronyc tracking
Reference ID : 0AC00035 (10.192.0.53)
Stratum : 5
Ref time (UTC) : Sun May 03 17:25:18 2026
System time : 0.000016197 seconds slow of NTP time
Last offset : -0.000080330 seconds
RMS offset : 0.000049475 seconds
Frequency : 0.712 ppm fast
Residual freq : -0.006 ppm
Skew : 0.085 ppm
Root delay : 0.006004042 seconds
Root dispersion : 0.000445185 seconds
Update interval : 517.6 seconds
Leap status : Normal
</pre>

===Kasulikud lisamaterjalid===

* TODO

Operatsioonisüsteemid

Imre — Sun, 03 May 2026 17:30:06 GMT

←Vanem redaktsioon		Redaktsioon: 3. mai 2026, kell 20:30
125. rida:		125. rida:
	* [[:NTS]]		* [[:NTS]]
	* [[:PTP]]		* [[:PTP]]
		+	* [[:Chrony]]

Proxmox Backup Server

Imre — Sat, 02 May 2026 12:42:56 GMT

2026 kevad märkused

@@ 541. rida: / 541. rida: @@
 └───────────────────────────────────┴─────────────────────┘
 </pre>
 ===Kasulikud lisamaterjalid===

Systemd kasutamine

Imre — Sat, 02 May 2026 10:12:34 GMT

Tööpõhimõte - leevendus

←Vanem redaktsioon		Redaktsioon: 2. mai 2026, kell 13:12
(ei näidata sama kasutaja 8 vahepealset redaktsiooni)
1362. rida:		1362. rida:
	copy fail eksploit kasutab ära af_alg osakonnas kerneli ümbruses toimuvaid võimalusi, privilegeerimata kaustajal on võimalik kirjutada page cache sisu mingis ulatuses üle. Nt selliselt		copy fail eksploit kasutab ära af_alg osakonnas kerneli ümbruses toimuvaid võimalusi, privilegeerimata kaustajal on võimalik kirjutada page cache sisu mingis ulatuses üle. Nt selliselt

−	* esmalt korraldatakse page cache peale mõni setuid bit sisselülitusega fail, nt 'su'	+	* esmalt korraldatakse page cache peale mõni setuid bit sisselülitusega fail, nt 'su' - nt lugedes faili tavalisel viisil satub tema sisu page cache'i
−	* siis muudetakse sisu sobivalt page cache osakonnas (st arvuti mälus)	+	* siis muudetakse sisu sobivalt page cache osakonnas (st arvuti mälus) - see on võimalik tänu eksploidi toimimisele - üldiselt on linux kerneli lubadus selline, et kui protsess (privilegeerimata protsess antud juhul) ei saa failisüsteemis faili muuta, siis ei saa ta tegeleda ka cache'itud vastava faili sisuga)
	* käivitatakse muudetud failile vastav programm, kuna fail on juba page cache peal, siis failisüsteemist seda uuesti ei loeta - setuid bit kätega minnakse root shelli		* käivitatakse muudetud failile vastav programm, kuna fail on juba page cache peal, siis failisüsteemist seda uuesti ei loeta - setuid bit kätega minnakse root shelli
	* teoreetiliselt võiks olla võimalik kas vastupidine, st mõnele pahale programmile vastavale failile pannakse külge setuid bit, aga antud juhul ei ole see kõneks - seda oleks ehk raskem teha st sobiv koht cache pealt üles otsida, ja see setuid bit on faili metaandmete koosseisu st asub inode cache peal mitte page cache, ja kõneksolev eksploit sinna ei saa sodima minna		* teoreetiliselt võiks olla võimalik kas vastupidine, st mõnele pahale programmile vastavale failile pannakse külge setuid bit, aga antud juhul ei ole see kõneks - seda oleks ehk raskem teha st sobiv koht cache pealt üles otsida, ja see setuid bit on faili metaandmete koosseisu st asub inode cache peal mitte page cache, ja kõneksolev eksploit sinna ei saa sodima minna
−	* page cache on üldiselt seotud vfs (virtual filesystem) nähtusega, st sellega mis on nö ext4 jt failisüsteemide kohal ja protsesside all	+	* page cache on üldiselt seotud vfs (virtual filesystem) nähtusega, st sellega, mis on nö ext4 jt failisüsteemide kohal ja protsesside all

	Asjaosalised kihid		Asjaosalised kihid

	<pre>		<pre>
−	arvutis töötavad protsessid (arvuti ~~mälu~~)	+	arvutis töötavad protsessid (asuvad arvuti mälus)

	\|		\|
	v		v

−	vfs (virtual file system) (arvuti ~~mälu~~)	+	vfs (virtual file system) (asub arvuti mälus)

	\|		\|
	v		v

−	page cache (arvuti ~~mälu~~)	+	page cache (asub arvuti mälus)

	\|		\|
	v		v

−	ext4 filesystem (~~plokkseade~~)	+	ext4 filesystem (asub plokkseadmel)

	\|		\|
	v		v

−	plokkseade (~~füüsiline~~ ~~ese~~)	+	plokkseade (asub nö füüsilisel esemel)
	</pre>		</pre>

1413. rida:		1413. rida:

	syscall tulemüüri tasemel välja lülitamine on paindlik - saab (peab st muul viisil ei saagi praktiliselt st globaalselt ei saa (kuigi teoreetiliselt saaks init=pid=1 protsessile ka seccomp abil kitsendusi rakendada, aga tavaliselt nii ei tehta) erinevate protsesside (protsesside komplektide) jaoks muudatust kehtestada. Seejuures saab määrata, mis keeldu ületada püüdva protsessiga edasi juhtub: 1. ta töötab edasi, 2. ta töötamine lõpetatakse		syscall tulemüüri tasemel välja lülitamine on paindlik - saab (peab st muul viisil ei saagi praktiliselt st globaalselt ei saa (kuigi teoreetiliselt saaks init=pid=1 protsessile ka seccomp abil kitsendusi rakendada, aga tavaliselt nii ei tehta) erinevate protsesside (protsesside komplektide) jaoks muudatust kehtestada. Seejuures saab määrata, mis keeldu ületada püüdva protsessiga edasi juhtub: 1. ta töötab edasi, 2. ta töötamine lõpetatakse
		+
		+	Leevenduste iseloomustus
		+
		+	* systemd (seccomp) - operatsioonisüsteemi syscall liidesel asuv nö tulemüür, mingis mõttes asub kerneli protsesside poole vaatavas osas
		+	* apparmor (lsm - linux security modules)- erinevate süsteemi võimekustele ligipääsemise takistamised (asub kerneli protsesside poole vaatavast osast teisel pool)
		+	* modprobe - kerneli funktsionaalsust realiseeriv komponent (kahe esimese puhul ei saa funktsionaalust kasutada isegi kui kernelis on see iseenest kohal)

	====Eksploit näide====		====Eksploit näide====
1552. rida:		1558. rida:
	kus		kus

−	* 'install algif_aead' element ütleb, et kui toimub algif_aead mooduli laadimise attampt, siis hoopis täita järgnev käsk - '/bin/true'	+	* 'install algif_aead' element ütleb, et kui toimub algif_aead mooduli laadimise attampt, siis hoopis täita järgnev käsk - '/bin/true' (mingi teooria kohaselt on /bin/true kasutamine sobivam kui /bin/false kuna vea saamisel võiks süsteem proovida veelkorra moodulit laadida jne)
	* selle käsu andmisel tehniliselt ollakse õnnelik iseensest kuigi sisuliselt midagi ei muutu		* selle käsu andmisel tehniliselt ollakse õnnelik iseensest kuigi sisuliselt midagi ei muutu
	* muudatus kehtestub koheselt		* muudatus kehtestub koheselt
1616. rida:		1622. rida:
	====Ubuntu====		====Ubuntu====

		+	20260501 ilmus Ubuntu operatsioonisüsteemile parandatud kmod pakett
−	TODO
		+
		+	[[Fail:20260502-ubuntu-copy-fail-01.png\|1000px]]
		+
		+	kus
		+
		+	* kmod paketis sisaldub fail etc/modprobe.d/disable-algif_aead.conf
		+
		+	<pre>
		+	root@pwrk-02:~/20260502# cat etc/modprobe.d/disable-algif_aead.conf
		+	# Disable algif_aead module due to CVE-2026-31431 (AKA copy.fail)
		+	# This will likely be re-enabled in a subsequent update once an updated
		+	# kernel has been deployed.
		+	# Blacklisting the module isn't sufficient, we need to do as below:
		+	install algif_aead /bin/false
		+	</pre>
		+
		+	* küllap parandatud tuum ilmub seejärel

	====Proxmox====		====Proxmox====

		+	20260501 on ilmunud no-subscription repodesse v. 7 tuum, seda see 'copy fail' haavatavus ei puuduta
−	TODO
		+
		+	<pre>
		+	root@pve-svc-02:~# uname -a
		+	Linux pve-svc-02 7.0.0-3-pve #1 SMP PREEMPT_DYNAMIC PMX 7.0.0-3 (2026-04-21T22:56Z) x86_64 GNU/Linux
		+	</pre>

	====Kasulikud lisamaterjalid====		====Kasulikud lisamaterjalid====

Fail:20260502-ubuntu-copy-fail-01.png

Imre — Sat, 02 May 2026 09:55:29 GMT

Imre laadis üles faili Fail:20260502-ubuntu-copy-fail-01.png

Uus lehekülg

Systemd kasutamine

Imre — Sat, 02 May 2026 09:52:20 GMT

Debian

←Vanem redaktsioon		Redaktsioon: 2. mai 2026, kell 12:52
(ei näidata sama kasutaja 2 vahepealset redaktsiooni)
1601. rida:		1601. rida:
	* docker		* docker
	* containerd		* containerd
−
⚫	====Ubuntu====
−
⚫	TODO

	====Debian====		====Debian====

	20260501 ilmus Debian operatsioonisüsteemile parandatud tuum		20260501 ilmus Debian operatsioonisüsteemile parandatud tuum
		+
		+	[[Fail:20260502-debian-copy-fail-01.png\|1000px]]

	kus		kus

		+	* https://www.debian.org/security/
−	* TODO
		+	* https://security-tracker.debian.org/tracker/source-package/linux
		+	* muudatusi saab otsida globaalse CVE nime abil (nt CVE-2026-31431)
		+
		⚫	====Ubuntu====
		+
		⚫	TODO

	====Proxmox====		====Proxmox====

Fail:20260502-debian-copy-fail-01.png

Imre — Sat, 02 May 2026 09:49:45 GMT

Imre laadis üles faili Fail:20260502-debian-copy-fail-01.png

Uus lehekülg

Systemd kasutamine

Imre — Sat, 02 May 2026 09:44:36 GMT

Kasulikud lisamaterjalid

←Vanem redaktsioon		Redaktsioon: 2. mai 2026, kell 12:44
(ei näidata sama kasutaja 2 vahepealset redaktsiooni)
1419. rida:		1419. rida:

	<pre>		<pre>
−	# cat /home/tmp/cf.py	+	$ cat /home/tmp/cf.py
	#!/usr/bin/env python3		#!/usr/bin/env python3
	import os as g,zlib,socket as s		import os as g,zlib,socket as s
1431. rida:		1431. rida:
	g.system("su")		g.system("su")

−	# chmod 0755 /home/tmp/cf.py	+	$ chmod 0755 /home/tmp/cf.py
	</pre>		</pre>

1534. rida:		1534. rida:
	OSError: [Errno 97] Address family not supported by protocol		OSError: [Errno 97] Address family not supported by protocol
	</pre>		</pre>
		+
		+	====Leevendus - apparmor profile====
		+
		+	TODO

	====Leevendus - modprobe====		====Leevendus - modprobe====
1597. rida:		1601. rida:
	* docker		* docker
	* containerd		* containerd
		+
		+	====Ubuntu====
		+
		+	TODO
		+
		+	====Debian====
		+
		+	20260501 ilmus Debian operatsioonisüsteemile parandatud tuum
		+
		+	kus
		+
		+	* TODO
		+
		+	====Proxmox====
		+
		+	TODO

	====Kasulikud lisamaterjalid====		====Kasulikud lisamaterjalid====

Autentimine ja autoriseerimine

Imre — Fri, 01 May 2026 15:37:39 GMT

←Vanem redaktsioon		Redaktsioon: 1. mai 2026, kell 18:37
(ei näidata sama kasutaja üht vahepealset redaktsiooni)
49. rida:		49. rida:
	* [[:Yubikey]]		* [[:Yubikey]]
	* [[:Authentik]]		* [[:Authentik]]
		+	* [[:Let's Encrypt kasutamine]]
		+	* [[:Authelia]]