[心得] grsec + arch 設定+使用經驗

看板Linux作者Bellkna (柔弱氣質偽少女)時間10年前 (2015/08/23 21:58)推噓0(0推 0噓 25→)

留言25則, 3人參與討論串1/1

數個月前翻 arch wiki 時 https://wiki.archlinux.org/index.php/Kernels 發現了這東東 https://wiki.archlinux.org/index.php/Grsecurity 之前用 centos 時因為 selinux 就吃了不少苦頭所以才跳 debian 比較熟悉 linux 後才改用 arch 所以想再來挑戰一下加固核心(這樣翻譯不知道恰不恰當就是) 用了幾個月後來分享一下使用感想其實也找不到太多相關的中文資料連 wiki 都只有英日文身為一個被 arch 慣壞的懶惰人安裝 grsec kernel 是很簡單的一件事 # pacman -S linux-grsec 安裝完後記得要 grub-mkconfig -o /boot/grub/grub.cfg (我是用 grub 啦用其它的我沒用過XD) https://wiki.archlinux.org/index.php/Enhance_system_stability#Install_the_linux-lts_package 這篇中提到為了系統安全性建議安授 lts 版的 kernel 以備不時之需剛用 grsec 時官方 repo 並沒有 lts 這個月初看 wiki 時發現官方 repo 也提供了 lts 所以還是建議安裝一下 # pacman -S linux-grsec-lts (一樣裝完記得 grub-mkconfig) 其實裝好 grsec-lts 後很快就用到了因為這個月初 grsec + btrfs 就讓我的 arch 開不了機了囧開機卡在 btrfs 一樣的 kernel 在 vm 上就很正常(vm 上的只有 ext4) 而且 https://grsecurity.net/ 官網上 4.1.* 系列的其實是還在 test 被嚇到後(arch 那台主要是當備份機+影片機) 目前那台都用 linux-grsec-lts 開機 vm 上的 arch 才用 linux-grsec 開機核心安裝好後再來要安裝 paxd # pacman -S paxd 裝好後可以用下面的檔案來設定例外不然 pax 會讓你有的程式不能跑 (fx,tb,veracrypt,kdevelop之類) # vi /etc/paxd.conf 下面是給使用者用的例外原則 (只能對 user 權限部份設定需要 root 權限的還是要用上面的) $ systemctl --user enable paxd.service (記得 enable 完後要 start) 使用者的例外設定 $vi ~/.config/paxd.conf 這邊以另外裝的 firefox esr 來做說明(user權限) 下面兩行加入上面的檔案中 pem /opt/portable/firefox/firefox em /opt/portable/firefox/plugin-container 這樣子就設好例外了前面的 pem,em 則是參考 /etc/paxd.conf 裡的 firefox 做設定題外話 vbox 和 vmware 我也還沒找到只設 paxd.conf 就能跑的方法目前找到的方法都只能重編譯核心關掉某些功能個人是覺得這和用回一般核心沒什麼兩樣就是有用這2個軟體的話個人建議還是用一般核心就好其實還有 gradm 可以裝來玩不過我是覺得多人使用環境才比較需要所以這個我就只有裝好後開學習模試測試一下而已 # pacman -S gradm 想裝來玩看看的可以裝看看裝好後 # gradm -F -L /etc/grsec/learning.log 開啟學習模式學習模式把常用指令使用一陣子後再打開 gradm 規則它就會針對不常用的指令做限制 (這邊我就沒研究了畢竟光 grsec+pax 就限制很多了) 接下來是 pax 的相關工具 # pacman -S pax-utils paxtest 我只有用 paxtest 測試一下而已 https://wiki.archlinux.org/index.php/PaX 照 wiki 上寫的就裝來玩看看 pax-utils 的部份還在摸索中因為我的分享資料夾是用 mount 掛戴的(使用 user 權限) 所以我修改了 mount 的權限部份 # vi /etc/sysctl.d/05-grsecurity.conf 取消註解 "kernel.grsecurity.chroot_deny_mount = 1" 把 "1" 改成 "0" 如果都用 root 掛戴的這邊倒是不需要變更最後在 paxd.conf 的部份設定過的檔案似乎在 paxd.conf 刪去後還是會在例外清單中只有移除or重裝才會阻擋不知道是不是我少改了什麼用了一陣子後的一點心得不過老實說個人使用來說和一般的核心差不多只是有一點一定感覺的到效能略為降低和有些程式得設例外才能執行 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.33.123.103 ※ 文章網址: https://www.ptt.cc/bbs/Linux/M.1440338284.A.D0A.html

→

Bellkna

08/23 22:03, , 1^F

08/23 22:03, 1^F

→