БагБаунти с АстраЛинус или то, что нужно знать о защищённости защищённой ОС
habr.com/ru/articles/782112/
-----------------
Кому лень читать цитаты:
----------
"… возвращаюсь к анализу ЗПС. Хочу реализовать исполнение неподписанного ELF-файла, т.к. на тот момент казалось, что эта задача выглядит более чем достойно.
Начинаю разбираться как же реализован этот механизм и через некоторое время выясняю следующее:
ЗПС реализован в ядре
ЗПС реализован на базе проекта digsig
Свежие исходники проекта digsig мне найти не удалось. Как оказалось, его развитие прекратилось 19 (!) лет назад. ..."
"… для исполнения неподписанного ELF-файла на защищённой ОС СпецНазначения Astra Linux SE требовалось выполнить в консоли 3 команды! ..."
Выводы :
"… Реализованные мной недопустимые события показали, что базовые механизмы защиты ОС СН Astra Linux SE содержат дефекты, эксплуатация которых может привести к трагическим последствиям, ведь данная ОС является сертифицированной, а значит примеряется в тех местах, где вопросам защиты информации и информационной безопасности отводится важнейшая роль.
Особо стоит отметить механизм ЗПС, который фактически был заимствован из публичных источников (проект digsig) и не претерпел существенных изменений, по крайней мере в части защищённости, аж с 2006 года (!!!111).
То есть ещё раз. Базовый механизм защиты — замкнутая программная среда — взят из Интернета в 2006 году и с того времени функционально не изменился и более того, кажется что аудит безопасности данного компонента вовсе не проводился! Хотя, может и проводился, кто его знает...
Также, усугубляет ситуацию и тот факт, что практически все проведённые атаки являются по сути своей простейшими и не требуют для их проведения каких-либо сложных манипуляций (три команды на баше, чтобы выполнить ELF-файл). ..."
Ну и вишенка на торте про сертификаты справки за бабло ФСТЭК:
«Успешно прошла комплекс испытаний в системе сертификации СЗИ ФСТЭК России по первому, высочайшему, уровню доверия.»
----
РЕД ОС примерно тоже самое. Кому надо более менее безопасную ОС для себя или своей компании — есть только ALT
Линукс или китайские дистрибутивы. Как оказалось сертификаты ФСТЭК — фуфло.