Vähän väliä eri ohjelmista paljastuu haavoittuvuuksia jotka mahdollistavat hyökkääjän oman ohjelmakoodin ajamisen oikein muotoillun datan avulla. Data onkin ohjelmakoodia ja jollain tempulla kone saadaan tulkitsemaan se sellaisena.
Jos amatööriohjelmoija tekee c ohjelmointikielellä minkä tahansa pienen ohjelman joka ottaa dataa, onko jo se jonkinlainen haavoittuvuus jos oletetaan että sen pitäisi ottaa dataa ulkopuolisilta? Mikä on yksinkertaisin ohjelma joka on altis sellaiselle?
Jos kapasiteetin kanssa ei ole tiukkaa tietyn ohjelman kanssa, ehkä jonkinlainen yleispaikka joka lisää tietoturvaa edes jonkin verran, olisi käyttää hyvin alkeellista kryptausta yhden tavun mittaisella salausavaimella joka XOR-kääntää datan tavujen 8 bittiä taulukkoon varastoinnin ajaksi?
Jos edes avain ei saa olla satunnainen/salainen, niin datan voi muuntaa siten että yhtä tavua kuvataan aina 2 tavulla, kun käännös 1 tavusta 2 tavuun on suunniteltu siten että mikään 2 tavun yksiköistä koostuva jono ei ole ohjelmakoodia. Tämä vaatii tehon lisäksi tuplasti enemmän muistia, joten ei sovellu ohjelmiin jotka vaatii liikaa kapasiteettia.
Lisäksi, eikö sellaisessa hyökkäyksessä ainakin joissain tapauksissa pidä pystyä ennustamaan kuinka paljon haavoittuva ohjelma vie muistia jotta tietäisi täsmälleen mihin muistipaikkaan pitää hypätä? Ratkaisu olisi käyttää satunnaista dataa sisältävää taulukkoa jonka koko on satunnainen (sopivalta väliltä) ja jota ei koskaan lueta?
Raskaampi vaihtoehto olisi tehdä linux kernelistä sellainen muunnos että ajettavissa tiedostoissa kaikki mielivaltaiset standardit mitkä ovat käyttöjärjestelmäkohtaisia ovat satunnaisia siten että ne täytyy arpoa käyttöjärjestelmän asennuksen yhteydessä ja tiivistää yhteen avaimeen eli yhteen bittijonoon. Sitten aina uusia ohjelmistoja asentaessa ne pitää muuntaa sen avaimen avulla sellaisiksi että kyseinen asennus ymmärtää ne ajettaviksi tiedostoiksi.
http://keskustelu.suomi24.fi/node/11168662
Hyökkäykset datalla
5
155
Vastaukset
- K p
Puppugeneraattori.
- sql-injektori
Noh, data täytyy vaan tutkia onko se sellaista että voi käyttää vai onko siinä haavoittuvuuksia hyödyntävää koodia. Jos dataa on tarkoitus esim. lähettää tietokantaan niin emme halua että siinä on insert- tai update lauseen katkaisu ja suoritettavaa SQL -koodia tyyliin DELETE FROM ASIAKAS
- hhhhhhhhhhsdf
Aloittaja taisi yrittää viitata ns. puskuriylivuotoihin. Tässäkin tietty datan validointi on tärkeää mutta ongelma voi olla myös syvemmällä kuten käytetyissä työvälineissä. Käytetyt kirjastot voivat sisältää hyökkäykselle altista koodia ja sitä vastaan voi olla vaikea suojautua
- Näin
Pidä NAT strict kohdassa ja asenna !AVAST niin johan loppui. Tietoruvauhat
- Enkooderi
SELinux, GRSecurity / PaX tms. hoitaa kaiken tuon kaatamalla koko paskan jos ohjelmassa on iso virhe :-) Ja jos on pieni virhe niin pelkkä ohjelma tapetaan sen yrittäessä epämääräisiä toimintoja. Lähes kaikki on satunnaistettu kernelin toimesta.
MS viritelmän kernelin pitäisi kai tuo myös pystyä hoitamaan jotenkin edes vähäisen-osittaisesti mutta en sitten tiedä kuinka hyvin?
Sitten on prossan siäisiä lippuja kuten Execute Disable bitti joka estää koodin lähettämisen edelleen suoritettavaksi tai koodia ei suoriteta muistialueelta jolle on asetettu em. bitti.
Ketjusta on poistettu 0 sääntöjenvastaista viestiä.
Luetuimmat keskustelut
Aivosyöpää sairastava Olga Temonen TV:ssä - Viimeinen Perjantai-keskusteluohjelma ulos
Näyttelijä-yrittäjä Olga Temonen sairastaa neljännen asteen glioomaa eli aivosyöpää, jota ei ole mahdollista leikata. Hä802809Pelotelkaa niin paljon kuin sielu sietää.
Mutta ei mene perille asti. Miksi Venäjä hyökkäisi Suomeen? No, tottahan se tietenkin on jos Suomi joka ei ole edes soda2951626Mikä saa ihmisen tekemään tällaista?
Onko se huomatuksi tulemisen tarve tosiaan niin iso tarve, että nuoruuttaan ja tietämättömyyttään pilataan loppuelämä?2461527- 871371
IL - VARUSMIEHIÄ lähetetään jatkossa NATO-tehtäviin ulkomaille!
Suomen puolustuksen uudet linjaukset: Varusmiehiä suunnitellaan Nato-tehtäviin Puolustusministeri Antti Häkkänen esittel4011349Nyt kun Pride on ohi 3.0
Edelliset kaksi ketjua tuli täyteen. Pidetään siis edelleen tämä asia esillä. Raamattu opettaa johdonmukaisesti, että3961273Esko Eerikäinen tatuoi kasvoihinsa rakkaan nimen - Kärkäs kommentti "Ritvasta" lävähti somessa
Ohhoh! Esko Eerikäinen on ottanut uuden tatuoinnin. Kyseessä ei ole mikä tahansa kuva minne tahansa, vaan Eerikäisen tat381027Kiitos nainen
Kuitenkin. Olet sitten ajanmerkkinä. Tuskin enää sinua näen ja huomasitko, että olit siinä viimeisen kerran samassa paik2999Hyväksytkö sinä sen että päättäjämme ei rakenna rauhaa Venäjän kanssa?
Vielä kun sota ehkäpä voitaisiin välttää rauhanponnisteluilla niin millä verukkeella voidaan sanoa että on hyvä asia kun329854Miksi Purra-graffiti ei nyt olekkaan naisvihaa?
"Pohtikaapa reaktiota, jos vastaava graffiti olisi tehty Sanna Marinista", kysyy Tere Sammallahti. Helsingin Suvilahden254832