TOMOYO Linux 1.8.5 / AKARI 1.0.35 が公開されました。

公開されたのは１０周年記念である２０１５年１１月１１日です。

今年はずっとOOM killer との死闘を繰り広げていました。
簡単にまとめると、

1. Linux カーネルのメモリアロケータは経験則に基づくヒューリスティックの塊。
2. そのため、カーネル開発者が想定していなかった負荷が掛かった場合、 OOM killer が発動しないまま無限ループに陥る状況が簡単に発生する。
3. つまり、 OOM killer が発動できたら、それはラッキーである証拠。 OOM killer が発動できなかったら、諦めるしかない。
4. そして、無限ループに陥っている可能性を知らせる機能は存在しない。そのため、何が発生しているのかを観測できず、メモリ管理に起因した問題として修正することもできない。
5. その結果、「システムがハングアップしたらメモリ管理を疑え！？」という諺が誕生しても不思議ではない。
6. Linux 4.6 に向けて、 OOM 状態の検知と OOM killer の改善に本腰を入れようとしている。しかし、バックポートについては全然考慮されていないため、既存システムへの適用は絶望的である。

という状況です。 Linux の利用者も、トラブル対応を行うサポートセンタの人たちも、解けないパズルで悩むことが無いように、 RHEL 7.2 のリリースまでに決着をつけたかったのですが、来年へと持ち越しとなりました。

環境変数 TZ の謎

とあるプログラムのパフォーマンス測定をしていたら、 localtime() 関数の処理で予想外に時間がかかっていることが判明しました。

そこで、 localtime() 、 localtime_r() 、 gmtime() の３つについて、どれくらいの時間がかかっているのかを簡単に計測してみました。

$ gcc -Wall -O3 -x c - << "EOF" #include <stdio.h> #include <time.h> int main(int argc, char *argv[]) { int i; time_t now = time(NULL); struct tm tm0 = { }; struct tm *tm; if (argc == 3) for (i = 0; i < 100000000; i++) tm = gmtime(&now); else if (argc == 2) for (i = 0; i < 100000000; i++) tm = localtime_r(&now, &tm0); else for (i = 0; i < 100000000; i++) tm = localtime(&now); printf("%04u/%02u/%02u %02u:%02u:%02u\n", tm->tm_year + 1900, tm->tm_mon + 1, tm->tm_mday, tm->tm_hour, tm->tm_min, tm->tm_sec); return 0; } EOF

localtime()	localtime_r()	gmtime()
$ time ./a.out	$ time ./a.out 1	$ time ./a.out 1 2

仮想化環境での簡単な計測なのであまり正確ではありませんが、確実に localtime() 関数は gmtime() 関数と比べて遅いようです。

localtime()	localtime_r()	gmtime()
real 2m6.615s user 0m51.170s sys 1m15.550s	real 0m38.278s user 0m38.309s sys 0m0.000s	real 0m3.995s user 0m3.994s sys 0m0.002s

この原因は、 localtime() 関数は呼び出しの度に、 /etc/localtime の内容が変化していないかどうかを確認するために stat() システムコールを発行しているためです。

CentOS 7 では /etc/localtime が ../usr/share/zoneinfo/Asia/Tokyo へのシンボリックリンクとなっているため、 stat() システムコールでの無駄を減らすために、 /etc/localtime を /usr/share/zoneinfo/Asia/Tokyo のコピーに置き換えて実験してみました。シンボリックリンクを辿らないで済む効果はあるようです。

localtime()	localtime_r()	gmtime()
real 1m22.785s user 0m52.446s sys 0m30.407s	real 0m37.940s user 0m37.970s sys 0m0.000s	real 0m3.951s user 0m3.954s sys 0m0.000s

次に、環境変数 TZ で zoneinfo ファイルの場所を指定（ export TZ=:Asia/Tokyo ）して実験してみました。すると、 stat() システムコールが発行されなくなくなった分、 localtime() 関数が速くなりました。

localtime()	localtime_r()	gmtime()
real 0m39.887s user 0m39.919s sys 0m0.002s	real 0m37.597s user 0m37.629s sys 0m0.000s	real 0m3.970s user 0m3.971s sys 0m0.002s

次に、環境変数 TZ でタイムゾーン情報を指定（ export TZ=JST-9 ）して実験してみました。すると、 localtime_r() 関数が gmtime() 関数と同じレベルまで速くなりました。

localtime()	localtime_r()	gmtime()
real 0m8.735s user 0m8.740s sys 0m0.003s	real 0m6.733s user 0m6.738s sys 0m0.000s	real 0m6.647s user 0m6.651s sys 0m0.001s

でも、ちょっと不思議なことが起きてますよね？何故か、 gmtime() 関数は環境変数 TZ にタイムゾーン情報が指定されていると遅くなってしまうようです。

SECCON 2015 オンライン CTF での Command-Line Quiz について

telnet でログインしたらシェルが与えられるのに、自由にファイルを読むことができない不思議なシェル環境、あの問題は CaitSith の機能を用いて実現しました。

CaitSith login: root Password: $ id uid=10000 gid=10000 groups=10000 $ ls -l drwxr-xr-x 2 root 0 1880 Dec 5 05:18 bin drwxr-xr-x 3 root 0 180 Dec 5 05:02 dev drwxr-xr-x 2 root 0 100 Dec 5 05:02 etc -rw-r--r-- 1 600 0 87 Dec 5 04:48 flags.txt -rwx------ 1 root 0 13750 Dec 5 05:01 init drwxr-xr-x 2 root 0 80 Dec 5 05:02 lib -rwxr-xr-x 313 root 0 831112 Feb 19 2015 linuxrc dr-xr-xr-x 73 root 0 0 Dec 5 05:18 proc drwxr-xr-x 2 root 0 1180 Dec 5 05:18 sbin -rw-r--r-- 1 100 0 262 Dec 5 04:48 stage1.txt -rw-r--r-- 1 200 0 265 Dec 5 04:48 stage2.txt -rw-r--r-- 1 300 0 270 Dec 5 04:48 stage3.txt -rw-r--r-- 1 400 0 247 Dec 5 04:48 stage4.txt -rw-r--r-- 1 500 0 280 Dec 5 04:48 stage5.txt drwxrwxrwt 2 10000 10000 60 Dec 15 13:57 tmp drwxr-xr-x 4 root 0 80 Dec 5 05:02 usr $ cat *.txt cat: can't open 'flags.txt': Operation not permitted What command do you use when you want to read only top lines of a text file? Set your answer to environment variable named stage1 and execute a shell. $ stage1=$your_answer_here sh If your answer is what I meant, you will be able to access stage2.txt file. cat: can't open 'stage2.txt': Operation not permitted cat: can't open 'stage3.txt': Operation not permitted cat: can't open 'stage4.txt': Operation not permitted cat: can't open 'stage5.txt': Operation not permitted $ stage1=head sh $ cat *.txt cat: can't open 'flags.txt': Operation not permitted cat: can't open 'stage1.txt': Operation not permitted What command do you use when you want to read only bottom lines of a text file? Set your answer to environment variable named stage2 and execute a shell. $ stage2=$your_answer_here sh If your answer is what I meant, you will be able to access stage3.txt file. cat: can't open 'stage3.txt': Operation not permitted cat: can't open 'stage4.txt': Operation not permitted cat: can't open 'stage5.txt': Operation not permitted $ stage2=tail sh $ cat *.txt cat: can't open 'flags.txt': Operation not permitted cat: can't open 'stage1.txt': Operation not permitted cat: can't open 'stage2.txt': Operation not permitted What command do you use when you want to pick up lines that match specific patterns? Set your answer to environment variable named stage3 and execute a shell. $ stage3=$your_answer_here sh If your answer is what I meant, you will be able to access stage4.txt file. cat: can't open 'stage4.txt': Operation not permitted cat: can't open 'stage5.txt': Operation not permitted $ stage3=grep sh $ cat *.txt cat: can't open 'flags.txt': Operation not permitted cat: can't open 'stage1.txt': Operation not permitted cat: can't open 'stage2.txt': Operation not permitted cat: can't open 'stage3.txt': Operation not permitted What command do you use when you want to process a text file? Set your answer to environment variable named stage4 and execute a shell. $ stage4=$your_answer_here sh If your answer is what I meant, you will be able to access stage5.txt file. cat: can't open 'stage5.txt': Operation not permitted $ stage4=awk sh $ cat *.txt cat: can't open 'flags.txt': Operation not permitted cat: can't open 'stage1.txt': Operation not permitted cat: can't open 'stage2.txt': Operation not permitted cat: can't open 'stage3.txt': Operation not permitted cat: can't open 'stage4.txt': Operation not permitted OK. You reached the final stage. The flag word is in flags.txt file. flags.txt can be read by only one specific program which is available in this server. The program for reading flags.txt is one of commands you can use for processing a text file. Please find it. Good luck. ;-) $ sed "" flags.txt OK. You have read all .txt files. The flag word is shown below. SECCON{CaitSith@AQUA} $

シェルを起動するたびに読めるファイルが変化したり、環境変数の内容に応じてアクセスの可否が決まったりというのは、 TOMOYO / AKARI / CaitSith ならではのアクセス制限です。どのようなルールを使っていたのかを、ここで紹介します。

POLICY_VERSION=20120401 10 acl execute task.uid!=0 task.domain="<kernel>" 10 allow transition="stage1" 20 deny 10 acl execute task.domain="stage1" 10 allow envp["stage1"]="head" transition="stage2" 20 allow 10 acl execute task.domain="stage2" 10 allow envp["stage2"]="tail" transition="stage3" 20 allow 10 acl execute task.domain="stage3" 10 allow envp["stage3"]="grep" transition="stage4" 20 allow 10 acl execute task.domain="stage4" 10 allow envp["stage4"]="awk" transition="stage5" 20 allow 10 acl read path.uid=100 10 allow task.domain="stage1" 20 deny 10 acl read path.uid=200 10 allow task.domain="stage2" 20 deny 10 acl read path.uid=300 10 allow task.domain="stage3" 20 deny 10 acl read path.uid=400 10 allow task.domain="stage4" 20 deny 10 acl read path.uid=500 10 allow task.domain="stage5" 20 deny 10 acl read path.uid=600 10 allow task.exe="/bin/sed" task.domain="stage5" 20 deny 10 acl inet_stream_connect task.uid!=0 10 deny 10 acl inet_stream_listen 10 allow port=23 20 deny 10 acl inet_dgram_send task.uid!=0 10 allow port=53 ip=133.242.0.3 10 allow port=53 ip=133.242.0.4 20 deny

最初の規則は、一般ユーザ（ＵＩＤが０ではないプロセス）かつドメインが <kernel> であるプロセスからプログラムが実行された場合、 stage1 ドメインへ遷移するという指定です。これは、 root ユーザとしてログイン後、ログインシェルから一般ユーザのユーザＩＤが割り当てられて、シェルが開始されることにより stage1 ドメインに遷移するという動作に対応します。

次の規則は、ドメインが stage1 であるプロセスからプログラムが実行された場合、環境変数 stage1 の値が head であれば stage2 ドメインに遷移し、それ以外の場合には、ドメインを遷移せずにプログラムを実行するという指定です。これは、 stage1.txt の回答が head であれば stage2 へ進むことができ、そうでなければ stage2 へは進めないという動作に対応します。普通のアクセス制御では許可する場合を列挙したら残りは全て拒否するものですが、ここでは意図的に全てを許可するように指定しています。これにより、正解でも不正解でもシェルが実行できるため、総当たり攻撃による突破を困難にしています。

以下同様に、ドメインが stage2 であるプロセスからプログラムが実行された場合、環境変数 stage2 の値が tail であれば stage3 ドメインに遷移、ドメインが stage3 であるプロセスからプログラムが実行された場合、環境変数 stage3 の値が grep であれば stage4 ドメインに遷移、ドメインが stage4 であるプロセスからプログラムが実行された場合、環境変数 stage4 の値が awk であれば stage5 ドメインに遷移するという指定を行っています。

次に、それぞれのドメインでどのファイルを読めるかについての指定を行います。パス名ベースのアクセス制御の弱点である、パス名が変化するとアクセスの可否も変化してしまうという問題を回避するため、ファイルの所有者ＩＤをキーとして許可を与えるようにしています。この方法なら、細かくリネームやハードリンクなどの作成を制限する必要がありません。パス名以外をキーに指定できる CaitSith の利点が生かせる指定です。

具体的には、所有者ＩＤが１００のファイルは、ドメインが stage1 であるプロセスからのみ読み出すことができるという指定を行っています。以下同様に、所有者ＩＤが２００のファイルはドメインが stage2 であるプロセスからのみ、所有者ＩＤが３００のファイルはドメインが stage3 であるプロセスからのみ、所有者ＩＤが４００のファイルはドメインが stage4 であるプロセスからのみ、所有者ＩＤが５００のファイルはドメインが stage5 であるプロセスからのみ読み出すことができるという指定を行っています。これらは、それぞれのステージで stage1.txt から stage5.txt までの何れか１個だけを読み出すことができるという動作に対応します。

所有者ＩＤが６００である flags.txt を読み出す許可だけは、少し異なる方法で指定しています。具体的には、プロセスのドメインが stage5 で、かつ、実行中のプログラムのパス名が /bin/sed である場合のみ読み出すことができるという指定を行っています。

その他、他のサーバへの攻撃に使われないようにするために、ネットワークの制限も行っています。具体的には、ユーザＩＤが０ではないプロセスは外向きのＴＣＰ接続を全面的に禁止しています。また、内向きのＴＣＰ接続はポート２３のみを許可しています。ユーザＩＤが０ではないプロセスは、外向きのＵＤＰ接続として、ＤＮＳサーバである 133.242.0.3 および 133.242.0.4 のポート５３のみを許可しています。

以上が、今回の出題で使われたルールです。もっと複雑なルールを指定することもできますが、エスパー問題化を回避するために、簡単なルールを指定しながら、ヒントも与えるようにしています。ヒントを削ってしまうと、攻略不可能なケロちゃんチェック問題になってしまいますからねぇ。

勝手にＱ＆Ａ：

• 何故 root ユーザでログインしているのにシェルのプロンプトが一般ユーザ用なの？→他の挑戦者への妨害を防ぐために、セッション毎に異なるユーザＩＤや /tmp ディレクトリを割り当てていたためです。

• シェルログインさせておいて、スパムメールの発射台にされないの？→上述した通り、ネットワーク制限が掛かっているので発射台にはできないでしょう。

• ハードディスクが見つからなかったのですが？→すべてオンメモリで動作しています。 initramfs 内の busybox により一通りの機能は提供されていました。そのため、 /init と、セッション隔離を行うためのログインシェルである /bin/loginshell 、それらが依存している ld-linux.so.2 と libc.so.6 だけを initramfs に追加し、 CaitSith のポリシーも含めて全て vmlinuz 内に埋め込みました。 vmlinuz ファイル１個だけで動作するので、 PXE で使うのも簡単です。

• vmlinuz ファイル１個だけで動作する Linux 環境ってどうやって作るの？→今年のセキュリティ・キャンプの事前学習資料で扱っています。この資料で説明されている内容を参考に、ＮＩＣドライバなど幾つかの機能を追加すればネットワーク接続もできるカーネルができあがります。

• 何故 ssh ログインじゃないの？→準備時間が足りませんでした。（笑）