Linearer Modus

**oreissig** · 07.09.2014 13:59

(07.09.2014 13:32)oreissig schrieb: "more efficient use of physical memory" mag sein, da wärs mal interessant zu sehen wie viel das wirklich ausmacht. wenns jetzt irgendwie 50mb spart kann ich da auch drauf verzichten.

um gleich mal den punkt der embedded-fraktion zu entkräften: nein, darum gehts mir nicht. in embedded systems macht man eh keine softwareverwaltung, da wird einfach das komplette OS-image neu geflasht und gut. bei einer fritzbox updatet man das OpenSSL nicht einzeln.
damit wird software-verwaltung zu etwas, was einmal seitens des Herstellers gemacht wird (und der da auch ruhig hirnschmalz und arbeit reinstecken darf, damit das alles optimal zusammenpasst) und ist nix, was draußen beim Nutzer mit diversesten Systemkonfigurationen reibungslos laufen muss.

CHRiSNEW · 07.09.2014 14:10

(07.09.2014 13:44)gandro schrieb: Nachtrag: Same-Frame-Merging ist nicht standardmässig aktiv. Gibt da da auch Security-Bedenken, da es Sidechannel-Attacken erlaubt (man kann durch Timing-Attacken ziemlich zuverlässig rausfinden, ob bestimmte andere Binaries im RAM sind).

Hast du da ein Paper zu?

gandro · 07.09.2014 14:35

(07.09.2014 14:10)CHRiSNEW schrieb:
(07.09.2014 13:44)gandro schrieb: Nachtrag: Same-Frame-Merging ist nicht standardmässig aktiv. Gibt da da auch Security-Bedenken, da es Sidechannel-Attacken erlaubt (man kann durch Timing-Attacken ziemlich zuverlässig rausfinden, ob bestimmte andere Binaries im RAM sind).

Hast du da ein Paper zu?

https://staff.aist.go.jp/c.artho/papers/...suzaki.pdf

Sie haben vom aus einem VM-Guest heraus via Copy-on-Write ziemlich zuverlässig herausfinden können, ob im anderen VM-Gast ein Apache oder Firefox-Binary geladen war.

CHRiSNEW · 08.09.2014 09:11

(07.09.2014 14:35)gandro schrieb:
(07.09.2014 14:10)CHRiSNEW schrieb:
(07.09.2014 13:44)gandro schrieb: Nachtrag: Same-Frame-Merging ist nicht standardmässig aktiv. Gibt da da auch Security-Bedenken, da es Sidechannel-Attacken erlaubt (man kann durch Timing-Attacken ziemlich zuverlässig rausfinden, ob bestimmte andere Binaries im RAM sind).

Hast du da ein Paper zu?
https://staff.aist.go.jp/c.artho/papers/...suzaki.pdf

Sie haben vom aus einem VM-Guest heraus via Copy-on-Write ziemlich zuverlässig herausfinden können, ob im anderen VM-Gast ein Apache oder Firefox-Binary geladen war.

Danke! Schon krass.

**oreissig** · 08.09.2014 13:28

wobei der anwendungsfall jetzt für ne installation ohne virtualisierung wurst ist, da kann das programm auch einfach ps ausführen um rauszufinden, welche executables geladen sind...

thosch97 · 08.09.2014 13:32

(08.09.2014 13:28)oreissig schrieb: wobei der anwendungsfall jetzt für ne installation ohne virtualisierung wurst ist, da kann das programm auch einfach ps ausführen um rauszufinden, welche executables geladen sind...

Offenbar nicht:

Code:

[0 running job(s)] {history#1455} 14:32:14 2014-09-08

qsuscs@sculptor ~ 

% pstree

?───tmux─┬─zsh───htop

         └─3*[zsh]

[0 running job(s)] {history#1456} 14:32:15 2014-09-08

qsuscs@sculptor ~ 

% ps aux 

USER       PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND

qsuscs    1412  0.0  0.0 137152  2152 pts/10   Ss   Jul23   0:08 zsh

qsuscs    3398  0.5  0.0 113320  2256 pts/10   S+   Aug05 270:11 htop

qsuscs    8118  0.0  0.0   3944   292 ?        S    Jun05   0:00 multilog t s999999 n20 !/usr/bin/xz /home/qsuscs/var/log/git-daemon

qsuscs   10270  0.0  0.0   3932   296 ?        S    Jun05   0:02 supervise git-daemon

qsuscs   10271  0.0  0.0   3932   296 ?        S    Jun05   0:00 supervise log

qsuscs   13011  0.0  0.0 137232  2268 pts/13   Ss+  Jul28   0:02 zsh

qsuscs   14720  0.0  0.0  28228  3432 ?        Ss   Jul21  30:03 tmux

qsuscs   14721  0.0  0.0 140068  2992 pts/8    Ss+  Jul21   0:05 zsh

qsuscs   15976  0.0  0.0 161124 11928 ?        S    08:00   0:00 /package/host/localhost/php-5.4.11/bin/php-cgi

qsuscs   21306  0.0  0.0   4104   364 ?        S    Jun05   4:08 /command/svscan /home/qsuscs/service

qsuscs   28273  0.0  0.0 139412  2412 pts/14   Ss+  Jul27   0:01 zsh

qsuscs   29089  4.4  0.0 141900  3876 pts/15   Ss   14:32   0:00 -zsh

qsuscs   30677  0.0  0.0 110240  1084 pts/15   R+   14:32   0:00 ps aux

qsuscs   32726  0.0  0.0  16312   592 ?        S    Jul27   0:00 /home/qsuscs/bin/git daemon --port=63913 --base-path=/home/qsuscs/git --listen=95.143.172.183 --listen=2001:1a50:11:0:5f:8f:acb7:d8 --verbose

qsuscs   32729  0.0  0.0  15348   732 ?        S    Jul27   0:00 git-daemon --port=63913 --base-path=/home/qsuscs/git --listen=95.143.172.183 --listen=2001:1a50:11:0:5f:8f:acb7:d8 --verbose /home/qsuscs/git

Da sind definitiv noch andere Prozesse am laufen, die seh ich aber nicht.

gandro · 08.09.2014 13:41

(08.09.2014 13:28)oreissig schrieb: wobei der anwendungsfall jetzt für ne installation ohne virtualisierung wurst ist, da kann das programm auch einfach ps ausführen um rauszufinden, welche executables geladen sind...

In dem Paper präsentieren sie auch nen Experiment wo sie auch eine über HTTPS heruntergeladene Datei erkennen können.

Prozess-Erkennung war das einfachste, weil sich das Mapping der Binaries auf Pages relativ deterministisch verhält, der Angriff lässt sich aber auch für andere Informations-Leaks nutzen. Theoretisch lassen sich Anwendungen knacken die darauf basieren dass Daten im nur im virtuellen Addressraum der Applikation lesbar sind, jedoch nicht von anderen Prozessen aus.

Nachtrag: Rein von der Angriffsidee her könnte ich mir sogar ein Experiment vorstellen wo man so eine Attacke via Javascript ausführt. In der Praxis vermutlich schwierig zu kontrollieren, aber wäre Prozess-Probing dann wieder ein ernsthaftes Problem.

**oreissig** · 23.11.2014 23:33

das NixOS klingt zwar in der tat gut, aber ist wieder so ein obskures Nieschending wie PC-BSD, wo es eben nich die große breite Palette an aktueller Software gibt. Ist also auch keine fertige Lösung für den Desktopnutzer.

Je länger ich mich in Docker einlese, umso besser klingt das eigentlich. Ist zwar weder eine Lösung für den Endanwender noch eine Lösung für den Desktop, aber um serverkrams deployt zu bekommen ist das der heilige Gral. Isoliert, versioniert, reproduzierbar, leichtgewichtig und distributionsunabhängig. "Mein Service will Debian" fein dann kriegt er ein debian-userland, "dieser enterprise-foo läuft nur auf Redhat", okay nehm ich das von CentOS. So stell ich mir Linux-Software vor.

25.11.2014 13:36

Etwas, was ich jetzt auf der Arbeit lieben gelernt habe, ist Alt+Verschieben bzw Alt+Resize im Xorg. Wenn es doch nur was in der Art unter Windows gäbe, was auch wirklich funktioniert... Alt ist nämlich schon doppelt und dreifach belegt.

RHEL 7 oder was es ist, läuft hier. Darauf verwende ich Cadence und Matlab.