From 46011b1a8570ff15604228cf82dd6424d3d5d252 Mon Sep 17 00:00:00 2001
From: Sergey Matveev <stargrave@stargrave.org>
Date: Fri, 12 Mar 2021 08:42:49 +0300
Subject: [PATCH] =?utf8?q?OpenBSD=20=D0=BD=D0=B5=D0=B4=D0=BE=D1=81=D1=82?=
 =?utf8?q?=D0=B0=D1=82=D0=BA=D0=B8=20=D0=B1=D0=B5=D0=B7=D0=BE=D0=BF=D0=B0?=
 =?utf8?q?=D1=81=D0=BD=D0=BE=D1=81=D1=82=D0=B8.=20=D0=A2=D0=B0=D0=BA=20?=
 =?utf8?q?=D0=BB=D0=B8=20=D0=BE=D0=BD=D0=B0=20=D1=85=D0=BE=D1=80=D0=BE?=
 =?utf8?q?=D1=88=D0=B0=3F?=
MIME-Version: 1.0
Content-Type: text/plain; charset=utf8
Content-Transfer-Encoding: 8bit

https://madaidans-insecurities.github.io/openbsd.html
https://allthatiswrong.wordpress.com/2010/01/20/the-insecurity-of-openbsd/
https://grsecurity.net/~spender/exploits/exp_moosecox.c
https://networkfilter.blogspot.com/2014/12/security-openbsd-vs-freebsd.html
OpenBSD Ð½Ð°ÑÐµÐ»ÐµÐ½Ð° Ð½Ð° "low level exploit mitigation" Ð² Ð¿ÐµÑÐ²ÑÑ Ð¾ÑÐµÑÐµÐ´Ñ. Ð
ÑÐµÐ³Ð¾Ð´Ð½Ñ Ð¼ÐµÐ½Ñ Ð¾ÑÐµÐ½Ð¸Ð»Ð¾ ÑÑÐ¾ Ð²ÐµÐ´Ñ Ð² Ð½ÐµÐ¹ Ð½ÐµÑ ÑÐ°ÐºÐ¾Ð¹ ÑÑÑÐºÐ¸ ÐºÐ°Ðº Mandatory Access
Control Ð² Ð¿ÑÐ¸Ð½ÑÐ¸Ð¿Ðµ, Ð½Ð¸ Ð² ÐºÐ°ÐºÐ¾Ð¼ Ð²Ð¸Ð´Ðµ. Ð FreeBSD ÑÐ¾ ÑÐ¶Ðµ Ð´Ð°Ð²Ð½Ð¾ MAC:
https://docs.freebsd.org/en_US.ISO8859-1/books/handbook/mac.html

Ð¡Ð¾Ð³Ð»Ð°ÑÐµÐ½ ÑÑÐ¾ Ð¾Ð½Ð¾ Ð¸Ð·Ð»Ð¸ÑÐ½Ðµ, Ð½Ðµ Ð½ÑÐ¶Ð½Ð¾ Ð¸ Ð±ÐµÑÐ¿Ð¾Ð»ÐµÐ·Ð½Ð¾ ÐµÑÐ»Ð¸ ÑÐ¾ÑÑ Ð½Ð°Ð¿Ð¸ÑÐ°Ð½ Ñ
privsep-in-mind Ð¸, Ð±Ð¾Ð»ÐµÐµ ÑÐ¾Ð³Ð¾, Ð¸ÑÐ¿Ð¾Ð»ÑÐ·ÑÐµÑ Ð²ÑÑÐºÐ¸Ðµ pledge/unveil Ð¸ Ð¿ÑÐ¾ÑÐµÐµ.
ÐÐ¾ Ð° ÑÑÐ¾ Ð´ÐµÐ»Ð°ÑÑ Ñ ÑÐ¾ÑÑÐ¾Ð¼ ÐºÐ¾ÑÐ¾ÑÑÐ¹ ÑÐ°Ðº Ð½Ðµ Ð½Ð°Ð¿Ð¸ÑÐ°Ð½? ÐÐ°ÑÐºÐ¾Ð»ÑÐºÐ¾ Ð¿Ð¾Ð½Ð¸Ð¼Ð°Ñ,
Ð¿ÑÐµÐ´Ð»Ð¾Ð¶ÐµÐ½Ð¸Ðµ OpenBSD ÑÑÐ¾ Ð¿ÐµÑÐµÐ¿Ð¸ÑÐ°ÑÑ ÐµÐ³Ð¾, Ð¼Ð¾Ð» Ð¸ÑÐ¿ÑÐ°Ð²Ð¸ÑÑ. ÐÐ¾ Ð½ÐµÑ, Ð½Ðµ
ÑÐ¾Ð³Ð»Ð°ÑÑÑÑ ÑÑÐ¾ ÑÑÐ¾ Ð³Ð¾Ð´Ð½Ð¾Ðµ ÑÐµÑÐµÐ½Ð¸Ðµ. Ð¯ ÑÐ¾Ð¶Ðµ Ð¼Ð¾Ð³Ñ Ð´Ð¾Ð²ÐµÑÑÑÑ Ð¸ ÑÑÐ¸ÑÐ°ÑÑ ÑÑÐ¾ Ñ
Ð¼ÐµÐ½Ñ Ð² ÑÐµÑÐ¸ Ð½ÐµÑ ÑÐ¾ÑÑÐ° ÐºÐ¾ÑÐ¾ÑÑÐ¹ Ð±Ñ ÑÑÐ¾-ÑÐ¾ Ð¿Ð¾ ÑÐµÑÐ¸ Ð½Ð° Ð¾Ð¿ÑÐµÐ´ÐµÐ»ÑÐ½Ð½ÑÐ¼ Ð°Ð´ÑÐµÑÐ°Ð¼
Ð½Ð¸ÑÐµÐ³Ð¾ Ð±Ñ Ð½Ðµ ÑÐ°ÑÑÑÐ»Ð°Ð», Ð½Ð¾ ÑÑÐ¾ Ð½Ðµ Ð¾Ð·Ð½Ð°ÑÐ°ÐµÑ ÑÑÐ¾ Ð»ÑÑÑÐµ "Ð¿ÐµÑÐµÐ±Ð·Ð´ÐµÑÑ" Ð¸ Ð²ÑÑ
ÑÐ°Ð²Ð½Ð¾ Ð´Ð¾Ð±Ð°Ð²Ð¸ÑÑ Ð¿ÑÐ°Ð²Ð¸Ð»Ð¾ firewall-Ð°. ÐÐ¾Ñ Ð¸ Ñ MAC-Ð¾Ð¼ Ð°Ð½Ð°Ð»Ð¾Ð³Ð¸ÑÐ½Ð¾: Ð´Ð¾Ð²ÐµÑÐ¸Ðµ
Ð´Ð¾Ð²ÐµÑÐ¸ÐµÐ¼, Ð½Ð¾ Ð»ÑÑÑÐµ Ð¿ÐµÑÐµÑÑÑÐ°ÑÐ¾Ð²Ð°ÑÑÑÑ. pledge/unveil ÑÐ¾ÑÐ¾ÑÐ¸ Ð¸ Ð¿Ð¾Ð»ÐµÐ·Ð½Ñ, Ð½Ð¾
ÑÑÐ¾ Ð½Ðµ Ð·Ð°Ð¼ÐµÐ½Ð° MAC. Ð­ÑÐ¾ ÑÐ¾ÑÐ½Ð¾ ÑÐ°ÐºÐ¾Ð¹ Ð¶Ðµ Ð°ÑÐ³ÑÐ¼ÐµÐ½Ñ ÐºÐ°Ðº "Ñ Ð¿ÑÐ¾Ð²ÐµÑÐ¸Ð» ÑÑÐ¾Ñ Ð¡Ð¸
ÐºÐ¾Ð´ Ð¸ Ð¾Ð½ Ð½Ðµ Ð¸Ð¼ÐµÐµÑ Ð¿ÑÐ¾Ð±Ð»ÐµÐ¼ Ð¸ Ð´ÑÑ, Ð¿Ð¾ÑÑÐ¾Ð¼Ñ Ð¸ exploit mitigation-Ñ Ð½Ðµ Ð½ÑÐ¶Ð½Ñ".

Ð¡Ð°Ð¼Ð¾ ÑÐ¾Ð±Ð¾Ð¹ MAC (ÐºÐ°Ðº Ð¸ SELinux/AppArmor) ÑÑÐ¾ ÑÑÑÐºÐ° Ð½Ðµ Ð´Ð»Ñ Ð¾Ð±ÑÑÐ½Ð¾Ð³Ð¾
Ð¸ÑÐ¿Ð¾Ð»ÑÐ·Ð¾Ð²Ð°Ð½Ð¸Ñ ÐºÐ¾Ð¼Ð¿ÑÑÑÐµÑÐ° Ð¿Ð¾Ð»ÑÐ·Ð¾Ð²Ð°ÑÐµÐ»ÐµÐ¼. Ð ÑÑÐ¾ Ð¿ÑÐ°Ð²Ð´Ð° ÑÑÐ¾ Ð¸Ñ 99.99%
Ð¿Ð¾Ð»ÑÐ·Ð¾Ð²Ð°ÑÐµÐ»ÐµÐ¹ ÑÑÐ°Ð·Ñ Ð¶Ðµ Ð¾ÑÐºÐ»ÑÑÐ°ÑÑ. ÐÐ¾ ÐºÐ¾Ð³Ð´Ð° Ð³Ð¾ÑÐ¾Ð²Ð¸ÑÑÑ Ð³Ð¾ÑÐ¾Ð²Ð¾Ðµ ÑÐµÑÐµÐ½Ð¸Ðµ,
Ð·Ð°ÑÐ¾ÑÐµÐ½Ð½Ð¾Ðµ Ð¿Ð¾Ð´ ÑÑÑÐºÑÑ Ð·Ð°Ð´Ð°ÑÑ, ÑÐ¾ MAC Ð°ÐºÑÑÐ°Ð»ÐµÐ½.

HardenedBSD "has many mitigations OpenBSD does not such as CFI,
SafeStack, SEGVGUARD, a proper W^X implementation"
(5916b1b5c4827dccf0a7ced477a8e7d6de45908f). Ð­ÑÐ¾ Ð² Ð´Ð¾Ð²ÐµÑÐ¾Ðº Ðº ÑÐ¾Ð¼Ñ, ÑÑÐ¾
HardenedBSD Ð¸Ð¼ÐµÐµÑ Ð¸ MAC, ÑÐ°Ðº ÐºÐ°Ðº ÑÑÐ¾ Ð¶Ðµ FreeBSD. ÐÑ Ð¸ Ð´Ð°Ð¶Ðµ Ð¿ÑÐ¾ÑÑÐ¾ ÑÐ°ÐºÐ¸Ðµ
sandboxing ÑÐµÑÐ½Ð¾Ð»Ð¾Ð³Ð¸Ð¸ ÑÐ¸Ð¿Ð° Jail-Ð¾Ð² Ð¾ÑÑÑÑÑÑÐ²ÑÑÑ Ð² OpenBSD. ÐÐ¾ÑÐ¾ÑÐµ FreeBSD
ÐºÐ°Ðº Ð²ÑÐµÐ³Ð´Ð° ÑÑÐ»Ð¸Ñ!
-- 
2.48.1