macOS Launch/Environment Constraints & Trust Cache
Taarifa Msingi
Vizuizi vya kuzindua katika macOS vilianzishwa ili kuimarisha usalama kwa kudhibiti jinsi, nani, na kutoka wapi mchakato unaweza kuanzishwa. Ilianzishwa katika macOS Ventura, hutoa mfumo ambao unagawa kila faili ya mfumo katika makundi tofauti ya vizuizi, ambavyo vimefafanuliwa ndani ya cache ya imani, orodha inayojumuisha faili za mfumo na hash zao husika. Vizuizi hivi vinahusisha kila faili ya kutekelezwa ndani ya mfumo, na kuhusisha seti ya kanuni zinazoelezea mahitaji ya kuzindua faili fulani. Kanuni hizi zinajumuisha vizuizi vya ndani ambavyo faili ya kutekelezwa lazima itimize, vizuizi vya mzazi vinavyohitajika kutimizwa na mchakato wake mzazi, na vizuizi vya jukumu vinavyopaswa kuzingatiwa na vyombo vingine vinavyohusika.
Mfumo huu unahusisha programu za watu wa tatu kupitia Vizuizi vya Mazingira, kuanzia macOS Sonoma, kuruhusu watengenezaji kulinda programu zao kwa kutoa seti ya funguo na thamani kwa vizuizi vya mazingira.
Unafafanua vizuizi vya kuzindua mazingira na maktaba katika kamusi za vizuizi ambazo unahifadhi katika faili za orodha ya mali ya launchd, au katika faili tofauti za orodha ya mali ambazo unatumia katika kusaini kanuni.
Kuna aina 4 za vizuizi:
Vizuizi vya Ndani: Vizuizi vinavyotumika kwa faili ya kutekelezwa inayotumika.
Mchakato wa Mzazi: Vizuizi vinavyotumika kwa mzazi wa mchakato (kwa mfano
launchdinayotekeleza huduma ya XP)Vizuizi vya Jukumu: Vizuizi vinavyotumika kwa mchakato unaotumia huduma katika mawasiliano ya XPC
Vizuizi vya Kupakia Maktaba: Tumia vizuizi vya kupakia maktaba kuelezea sehemu za kanuni ambazo zinaweza kupakiwa
Kwa hivyo, wakati mchakato unajaribu kuzindua mchakato mwingine - kwa kuita execve(_:_:_:) au posix_spawn(_:_:_:_:_:_:) - mfumo wa uendeshaji unakagua kwamba faili ya kutekelezwa inatimiza vizuizi vyake vya ndani. Pia unakagua kwamba faili ya kutekelezwa ya mchakato wa mzazi inatimiza vizuizi vya mzazi vya faili ya kutekelezwa, na kwamba faili ya kutekelezwa ya mchakato wa jukumu inatimiza vizuizi vya jukumu vya faili ya kutekelezwa. Ikiwa vizuizi vyovyote vya kuzindua havikutimizwa, mfumo wa uendeshaji hautazindua programu.
Ikiwa wakati wa kupakia maktaba sehemu yoyote ya vizuizi vya maktaba sio kweli, mchakato wako haupaki maktaba.
Jamii za LC
LC inajumuisha ukweli na shughuli za mantiki (na, au..) ambazo zinaunganisha ukweli.
Ukweli ambao LC inaweza kutumia umedokumentiwa. Kwa mfano:
is-init-proc: Thamani ya Boolean inayoonyesha ikiwa faili ya kutekelezwa lazima iwe mchakato wa kuanzisha wa mfumo wa uendeshaji (
launchd).is-sip-protected: Thamani ya Boolean inayoonyesha ikiwa faili ya kutekelezwa lazima iwe faili iliyolindwa na Usalama wa Uadilifu wa Mfumo (SIP).
on-authorized-authapfs-volume:Thamani ya Boolean inayoonyesha ikiwa mfumo wa uendeshaji umepakia faili ya kutekelezwa kutoka kwenye kizio cha APFS kilichoidhinishwa na kuthibitishwa.on-authorized-authapfs-volume: Thamani ya Boolean inayoonyesha ikiwa mfumo wa uendeshaji umepakia faili ya kutekelezwa kutoka kwenye kizio cha APFS kilichoidhinishwa na kuthibitishwa.Kizio cha Cryptexes
on-system-volume:Thamani ya Boolean inayoonyesha ikiwa mfumo wa uendeshaji umepakia faili ya kutekelezwa kutoka kwenye kizio cha mfumo kinachotumiwa kwa sasa.Ndani ya /System...
...
Wakati faili ya Apple inaposainiwa, inahusishwa na jamii ya LC ndani ya cache ya imani.
Jamii za LC za iOS 16 zilikuwa zimegeuzwa na kudokumentiwa hapa.
Jamii za LC za sasa (macOS 14 - Somona) zimegeuzwa na maelezo yao yanaweza kupatikana hapa.
Kwa mfano, Jamii 1 ni:
(on-authorized-authapfs-volume || on-system-volume): Lazima iwe kwenye kizio cha Mfumo au Cryptexes.launch-type == 1: Lazima iwe huduma ya mfumo (plist katika LaunchDaemons).validation-category == 1: Programu inayoweza kutekelezwa ya mfumo wa uendeshaji.is-init-proc: Launchd
Kurejesha LC Jamii
Una habari zaidi kuihusu hapa, lakini kimsingi, zinatambuliwa katika AMFI (AppleMobileFileIntegrity), kwa hivyo unahitaji kupakua Kituo cha Maendeleo cha Kernel ili kupata KEXT. Alama zinazoanza na kConstraintCategory ndizo zinazovutia. Kwa kuzitoa, utapata mkondo ulioandikwa kwa DER (ASN.1) ambao utahitaji kudekodeza na ASN.1 Decoder au maktaba ya python-asn1 na skripti yake ya dump.py, andrivet/python-asn1 ambayo itakupa herufi inayoeleweka zaidi.
Vizuizi vya Mazingira
Hizi ni Vizuizi vya Mazingira vilivyowekwa katika programu za watu wengine. Mwandishi wa programu anaweza kuchagua ukweli na masharti ya mantiki ya kutumia katika programu yake ili kuzuia ufikiaji kwake.
Inawezekana kuorodhesha Vizuizi vya Mazingira ya programu na:
Hifadhidata za Uaminifu
Katika macOS kuna hifadhidata chache za uaminifu:
/System/Volumes/Preboot/*/boot/*/usr/standalone/firmware/FUD/BaseSystemTrustCache.img4/System/Volumes/Preboot/*/boot/*/usr/standalone/firmware/FUD/StaticTrustCache.img4/System/Library/Security/OSLaunchPolicyData
Na katika iOS inaonekana iko katika /usr/standalone/firmware/FUD/StaticTrustCache.img4.
Katika macOS inayotumia vifaa vya Apple Silicon, ikiwa faili iliyosainiwa na Apple haipo katika hifadhidata ya uaminifu, AMFI itakataa kuiweka.
Kuhesabu Hifadhidata za Uaminifu
Faili za hifadhidata za uaminifu zilizotajwa hapo awali zina muundo wa IMG4 na IM4P, huku IM4P ikiwa sehemu ya mzigo wa muundo wa IMG4.
Unaweza kutumia pyimg4 ili kuchambua mzigo wa hifadhidata:
(Chaguo lingine linaweza kuwa kutumia zana img4tool, ambayo itafanya kazi hata kwenye M1 hata kama toleo ni la zamani na kwa x86_64 ikiwa utaifunga kwenye maeneo sahihi).
Sasa unaweza kutumia zana trustcache ili kupata habari kwa muundo unaoweza kusomwa:
Hifadhidata ya imani inafuata muundo ufuatao, kwa hivyo Jamii ya LC ni safu ya 4
Kisha, unaweza kutumia script kama hii ili kuchambua data.
Kutoka kwenye data hiyo, unaweza kuangalia Apps na thamani ya vikwazo vya uzinduzi ya 0, ambazo ni zile ambazo hazina vikwazo (angalia hapa kwa maelezo ya kila thamani).
Kinga za Mashambulizi
Vikwazo vya Uzinduzi vingeweza kuzuia mashambulizi kadhaa ya zamani kwa kufanya uhakika kwamba mchakato hautatekelezwa katika hali zisizotarajiwa: Kwa mfano kutoka kwenye maeneo yasiyotarajiwa au kuitwa na mchakato wa mzazi usiotarajiwa (ikiwa ni launchd pekee inapaswa kuizindua)
Zaidi ya hayo, Vikwazo vya Uzinduzi pia vinazuia mashambulizi ya kushusha kiwango.
Hata hivyo, havizuizi matumizi mabaya ya XPC, uingizaji wa kanuni za Electron au uingizaji wa dylib bila uthibitisho wa maktaba (isipokuwa kitambulisho cha timu ambazo zinaweza kupakia maktaba kinajulikana).
Kinga ya XPC Daemon
Katika toleo la Sonoma, jambo muhimu ni mpangilio wa jukumu la huduma ya XPC daemon. Huduma ya XPC inawajibika kwa ajili yake, tofauti na mteja anayehusika. Hii imeandikwa katika ripoti ya maoni FB13206884. Mpangilio huu unaweza kuonekana kuwa na kasoro, kwani inaruhusu mwingiliano fulani na huduma ya XPC:
Kuzindua Huduma ya XPC: Ikiwa inachukuliwa kuwa ni kasoro, mpangilio huu haumruhusu kuanzisha huduma ya XPC kupitia kanuni ya mshambuliaji.
Kuunganisha kwenye Huduma Iliyopo: Ikiwa huduma ya XPC tayari inaendeshwa (labda imeamilishwa na programu yake ya awali), hakuna vizuizi vya kuunganisha nayo.
Ingawa kuweka vikwazo kwenye huduma ya XPC kunaweza kuwa na manufaa kwa kupunguza fursa za mashambulizi, haitatua wasiwasi kuu. Kuhakikisha usalama wa huduma ya XPC kimsingi kunahitaji uthibitisho wa mteja anayeunganisha kwa ufanisi. Hii ndiyo njia pekee ya kuimarisha usalama wa huduma hiyo. Pia, ni muhimu kutambua kuwa mpangilio wa jukumu uliotajwa unatumika kwa sasa, ambao huenda usilingane na muundo uliokusudiwa.
Kinga ya Electron
Hata kama inahitajika kwamba programu lazima izinduliwe na LaunchService (katika vikwazo vya wazazi). Hii inaweza kufanikishwa kwa kutumia open (ambayo inaweza kuweka mazingira ya mazingira) au kutumia API ya Huduma za Uzinduzi (ambapo mazingira ya mazingira yanaweza kuonyeshwa).
Marejeo
Last updated