Timeline of compulsory routers
Posted on“compulsory routers"因为其过程非常复杂而成为一个非常有意思的话题。很多政府部门、公司和团体已经参与到了其中，热烈的参与了讨论和吸取意见。下面是FSFE（欧洲自由软件基金会）列出了推动“路由器自由”法案到现在这个阶段的重要里程碑，也可以展望“路由器自由”法案的未来…
社区最佳实践：基于PaX/Grsecurity & STIG & Sheild针对es的Docker场景化加固
Posted on随着Container技术的逐步成熟，Docker的应用也越来越广泛，越来越多的重要业务依赖于Docker运行环境，针对场景化的加固是基于GNU/Linux系统重要工作，本文基于Docker里运行es为应用来进行场景化加固的探讨关于PaX/Grsecurity，STIG-4-Debian以及Sheild的实践。…
PaX/Grsecurity配置选项
Posted onThe introduction of per Grsecurity's option.Translated from "Grsecurity/Appendix/Grsecurity and PaX Configuration Options".…
SSL/TLS部署最佳实践v1.4
Posted onSSL/TLS是一个看似简单的技术。非常容易部署和让她跑起来，但是...她真的跑起来了吗？第一部分是真的 —— SSL确实容易部署 —— 然而正确部属她并不容易。为了确保TLS提供安全性，系统管理员和开发者必须投入额外的精力，去配置服务器和编写应用程序。…
后续故事：数字军火级别的"BadIRET"漏洞利用(CVE-2014-9322)
Posted onShawn：nergal在2015年2月公开的针对BadIRET漏洞的分析文章仿佛就在昨天，但Linux内核社区对安全的态度的确比10年还糟糕，Linux内核社区一如既往坚持"Security through obscurity"这种简单到根本不用考虑斯拉夫兵工厂的威胁建模，不辛的是，BadIRET又是一例Linux内核社区认为几乎不可利用但实际是可利用的漏洞，更糟糕的是一些商业GNU/Linux厂商因为各种原因（在后棱镜时代，不得不考虑非商业因素的可能）基本按照是否有公开的漏洞利用会成为他们对于风险评估的重要指标，这种说法好像是当0-day exploit从来都不存在一样，这的确是一个黑暗的时代，就算没有Mr.Snowden，这的确也称的上是一个黑暗的信息时代，anyway，这次pi3公开了BadIRET的漏洞利用代码，这对于安全研究人员来说是一个好事，也希望整个事件能帮助个人以及企业GNU/Linux用户对于安全有正确的认识。…
漏洞利用"BadIRET"分析(CVE-2014-9322, Linux内核提权)
Posted onShawn：Linux内核代码文件arch/x86/kernel/entry_64.S在3.17.5之前的版本都没有正确的处理跟SS（堆栈区）段寄存器相关的错误，这可以让本地用户通过触发一个 IRET指令从错误的地址空间去访问GS基地址来提权。这个编号为CVE-2014-9322,漏洞于2014年11月23日被Linux内核社区修复，之后的几个礼拜里没有出现公开的利用代码甚至相关的讨论。当人们快要遗忘这个威胁的时候，Rafal Wojtczuk的分析文章Exploiting “BadIRET” vulnerability似乎在提醒我们：别忘了斯拉夫兵工厂。…
Gentoo GNU/Linux系统安装与加固
Posted onGentoo Hardened is a Gentoo project that offers multiple additional security services on top of the well-known Gentoo Linux installation. Although each of them can be selected separately, Gentoo Hardened enables several risk-mitigating options in the toolchain, supports PaX, grSecurity, SELinux, TPE and more.…