Yoctoイメージの脆弱性緩和/セキュリティ強化

Question

カーネル、ツールチェーン、およびユーザー領域で利用可能な既存の悪用緩和手法を有効にするためにYocto/OEは何を提供していますか？ ASLR、スタックプロテクター、セキュリティ保護されたユーザーコピー、ptraceを無効にする...

私はこれらのものを手動で設定する必要がありますか、Yoctoに役立つものがありますか？私の質問に対処する

Answer 1

ドキュメントのエントリポイントは、ここで見つけることができます： https://www.yoctoproject.org/docs/latest/dev-manual/dev-manual.html#making-images-more-secure

https://www.yoctoproject.org/docs/latest/dev-manual/dev-manual.html#security-flagsは、より安全なコンパイラフラグを使ってプログラムをコンパイルする方法について説明します。

フラグを使用すると、スタックプロテクタFORTIFY_SOURCE、位置独立コード（ASLRの場合）、文字列形式チェック、読み取り専用再配置が有効になります。また、これらのオプションでビルドしないことが知られているパッケージのブラックリストも保持しています。これらはあまり厳格でないフラグでコンパイルされます。これらのフラグはユーザースペースに影響します。

Yoctoには、カーネル自体の緩和/強化を可能にする中央スイッチはありません。これは、カーネルコンフィグレーションフラグメントを介して手動で行う必要があります。画像を硬化するために、様々な手段やツールを含む

Yocto層は、ここで見つけることができる：

https://git.yoctoproject.org/cgit/cgit.cgi/meta-security/tree/README