针对Yocto图像的漏洞利用缓解/安全强化

Question

Yocto/OE提供了什么使内核，工具链和用户空间中的现有漏洞利用缓解技术成为可能？像ASLR，堆栈保护器，安全用户复制，禁用ptrace，...

我必须手动配置这些东西吗？或者Yocto中有什么能帮助我吗？

Answer 1

的文件入口点解决我的问题可以在这里找到： https://www.yoctoproject.org/docs/latest/dev-manual/dev-manual.html#making-images-more-secure

https://www.yoctoproject.org/docs/latest/dev-manual/dev-manual.html#security-flags介绍如何编译与更安全的编译器标志计划。

这些标志启用堆栈保护程序FORTIFY_SOURCE，位置独立代码（用于ASLR），字符串格式检查和只读重定位。它还维护一个已知不用这些选项构建的软件包黑名单。这些都是用较不严格的标志编制的。这些标志影响用户空间。

Yocto不提供中央交换机来启用内核本身的缓解/强化。这必须通过内核配置片段手动完成。

含有各种手段和工具硬化图像

甲Yocto层可以在这里找到： https://git.yoctoproject.org/cgit/cgit.cgi/meta-security/tree/README