RPM/hardening: различия между версиями

Материал из ALT Linux Wiki
< RPM
(_FORTIFY_SOURCE=3)
Строка 12: Строка 12:
* Старайтесь не собирать с <code>-O0</code>, так как это отключает многие проверки.
* Старайтесь не собирать с <code>-O0</code>, так как это отключает многие проверки.
* Для устранения verify-elf варнинга при сборке библиотек:<pre>verify-elf: ERROR: ./usr/lib64/..: found executable STACK entry: GNU_STACK ... RWE 0x10</pre> (он возникает, например, если в asm файлах нет соответствующего заголовка) может быть полезно добавить <code>-Wa,--noexecstack</code> или <code>-Wl,-z,noexecstack</code> (выбор в зависимости от обстоятельств).
* Для устранения verify-elf варнинга при сборке библиотек:<pre>verify-elf: ERROR: ./usr/lib64/..: found executable STACK entry: GNU_STACK ... RWE 0x10</pre> (он возникает, например, если в asm файлах нет соответствующего заголовка) может быть полезно добавить <code>-Wa,--noexecstack</code> или <code>-Wl,-z,noexecstack</code> (выбор в зависимости от обстоятельств).
* В GCC-12 появилось <code>-D_FORTIFY_SOURCE=3</code> (конфликтует с <code>-Werror</code> и может замедлять код <ref>[https://developers.redhat.com/blog/2021/04/16/broadening-compiler-checks-for-buffer-overflows-in-%20fortify%20source Broadening compiler checks for buffer overflows in _FORTIFY_SOURCE]</ref>).


= CFLAGS для тестирования пакета =
= CFLAGS для тестирования пакета =

Версия от 21:44, 19 июля 2022

Включено по умолчанию в GCC

Эти опции не нужно добавлять вручную в CFLAGS, так как они включены у нас в ALT по умолчанию. Список взят из info gcc поиском по ALT.*gcc

  • -Wformat=2 и -Wformat-security
  • -Wtrampolines
  • -D_FORTIFY_SOURCE=2 (activated when -O2 or higher)
  • -fstack-protector и -fstack-protector-strong
  • -fstack-clash-protection

Также наш GCC всегда передает линкеру: -pie -z now и --as-needed.

Что еще может быть в CFLAGS

  • -fanalyzer, но остерегайтесь ложных срабатываний, а так же эта опция потребляет много памяти.
  • Старайтесь не собирать с -O0, так как это отключает многие проверки.
  • Для устранения verify-elf варнинга при сборке библиотек:
    verify-elf: ERROR: ./usr/lib64/..: found executable STACK entry: GNU_STACK ... RWE 0x10
    (он возникает, например, если в asm файлах нет соответствующего заголовка) может быть полезно добавить -Wa,--noexecstack или -Wl,-z,noexecstack (выбор в зависимости от обстоятельств).
  • В GCC-12 появилось -D_FORTIFY_SOURCE=3 (конфликтует с -Werror и может замедлять код [1]).

CFLAGS для тестирования пакета

Нельзя добавлять в итоговый пакет, но полезно использовать для (периодического) тестирования.

  • -fsanitize=address. (NB: Медленно работает leak detector на aarch64 (отключается ASAN_OPTIONS=detect_leaks=0).)

LTO может скрывать так и добавлять новые сообщения об ошибках, поэтому рекомендуется для эксперимента собрать пакет (с и) без LTO.