ModuleJail за блокиране на неизползвани модули на ядрото на Linux

Джаспер Нюйенс (Jasper Nuyens), основател на организацията Linux Belgium, който е създал надстройка за използване на Linux в информационната система на автомобилите Tesla, предложи прост начин за намаляване на повърхността на атака на ядрото на Linux, за да се намали вероятността от компрометиране на фона на увеличеното откритие на опасни уязвимости чрез AI. Тъй като много уязвимости обикновено се намират в специфични модули на ядрото, достъпни за автоматично зареждане, но обикновено не се използват от повечето потребители, Джаспер предложи по подразбиране да се блокират неизползваните модули в текущата система или общо рядко използваните модули.

В ядрото са налични няколко хиляди модули, но в повечето системи се използват само няколко стотин, а останалите остават достъпни за зареждане и потенциално могат да съдържат уязвимости. Идеята е реализирана чрез скрипт ModuleJail, който определя списъка на използваните в текущата система модули (чрез /proc/modules) и автоматично поставя неизползваните модули в черен списък. Скриптът е написан на shell, използва разпространени системни утилити (достатъчно е busybox) и се разпространява под лиценз GPLv3.

Скриптът поддържа изпълнение в Debian, Ubuntu, RHEL, Fedora, SUSE, AlmaLinux, Rocky Linux, Alpine и Arch Linux и в резултат на работата си генерира файл /etc/modprobe.d/modulejail-blacklist.conf, който стандартно се използва в системата за деактивиране на автоматичното зареждане на модули на ядрото. Такъв подход позволява превентивна защита на системата, без да се прибягва до зареждане на специализирани модули на ядрото или изпълнение на допълнителни фонови процеси за наблюдение на системата.

При необходимост на потребителя се предоставя възможност да добавя в бял списък модули, които в момента не са заредени, но потенциално могат да се използват в работата. Също така са налични профили, които допускат използването на най-необходимите модули за типични приложения на системата. Предложени са профили „minimal“ (само най-важните модули и основни ФС), „conservative“ (+ типични драйвери за сървъри и виртуални машини) и desktop (+ драйвери за WiFi, Bluetooth, звук и видео).

Източник: opennet.ru