ModuleJail за блокиране на неизползвани модули на ядрото Linux

Джаспър Нуйенс, основател на организацията Linux Белгия, която създаде добавка за употреба Linux в информационната система за автомобили Tesla, предложи прост начин за намаляване на повърхността на атака на ядрото Linux За да се намали вероятността от компрометиране на фона на нарастването на откриването на опасни уязвимости, задвижвано от изкуствен интелект, Джаспър предложи блокиране на модули, които по подразбиране се използват или рядко се използват от повечето потребители, тъй като много уязвимости обикновено се намират в специфични модули на ядрото, които са достъпни за автоматично зареждане, но обикновено не се използват от повечето потребители.

Ядрото съдържа няколко хиляди модула, но повечето системи използват само няколкостотин, оставяйки останалите достъпни за зареждане и потенциално уязвими. Тази идея се реализира чрез скрипта ModuleJail, който определя списъка с модули, използвани в момента от системата (чрез /proc/modules) и автоматично добавя неизползваните модули в черен списък. Скриптът е написан в shell, използва общи системни помощни програми (busybox е достатъчен) и се разпространява под лиценз GPLv3.

Скриптът поддържа изпълнение в Debian, Ubuntu, RHEL, Fedora, SUSE, AlmaLinux, Rocky Linux, Алпийски и Арч Linux, и в резултат на работата си генерира файла /etc/modprobe.d/modulejail-blacklist.conf, който се използва от системата за деактивиране на автоматичното зареждане на модули на ядрото. Този подход ви позволява проактивно да защитите системата си, без да зареждате специализирани модули на ядрото или да изпълнявате допълнителни фонови процеси за наблюдение на системата.

Ако е необходимо, потребителят може да добави в белия списък модули, които не са заредени в момента, но потенциално биха могли да бъдат използвани. Предлагат се и профили за активиране, които позволяват използването на най-важните модули за типични системни приложения. Налични са следните профили: „минимален“ (само най-важните модули и основните файлови системи), „консервативен“ (+ типични драйвери за сървъри и виртуални машини) и настолен компютър (+ драйвери за WiFi, Bluetooth, звук и видео).

Източник: opennet.ru