Jasper Nuyens, zakladatel organizace Linux Belgium, který vytvořil nadstavbu pro využití Linuxu v informačním systému automobilů Tesla, navrhl jednoduchý způsob, jak snížit útočnou plochu jádra Linuxu za účelem snížení pravděpodobnosti kompromitace na pozadí nárůstu detekovaných nebezpečných zranitelností pomocí AI. Vzhledem k tomu, že mnohé zranitelnosti se obvykle nacházejí ve specifických modulech jádra, které jsou k dispozici pro automatické načítání, ale většinou je nepoužívá většina uživatelů, Jasper navrhl standardně blokovat nepoužívané moduly v aktuálním systému nebo obecně zřídka používané moduly.
V jádře je k dispozici několik tisíc modulů, ale ve většině systémů se používá pouze několik stovek, zatímco ostatní zůstávají dostupné pro načítání a potenciálně mohou obsahovat zranitelnosti. Tento koncept je realizován prostřednictvím skriptu ModuleJail, který určuje seznam modulů používaných v aktuálním systému (přes /proc/modules) a automaticky umisťuje nepoužívané moduly na černou listinu. Skript je napsán v shellu, využívá běžné systémové nástroje (stačí busybox) a je šířen pod licencí GPLv3.
Skript podporuje běh na Debianu, Ubuntu, RHEL, Fedora, SUSE, AlmaLinux, Rocky Linux, Alpine a Arch Linux a v důsledku své činnosti generuje soubor /etc/modprobe.d/modulejail-blacklist.conf, který je běžně využíván v systému k deaktivaci automatického načítání modulů jádra. Takový přístup umožňuje preventivně chránit systém, aniž by bylo nutné načítat specializované moduly jádra nebo provádět další procesy na pozadí pro sledování systému.
Pokud je to nutné, má uživatel možnost přidat do bílého seznamu moduly, které v daném momentě nejsou načteny, ale potenciálně mohou být využity v práci. Také jsou dostupné profily, které umožňují používání nejpotřebnějších modulů pro typické aplikace systému. Byly navrženy profily „minimal“ (pouze nejdůležitější moduly a základní souborové systémy), „conservative“ (+ typické ovladače pro servery a virtuálních strojů) a desktop (+ ovladače pro WiFi, Bluetooth, zvuk a video).
Zdroj: opennet.ru
