Im Kernel von Linux 5.4 wurden Patches zur Einschränkung des Root-Zugriffs auf die Innereien des Kernels angenommen.

Linus Torvalds hat Die zukünftige Version des Linux-Kernels 5.4 enthält das Patch-Set „lockdown«, vorgeschlagen David Howells (arbeitet bei Red Hat) und Matthew Garrett (Matthew Garrett, arbeitet bei Google) zur Einschränkung des Zugriffs des Benutzers root auf den Kernel. Die damit verbundene „Lockdown“-Funktionalität wurde in ein optional ladbares LSM-Modul (Linux Security Module) ausgelagert, das eine Barriere zwischen UID 0 und dem Kernel schafft und bestimmte niedrigstufige Funktionen einschränkt.

Wenn ein Angreifer im Rahmen eines Angriffs die Ausführung von Code mit Root-Rechten erreicht hat, kann er seinen Code auch auf Kernel-Ebene ausführen, zum Beispiel durch den Austausch des Kernels mit kexec oder durch Lesen/Schreiben von Speicher über /dev/kmem. Eine der offensichtlichsten Folgen solcher Aktivitäten könnte sein, Umgehung von UEFI Secure Boot oder das Extrahieren sensibler Daten, die auf Kernel-Ebene gespeichert sind.

Ursprünglich wurden die Funktionen zur Einschränkung von Root im Kontext der Verbesserung des Schutzes durch verifiziertes Booten entwickelt, und Distributionen verwenden bereits seit einiger Zeit externe Patches, um die Umgehung von UEFI Secure Boot zu blockieren. Diese Einschränkungen wurden jedoch nicht in den Hauptkernel aufgenommen, da Unterschiede in ihrer Implementierung und Bedenken hinsichtlich der Störung bestehender Systeme bestanden. Das „Lockdown“-Modul bündelt bereits in Distributionen verwendete Patches, die in Form eines separaten Subsystems überarbeitet wurden, das nicht an UEFI Secure Boot gebunden ist.

Im Lockdown-Modus wird der Zugriff auf /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, den Debug-Modus von kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), einige ACPI-Schnittstellen und CPU-MSR-Register eingeschränkt, die Aufrufe von kexec_file und kexec_load blockiert, der Übergang in den Ruhezustand verboten, die Verwendung von DMA für PCI-Geräte limitiert und der Import von ACPI-Code aus EFI-Variablen untersagt,
Manipulationen mit Ein- und Ausgabepunkten sind nicht erlaubt, einschließlich der Änderung der Interrupt-Nr. und des E/A-Ports für serielle Ports.

Standardmäßig ist das Lockdown-Modul nicht aktiviert, wird bei Angabe der OPTION SECURITY_LOCKDOWN_LSM in kconfig kompiliert und durch den Kernel-Parameter „lockdown=“, die Steuerdatei „/sys/kernel/security/lockdown“ oder Baueinstellungen aktiviert. LOCK_DOWN_KERNEL_FORCE_*, die die Werte „Integrität“ und „Vertraulichkeit“ annehmen können. Im ersten Fall werden Möglichkeiten blockiert, die Änderungen am laufenden Kernel aus dem Benutzerspace ermöglichen, während im zweiten Fall zusätzlich die Funktionalität deaktiviert wird, die zum Extrahieren vertraulicher Informationen aus dem Kernel genutzt werden kann.

Es ist wichtig zu beachten, dass der Lockdown lediglich die regulären Zugriffsrechte auf den Kernel einschränkt, jedoch nicht vor Modifikationen durch die Ausnutzung von Schwachstellen schützt. Um Änderungen am laufenden Kernel durch den Einsatz von Exploits zu blockieren, hat das Projekt Openwall entwickelt sich ein separates Modul LKRG (Linux Kernel Runtime Guard).

Quelle: opennet.ru