Im Linux-Kernel 5.4 wurden Patches zur Einschränkung des Root-Zugriffs auf interne Kernel-Komponenten angenommen.

Linus Torvalds hat Im kommenden Release des Linux-Kernels 5.4 wird ein Patch-Set "lockdown«, vorgeschlagen entwickelt von David Howells (arbeitet bei Red Hat) und Matthew Garrett (Matthew Garrett, arbeitet bei Google) zur Einschränkung des Zugriffs des Root-Benutzers auf den Kernel. Die mit "lockdown" verbundene Funktionalität wird in ein optional ladbares LSM-Modul (Linux Security Module) ausgelagert, das eine Barriere zwischen UID 0 und dem Kernel setzt und bestimmte Low-Level-Funktionen einschränkt.

Wenn ein Angreifer durch einen Angriff die Ausführung von Code mit Root-Rechten erlangt, kann er seinen Code auch auf Kernel-Ebene ausführen, zum Beispiel durch den Austausch des Kernels mit kexec oder durch das Lesen/Schreiben von Speicher über /dev/kmem. Die offensichtlichste Folge einer solchen Aktivität könnte sein, dass Umgehung des UEFI Secure Boot oder die Extraktion vertraulicher Daten, die auf Kernel-Ebene gespeichert sind.

Ursprünglich wurden die Funktionen zur Einschränkung von Root im Kontext der Verbesserung der Sicherheit der verifiziertem Boot entwickelt, und Distributionen verwenden seit langem externe Patches, um die Umgehung des UEFI Secure Boot zu blockieren. Diese Einschränkungen wurden jedoch nicht in den Hauptkern aufgenommen aufgrund von Meinungsverschiedenheiten In ihrer Umsetzung und den Bedenken über die Beeinträchtigung bestehender Systeme fasst das Modul „lockdown“ bereits in Distributionen verwendete Patches zusammen, die in Form eines separaten Subsystems überarbeitet wurden, das nicht an UEFI Secure Boot gebunden ist.

Im Lockdown-Modus wird der Zugriff auf /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, den Debug-Modus von kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), einige ACPI-Schnittstellen und MSR-Register der CPU eingeschränkt, kexec_file und kexec_load-Aufrufe werden blockiert, der Übergang in den Schlafmodus ist verboten, die Verwendung von DMA für PCI-Geräte wird limitiert, und das Importieren von ACPI-Code aus EFI-Variablen ist nicht zulässig.
Manipulationen mit Ein-/Ausgabe-Ports sind nicht erlaubt, einschließlich der Änderung der Interruptnummer und des Ein-/Ausgabe-Ports für den seriellen Port.

Standardmäßig ist das Lockdown-Modul nicht aktiv. Es wird erstellt, wenn in kconfig die Option SECURITY_LOCKDOWN_LSM angegeben wird, und aktiviert sich über den Kernel-Parameter „lockdown=“, die Steuerdatei „/sys/kernel/security/lockdown“ oder die Build-Optionen. LOCK_DOWN_KERNEL_FORCE_*, die Werte wie „Integrität“ und „Vertraulichkeit“ annehmen können. Im ersten Fall werden die Möglichkeiten blockiert, die es ermöglichen, Änderungen am laufenden Kernel aus dem Benutzerspeicher vorzunehmen; im zweiten Fall wird zusätzlich die Funktionalität deaktiviert, die zum Abrufen vertraulicher Informationen aus dem Kernel genutzt werden kann.

Es ist wichtig zu beachten, dass der Lockdown nur die standardmäßigen Zugriffsmöglichkeiten auf den Kernel einschränkt, jedoch nicht vor Modifikationen schützt, die durch die Ausnutzung von Schwachstellen entstehen. Um Änderungen am laufenden Kernel bei der Anwendung von Exploits zu verhindern, hat das Projekt Openwall seit Sommer 2016). Bis Ende 2019 ist die Veröffentlichung einer weiteren experimentellen Version der GTK 3.9x-Reihe geplant, gefolgt von einem finalen Testrelease von GTK 3.99 im Frühling 2020, das alle angestrebten Funktionen enthalten wird. Die Veröffentlichung von GTK 4 wird für Anfang Herbst 2020 erwartet, zeitgleich mit GNOME 3.38. ein separates Modul LKRG (Linux Kernel Runtime Guard) angenommen.

Quelle: opennet.ru