Jasper Nuyens, Linux Belgiumi asutaja, kes lõi Linuxi laiendi, et kasutada seda Tesla autotööstuse infosüsteemis, pakkus lihtsat viisi Linuxi tuuma rünnakupinna vähendamiseks, et alandada kompromiteerimise tõenäosust, arvestades AI abil avastatud ohtlike haavatavuste suurenemist. Kuna paljusid haavatavusi leitakse tavaliselt konkreetsetes tuuma moodulites, mis on saadaval automaatselt laadimiseks, kuid mida enamik kasutajaid ei kasuta, soovitas Jasper vaikimisi blokeerida need moodulid, mida süsteem praegu ei kasuta või mis on harva kasutatavad.
Tuumas on saadaval mitut tuhat moodulit, kuid enamikus süsteemides kasutatakse ainult mõnda sada, samas kui ülejäänud jäävad laadimiseks kättesaadavaks ja võivad potentsiaalselt sisaldada haavatavusi. Idee on ellu viidud skripti ModuleJail kaudu, mis määrab praeguses süsteemis kasutatavate moodulite nimekirja (kasutades /proc/modules) ja paneb automaatselt mittekasutatavad moodulid musta nimekirja. Skript on kirjutatud shellis, kasutab levinud süsteemi utiliite (piisab busyboxist) ja levitatakse GPLv3 litsentsi alusel.
Skript toetab käitamist Debianis, Ubuntus, RHELis, Fedoras, SUSEs, AlmaLinuxis, Rocky Linuxis, Alpinis ja Arch Linuxis, genereerides oma töö tulemusena faili /etc/modprobe.d/modulejail-blacklist.conf, mida süsteem kasutab automaatsete kerneli moodulite laadimise keelamiseks. Selline lähenemine võimaldab proaktiivselt kaitsta oma süsteemi, ilma et peaks laadima spetsialiseeritud kerneli mooduleid või käivitama täiendavaid taustprotsesse süsteemi jälgimiseks.
Küsimuse korral on kasutajale antud võimalus lisada valge nimekiri moodulitest, mis ei ole praegu laaditud, kuid võivad potentsiaalselt olla töös. Samuti on saadaval profiilide aktiveerimine, mis lubavad kasutada kõige vajalikumaid mooduleid süsteemi tüüpiliste rakenduste jaoks. Pakutakse profiile „minimal” (ainult kõige olulisemad moodulid ja põhilised FS-d), „conservative” (+ tavalised draiverid serveritele ja virtuaalmasinad) ja desktop (+ draiverid WiFi, Bluetoothi, heli ja video jaoks).
Allikas: opennet.ru
