Linuxi kernelisse 5.4 on vastu võetud plaastrid, mis piiravad root'i juurdepääsu kernel'i siseasjadele.

Linus Torvalds heitis tulevasse Linux 5.4 tuumaväljaande komplekti plaastritega "lockdown«, pakutud David Howells'iga (David Howells, töötab Red Hat'is) ja Matthew Garrett'iga (Matthew Garrett, töötab Google'is), et piirata root-kasutaja juurdepääsu tuumale. "lockdown" funktsionaalsus on viidud valikuliselt laaditavasse LSM-mooduli (Linux Security Module), mis loob barjääri UID 0 ja tuuma vahel, piirates teatud madala taseme funktsionaalsust.

Kui ründaja suudab rünnaku tulemusena käivitada koodi root'i õigustes, saab ta oma koodi käivitada ka tuuma tasemel, näiteks tuuma asendamise kaudu kexec'iga või mälu lugemise/kirjutamise kaudu /dev/kmem. Sellise tegevuse kõige ilmselgem tagajärg võib olla ümbersõit UEFI Secure Boot'ist või konfidentsiaalsete andmete väljavõtmine, mis on salvestatud tuuma tasemel.

Alguses arendati root'i piiramise funktsioone sertifitseeritud laadimise kaitse tugevdamise kontekstis ja jaotused on juba piisavalt kaua kasutanud kolmandate osapoolte plaastrite kombinatsioone, et takistada UEFI Secure Boot'i ümbersõitu. Sellegipoolest ei ole sellised piirangud põhituuma hulka kaasatud erimeelsuste tõttu nende rakendamine ja mure olemasolevate süsteemide töö katkestamise üle. Moodul „lockdown” sisaldab juba jaotistes kasutatavaid plaastreid, mis on töödeldud eraldi alamsüsteemina, mis ei ole seotud UEFI Secure Bootiga.

Lockdown-režiimis on piiratud juurdepääs /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobesi silumisrežiim, mmiotrace, tracefs, BPF, PCMCIA CIS (kaardi teabe struktuur), mõned ACPI liidendid ja CPU MSR-registerid, blokeeritakse kexec_file ja kexec_load kutseid, keelatakse uinumisse minek, piiratakse DMA kasutamist PCI-seadmete jaoks, keelatakse ACPI koodi importimine EFI muutuja kaudu.
ei lubata sisendi/väljundi portidega manipuleerida, sealhulgas katkestuse numbri ja sisendi/väljundi portaali muutmine järjestusporti jaoks.

Moodi lockdown pole vaikimisi aktiivne, see kompileeritakse siis, kui kconfigis määratakse valik SECURITY_LOCKDOWN_LSM, ja aktiveeritakse kernele „lockdown=” parameetri, faili „/sys/kernel/security/lockdown” kaudu või kompileerimisvalikute kaudu. LOCK_DOWN_KERNEL_FORCE_*, mis võivad võtta väärtusi „integrity“ ja „confidentiality“. Esimesel juhul blokeeritakse võimalused, mis võimaldavad muuta töötavat tuuma kasutaja ruumist, ning teisel juhul väljalülitatakse funktsionaalsus, mida saab kasutada konfidentsiaalse teabe tuumast väljavõtmiseks.

Oluline on märkida, et lockdown piirdub ainult tuumale juurdepääsu tavapäraste võimaluste piiramisega, kuid ei kaitse muudatuste eest, mis tulenevad haavatavuste ärakasutamisest. Muudatuste blokeerimiseks töötavas tuumas, kui kasutatakse eksploidijaid, saavad projekti Openwall arendatakse eraldi moodul LKRG (Linux Kernel Runtime Guard).

Allikas: opennet.ru