Linux 5.4 કર્નલને કર્નલ ઇન્ટરનલ્સમાં રૂટ એક્સેસને પ્રતિબંધિત કરવા માટે પેચો પ્રાપ્ત થયા છે

લિનસ ટોરવાલ્ડ્સ સ્વીકાર્યું Linux 5.4 કર્નલના આગામી પ્રકાશનમાં સમાવવામાં આવેલ પેચોનો સમૂહ છે "લોકડાઉન", પ્રસ્તાવિત ડેવિડ હોવેલ્સ (રેડ હેટ) અને મેથ્યુ ગેરેટ (મેથ્યુ ગેરેટ, Google પર કામ કરે છે) કર્નલ પર રૂટ વપરાશકર્તાની ઍક્સેસને પ્રતિબંધિત કરવા માટે. લોકડાઉન-સંબંધિત કાર્યક્ષમતા વૈકલ્પિક રીતે લોડ થયેલ LSM મોડ્યુલમાં શામેલ છે (Linux સુરક્ષા મોડ્યુલ), જે UID 0 અને કર્નલ વચ્ચે અવરોધ મૂકે છે, અમુક નિમ્ન-સ્તરની કાર્યક્ષમતાને પ્રતિબંધિત કરે છે.

જો કોઈ હુમલાખોર રૂટ અધિકારો સાથે કોડ એક્ઝિક્યુશન હાંસલ કરે છે, તો તે કર્નલ સ્તરે તેનો કોડ એક્ઝિક્યુટ કરી શકે છે, ઉદાહરણ તરીકે, kexec નો ઉપયોગ કરીને અથવા /dev/kmem દ્વારા મેમરી વાંચવા/લેખવા દ્વારા કર્નલને બદલીને. આવી પ્રવૃત્તિનું સૌથી સ્પષ્ટ પરિણામ હોઈ શકે છે ચકરાવો UEFI સિક્યોર બૂટ અથવા કર્નલ સ્તર પર સંગ્રહિત સંવેદનશીલ ડેટાને પુનઃપ્રાપ્ત કરી રહ્યાં છે.

શરૂઆતમાં, રુટ પ્રતિબંધ કાર્યો ચકાસાયેલ બૂટના રક્ષણને મજબૂત કરવાના સંદર્ભમાં વિકસાવવામાં આવ્યા હતા, અને વિતરણો ઘણા સમયથી UEFI સિક્યોર બૂટના બાયપાસને અવરોધિત કરવા તૃતીય-પક્ષ પેચોનો ઉપયોગ કરી રહ્યાં છે. તે જ સમયે, આવા પ્રતિબંધોને કારણે કર્નલની મુખ્ય રચનામાં શામેલ કરવામાં આવ્યા ન હતા મતભેદ તેમના અમલીકરણમાં અને હાલની સિસ્ટમોમાં વિક્ષેપના ભયમાં. "લોકડાઉન" મોડ્યુલ પહેલેથી જ વિતરણોમાં ઉપયોગમાં લેવાતા પેચોને શોષી લે છે, જે UEFI સિક્યોર બૂટ સાથે જોડાયેલ ન હોય તેવા અલગ સબસિસ્ટમના રૂપમાં ફરીથી ડિઝાઇન કરવામાં આવ્યા હતા.

લોકડાઉન મોડ /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobes ડીબગ મોડ, mmiotrace, tracefs, BPF, PCMCIA CIS (કાર્ડ માહિતી માળખું), કેટલાક ACPI ઇન્ટરફેસ અને CPU ની ઍક્સેસને પ્રતિબંધિત કરે છે. MSR રજિસ્ટર, kexec_file અને kexec_load કૉલ્સ અવરોધિત છે, સ્લીપ મોડ પ્રતિબંધિત છે, PCI ઉપકરણો માટે DMA નો ઉપયોગ મર્યાદિત છે, EFI ચલોમાંથી ACPI કોડ આયાત પ્રતિબંધિત છે,
સીરીયલ પોર્ટ માટે વિક્ષેપ નંબર અને I/O પોર્ટ બદલવા સહિત, I/O પોર્ટ સાથે મેનીપ્યુલેશનની મંજૂરી નથી.

મૂળભૂત રીતે, લોકડાઉન મોડ્યુલ સક્રિય નથી, તે ત્યારે બનેલ છે જ્યારે SECURITY_LOCKDOWN_LSM વિકલ્પ kconfig માં સ્પષ્ટ કરેલ હોય અને કર્નલ પેરામીટર “lockdown=”, નિયંત્રણ ફાઈલ “/sys/kernel/security/lockdown” અથવા એસેમ્બલી વિકલ્પો દ્વારા સક્રિય થાય છે. LOCK_DOWN_KERNEL_FORCE_*, જે મૂલ્યો "અખંડિતતા" અને "ગોપનીયતા" લઈ શકે છે. પ્રથમ કિસ્સામાં, સુવિધાઓ કે જે વપરાશકર્તાની જગ્યામાંથી ચાલી રહેલ કર્નલમાં ફેરફારો કરવાની મંજૂરી આપે છે તે અવરોધિત છે, અને બીજા કિસ્સામાં, કર્નલમાંથી સંવેદનશીલ માહિતી કાઢવા માટે ઉપયોગમાં લઈ શકાય તેવી કાર્યક્ષમતા પણ અક્ષમ છે.

એ નોંધવું અગત્યનું છે કે લોકડાઉન કર્નલની પ્રમાણભૂત ઍક્સેસને મર્યાદિત કરે છે, પરંતુ નબળાઈઓના શોષણના પરિણામે ફેરફારો સામે રક્ષણ આપતું નથી. ઓપનવૉલ પ્રોજેક્ટ દ્વારા એક્સપ્લોઇટ્સનો ઉપયોગ કરવામાં આવે ત્યારે ચાલી રહેલ કર્નલમાં ફેરફારોને અવરોધિત કરવા વિકાસ કરે છે અલગ મોડ્યુલ LKRG (લિનક્સ કર્નલ રનટાઇમ ગાર્ડ).

સોર્સ: opennet.ru