Jasper Nuyens, osnivač organizacije Linux Belgium, koji je stvorio nadogradnju za korištenje Linuxa u informacijskom sustavu automobila Tesla, predložio je jednostavan način za smanjenje površine napada na Linux jezgru kako bi se smanjila vjerojatnost kompromitacije usred porasta otkrivanja opasnih ranjivosti putem AI. Budući da se mnoge ranjivosti obično nalaze u specifičnim modulima jezgre, dostupnim za automatsko učitavanje, ali obično ne korištenim od strane većine korisnika, Jasper je predložio da se prema zadanim postavkama blokiraju neiskorišteni moduli u trenutnom sustavu ili uobičajeno rijetko korišteni moduli.
U jezgru je dostupno nekoliko tisuća modula, ali u većini sustava koristi se samo nekoliko stotina, dok ostali ostaju dostupni za učitavanje i potencijalno mogu sadržavati ranjivosti. Ideja je realizirana putem skripte ModuleJail, koja određuje popis modula korištenih u trenutnom sustavu (putem /proc/modules) i automatski stavlja neiskorištene module na crnu listu. Skripta je napisana na shellu, koristi uobičajene sistemske alate (dovoljno je busybox) i distribuira se pod GPLv3 licencom.
Skripta podržava izvršavanje u Debian, Ubuntu, RHEL, Fedora, SUSE, AlmaLinux, Rocky Linux, Alpine i Arch Linux, a kao rezultat svog rada generira datoteku /etc/modprobe.d/modulejail-blacklist.conf, koja se u sustavu koristi za onemogućavanje automatskog učitavanja modula jezgre. Sličan pristup omogućava proaktivnu zaštitu sustava, bez potrebe za učitavanjem specijaliziranih modula jezgre ili izvršavanjem dodatnih pozadinskih procesa za praćenje sustava.
Ako je potrebno, korisniku je omogućeno dodavanje modula u bijelu listu, koji u tom trenutku nisu učitani, ali se potencijalno mogu koristiti u radu. Također su dostupni profili koji dopuštaju korištenje najpotrebnijih modula za tipične primjene sustava. Predloženi su profili „minimal” (samo najvažniji moduli i osnovni FS), „konzervativni” (+ tipični drajveri za servere i virtualnih mašina) i desktop (+ drajveri za WiFi, Bluetooth, zvuk i video).
Izvor: opennet.ru
