Jasper Nuyens, a Linux Belgium alapítója, aki a Linux használatára vonatkozó kiegészítést fejlesztett ki a Tesla autók információs rendszerében, egyszerű módot javasolt a Linux kernel támadási felületének csökkentésére, hogy csökkentse a kompromittálódás valószínűségét a veszélyes sebezhetőségek AI általi felfedezése során. Mivel sok sebezhetőség általában a specifikus kernel modulokban található, amelyek autóindításra elérhetők, de a legtöbb felhasználó általában nem használják őket, Jasper javasolta az alapértelmezett blokkolást az aktuális vagy ritkán használt modulok esetében.
A kernelben több ezer modul érhető el, de a legtöbb rendszer csak néhány százat használ, míg a többi elérhető a betöltésre, és potenciálisan sebezhetőségeket tartalmazhat. Az ötlet megvalósítása a ModuleJail script-tel történik, mely meghatározza a jelenlegi rendszerben használt modulok listáját (a /proc/modules révén) és automatikusan fekete listára helyezi a nem használt modulokat. A script shell nyelven íródott, elterjedt rendszersegédeszközöket használ (elég a busybox) és GPLv3 licenc alatt terjesztik.
A script támogatja a futtatást Debian, Ubuntu, RHEL, Fedora, SUSE, AlmaLinux, Rocky Linux, Alpine és Arch Linux rendszereken, és munkája eredményeként létrehoz egy /etc/modprobe.d/modulejail-blacklist.conf fájlt, amelyet a rendszer automatikus kernel modulok indításának letiltására használ. Az ilyen megközelítés lehetővé teszi a rendszer előzetes védelmét anélkül, hogy speciális kernel modulok betöltésére vagy további háttérfolyamatok végrehajtására lenne szükség a rendszer megfigyelésére.
Szükség esetén a felhasználónak lehetősége van a fekete listán nem szereplő modulok fehér listára helyezésére, amelyek jelenleg nincsenek betöltve, de potenciálisan felhasználhatók. Elérhetőek olyan profilok is, amelyek lehetővé teszik a legszükségesebb modulok használatát a rendszer tipikus alkalmazásaihoz. Javasolt profilok a „minimal” (csak a legfontosabb modulok és alap fájlrendszerek), a „conservative” (+ tipikus illesztőprogramok szerverekhez és virtuális gépekhez) és a desktop (+ WiFi, Bluetooth, hang és videó illesztőprogramok).
Forrás: opennet.ru
