ModuleJail neizmantoto Linux kodola moduļu bloķēšanai.

Džaspers Nujens (Jasper Nuyens), Linux Belgium organizācijas dibinātājs, kurš ir izstrādājis paplašinājumu Linux izmantošanai Tesla automašīnu informācijas sistēmā, piedāvāja vienkāršu veidu, kā samazināt Linux kodola uzbrukumu virsmu, lai mazinātu kompromitācijas varbūtību, ņemot vērā straujo bīstamu ievainojamību atklāšanu, izmantojot AI. Tā kā daudzas ievainojamības parasti tiek atrastas specifiskajos kodola moduļos, kas ir pieejami ielādei, bet parasti netiek izmantoti lielākajā daļā lietotāju, Džaspers ieteica pēc noklusējuma bloķēt pašreizējā sistēmā neizmantotos vai vispār retāk izmantotos moduļus.

Kodola pieejami vairāki tūkstoši moduļu, taču lielākajā daļā sistēmu tiek izmantoti tikai daži simti, bet pārējie paliek pieejami ielādei un potenciāli var saturēt ievainojamības. Ideja tika īstenota, izmantojot skriptu ModuleJail, kas nosaka pašreizējā sistēmā izmantoto moduļu sarakstu (caur /proc/modules) un automātiski iekļauj neizmantotos moduļus melnajā sarakstā. Skripts ir rakstīts shell, izmanto izplatītas sistēmas utilītas (pietiek ar busybox) un tiek izplatīts GPLv3 licences ietvaros.

Skripts atbalsta izpildi Debian, Ubuntu, RHEL, Fedora, SUSE, AlmaLinux, Rocky Linux, Alpine un Arch Linux, un savas darbības rezultātā ģenerē failu /etc/modprobe.d/modulejail-blacklist.conf, kas tradicionāli tiek izmantots sistēmā moduļu kodola automātiskai ielādei izslēgšanai. Šāds pieejas veids ļauj proaktīvi aizsargāt savu sistēmu, neradot nepieciešamību ielādēt specializētus kodola moduļus vai izpildīt papildu fona procesus sistēmas uzraudzībai.

Ja nepieciešams, lietotājam ir iespēja pievienot baltajam sarakstam moduļus, kuri šobrīd nav ielādēti, bet potenciāli var tikt izmantoti darbā. Tāpat pieejami profili, kas ļauj izmantot nepieciešamākos moduļus tipiskajām sistēmas lietojumprogrammām. Ieteikti profili ‘minimal’ (tikai visnozīmīgākie moduļi un pamata FS), ‘conservative’ (+ tipiskie draiveri serveriem un virtuālo mašīnu) un desktop (+ draiveri WiFi, Bluetooth, skaņas un video).

Avots: opennet.lv