ലിനക്സ് 5.4 കേർണലിന് കേർണൽ ഇന്റേണലുകളിലേക്കുള്ള റൂട്ട് ആക്സസ് പരിമിതപ്പെടുത്തുന്നതിനുള്ള പാച്ചുകൾ ലഭിച്ചു.

ലിനസ് ടോർവാൾഡ്സ് സ്വീകരിച്ചു Linux 5.4 കേർണലിന്റെ വരാനിരിക്കുന്ന പതിപ്പിൽ ഉൾപ്പെടുത്തിയിരിക്കുന്നത് ഒരു കൂട്ടം പാച്ചുകളാണ് "ലോക്ക്ഡൌൺ", നിർദ്ദേശിച്ചു ഡേവിഡ് ഹോവെൽസും (റെഡ് ഹാറ്റ്) മാത്യു ഗാരറ്റും (മാത്യു ഗാരറ്റ്, Google-ൽ പ്രവർത്തിക്കുന്നു) കേർണലിലേക്കുള്ള റൂട്ട് ഉപയോക്തൃ ആക്‌സസ് പരിമിതപ്പെടുത്താൻ. ലോക്ക്ഡൗണുമായി ബന്ധപ്പെട്ട പ്രവർത്തനം ഓപ്ഷണലായി ലോഡുചെയ്ത എൽഎസ്എം മൊഡ്യൂളിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട് (ലിനക്സ് സുരക്ഷാ മൊഡ്യൂൾ), ഇത് UID 0 നും കേർണലിനും ഇടയിൽ ഒരു തടസ്സം സ്ഥാപിക്കുന്നു, ചില താഴ്ന്ന നിലയിലുള്ള പ്രവർത്തനങ്ങളെ നിയന്ത്രിക്കുന്നു.

ഒരു ആക്രമണകാരിക്ക് റൂട്ട് റൈറ്റ്‌സ് ഉപയോഗിച്ച് കോഡ് എക്‌സിക്യൂഷൻ നേടാനായാൽ, കേർണൽ ലെവലിൽ അവന്റെ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാൻ കഴിയും, ഉദാഹരണത്തിന്, കെക്‌സെക് ഉപയോഗിച്ച് കേർണൽ മാറ്റിസ്ഥാപിക്കുക അല്ലെങ്കിൽ /dev/kmem വഴി മെമ്മറി റീഡിംഗ്/റൈറ്റിംഗ് ചെയ്യുക. അത്തരം പ്രവർത്തനത്തിന്റെ ഏറ്റവും വ്യക്തമായ അനന്തരഫലം ഇതായിരിക്കാം വഴിമാറി UEFI സുരക്ഷിത ബൂട്ട് അല്ലെങ്കിൽ കേർണൽ തലത്തിൽ സംഭരിച്ചിരിക്കുന്ന സെൻസിറ്റീവ് ഡാറ്റ വീണ്ടെടുക്കുന്നു.

തുടക്കത്തിൽ, വേരിഫൈഡ് ബൂട്ടിന്റെ സംരക്ഷണം ശക്തിപ്പെടുത്തുന്നതിന്റെ പശ്ചാത്തലത്തിലാണ് റൂട്ട് നിയന്ത്രണ പ്രവർത്തനങ്ങൾ വികസിപ്പിച്ചെടുത്തത്, വിതരണങ്ങൾ യുഇഎഫ്ഐ സെക്യൂർ ബൂട്ടിന്റെ ബൈപാസ് തടയുന്നതിന് മൂന്നാം കക്ഷി പാച്ചുകൾ ഉപയോഗിച്ചുവരുന്നു. അതേ സമയം, അത്തരം നിയന്ത്രണങ്ങൾ കാരണം കേർണലിന്റെ പ്രധാന ഘടനയിൽ ഉൾപ്പെടുത്തിയിട്ടില്ല അഭിപ്രായവ്യത്യാസങ്ങൾ അവ നടപ്പിലാക്കുന്നതിലും നിലവിലുള്ള സംവിധാനങ്ങളെ തടസ്സപ്പെടുത്തുമോ എന്ന ഭയത്തിലും. "ലോക്ക്ഡൗൺ" മൊഡ്യൂൾ ഇതിനകം വിതരണങ്ങളിൽ ഉപയോഗിച്ചിരുന്ന പാച്ചുകൾ ആഗിരണം ചെയ്തു, അവ യുഇഎഫ്ഐ സെക്യൂർ ബൂട്ടുമായി ബന്ധിപ്പിച്ചിട്ടില്ലാത്ത ഒരു പ്രത്യേക സബ്സിസ്റ്റത്തിന്റെ രൂപത്തിൽ പുനർരൂപകൽപ്പന ചെയ്തു.

ലോക്ക്ഡൗൺ മോഡ് /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobes ഡീബഗ് മോഡ്, mmiotrace, tracefs, BPF, PCMCIA CIS (കാർഡ് ഇൻഫർമേഷൻ സ്ട്രക്ചർ), ചില ACPI ഇന്റർഫേസുകൾ, CPU എന്നിവയിലേക്കുള്ള ആക്സസ് നിയന്ത്രിക്കുന്നു. MSR രജിസ്റ്ററുകൾ, kexec_file, kexec_load കോളുകൾ തടഞ്ഞിരിക്കുന്നു, സ്ലീപ്പ് മോഡ് നിരോധിച്ചിരിക്കുന്നു, PCI ഉപകരണങ്ങൾക്കുള്ള DMA ഉപയോഗം പരിമിതമാണ്, EFI വേരിയബിളുകളിൽ നിന്നുള്ള ACPI കോഡ് ഇറക്കുമതി നിരോധിച്ചിരിക്കുന്നു,
സീരിയൽ പോർട്ടിനായുള്ള ഇന്ററപ്റ്റ് നമ്പറും I/O പോർട്ടും മാറ്റുന്നത് ഉൾപ്പെടെ, I/O പോർട്ടുകൾ ഉപയോഗിച്ചുള്ള കൃത്രിമങ്ങൾ അനുവദനീയമല്ല.

സ്ഥിരസ്ഥിതിയായി, ലോക്ക്ഡൗൺ മൊഡ്യൂൾ സജീവമല്ല, kconfig-ൽ SECURITY_LOCKDOWN_LSM ഓപ്ഷൻ വ്യക്തമാക്കിയിരിക്കുമ്പോൾ ഇത് നിർമ്മിക്കപ്പെടുന്നു, കൂടാതെ "lockdown=" എന്ന കേർണൽ പാരാമീറ്റർ, "/sys/kernel/security/lockdown" അല്ലെങ്കിൽ അസംബ്ലി ഓപ്‌ഷനുകൾ എന്നിവയിലൂടെ ഇത് സജീവമാക്കുന്നു. LOCK_DOWN_KERNEL_FORCE_*, അതിന് "സമഗ്രത", "രഹസ്യത" എന്നീ മൂല്യങ്ങൾ എടുക്കാം. ആദ്യ സന്ദർഭത്തിൽ, യൂസർ സ്‌പെയ്‌സിൽ നിന്ന് പ്രവർത്തിക്കുന്ന കേർണലിൽ മാറ്റങ്ങൾ വരുത്താൻ അനുവദിക്കുന്ന ഫീച്ചറുകൾ ബ്ലോക്ക് ചെയ്‌തിരിക്കുന്നു, രണ്ടാമത്തെ സാഹചര്യത്തിൽ, കേർണലിൽ നിന്ന് സെൻസിറ്റീവ് വിവരങ്ങൾ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യാൻ ഉപയോഗിക്കാവുന്ന പ്രവർത്തനവും പ്രവർത്തനരഹിതമാക്കുന്നു.

ലോക്ക്ഡൗൺ കേർണലിലേക്കുള്ള സ്റ്റാൻഡേർഡ് ആക്‌സസ് പരിമിതപ്പെടുത്തുന്നു എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്, എന്നാൽ കേടുപാടുകൾ ചൂഷണം ചെയ്യുന്നതിന്റെ ഫലമായി പരിഷ്‌ക്കരണങ്ങളിൽ നിന്ന് പരിരക്ഷിക്കുന്നില്ല. ഓപ്പൺവാൾ പ്രോജക്റ്റ് ഉപയോഗിക്കുമ്പോൾ പ്രവർത്തിക്കുന്ന കേർണലിലെ മാറ്റങ്ങൾ തടയുന്നതിന് വികസിപ്പിക്കുന്നു പ്രത്യേക മൊഡ്യൂൾ എൽ.കെ.ആർ.ജി (ലിനക്സ് കേർണൽ റൺടൈം ഗാർഡ്).

അവലംബം: opennet.ru