ModuleJail for å blokkere ubrukte moduler i Linux-kjernen.

Jasper Nuyens, grunnleggeren av Linux Belgium, som utviklet et lag for bruk av Linux i informasjonssystemet til Tesla-biler, foreslo en enkel metode for å redusere angrepsflater på Linux-kjernen for å senke sannsynligheten for kompromittering i lys av en økning i oppdagelsen av farlige sårbarheter ved hjelp av AI. Siden mange sårbarheter vanligvis finnes i spesifikke kjernemoduler som er tilgjengelige for automatisk lasting, men som vanligvis ikke brukes av de fleste brukere, foreslo Jasper å som standard blokkere moduler som ikke er i bruk i det aktuelle systemet eller generelt sjelden brukes.

Kjernen har flere tusen moduler tilgjengelig, men i de fleste systemer brukes bare noen hundre, mens resten forblir tilgjengelige for lasting og potensielt kan inneholde sårbarheter. Ideen er implementert gjennom skriptet ModuleJail, som definerer listen over moduler som brukes i det aktuelle systemet (gjennom /proc/modules) og automatisk setter ubrukte moduler på svartelisten. Skriptet er skrevet i shell, bruker vanlige systemverktøy (bare busybox er nødvendig) og distribueres under GPLv3-lisensen.

Skriptet støtter kjøring på Debian, Ubuntu, RHEL, Fedora, SUSE, AlmaLinux, Rocky Linux, Alpine og Arch Linux, og som et resultat av sitt arbeid genererer det filen /etc/modprobe.d/modulejail-blacklist.conf, som brukes av systemet for å deaktivere automatisk lasting av kjernemoduler. Denne tilnærmingen gjør det mulig å beskytte systemet proaktivt, uten å måtte laste spesialiserte kjernemoduler eller utføre ekstra bakgrunnsprosesser for å overvåke systemet.

Om nødvendig har brukeren muligheten til å legge til moduler som for øyeblikket ikke er lastet, men som potensielt kan brukes i driften, på hvitelisten. Det finnes også profiler som tillater bruk av de mest nødvendige modulene for typiske anvendelser av systemet. Profilene "minimal" (bare de viktigste modulene og grunnleggende FS), "konservativ" (+ typiske drivere for servere og virtual machines) og desktop (+ drivere for WiFi, Bluetooth, lyd og video).

Kilde: opennet.ru