Jasper Nuyens, fundador da organização Linux Belgium, que criou uma extensão para usar o Linux em sistemas de informação dos carros Tesla, propôs uma maneira simples de reduzir a superfície de ataque do kernel Linux, diminuindo a probabilidade de comprometimento diante do aumento na detecção de vulnerabilidades perigosas com o uso de IA. Como muitas vulnerabilidades costumam ser encontradas em módulos específicos do kernel, disponíveis para inicialização automática, mas geralmente não utilizados pela maioria dos usuários, Jasper sugeriu bloquear por padrão módulos que não são utilizados no sistema atual ou raramente utilizados de modo geral.
Existem milhares de módulos disponíveis no kernel, mas na maioria dos sistemas apenas algumas centenas são utilizados, enquanto os restantes permanecem disponíveis para carregamento e potencialmente podem conter vulnerabilidades. A ideia é implementada através do script ModuleJail, que define uma lista de módulos utilizados no sistema atual (via /proc/modules) e, automaticamente, coloca os módulos não utilizados na lista negra. O script é escrito em shell, utiliza utilitários de sistema comuns (basta o busybox) e é distribuído sob a licença GPLv3.
O script suporta execução em Debian, Ubuntu, RHEL, Fedora, SUSE, AlmaLinux, Rocky Linux, Alpine e Arch Linux, e como resultado de seu funcionamento gera o arquivo /etc/modprobe.d/modulejail-blacklist.conf, que é usado no sistema para desativar a inicialização automática de módulos do kernel. Essa abordagem permite proteger proativamente o seu sistema, sem ter que carregar módulos especializados do kernel ou executar processos em segundo plano adicionais para monitorar o sistema.
Se necessário, o usuário tem a opção de adicionar módulos à lista branca, que no momento não estão carregados, mas podem ser potencialmente utilizados em operação. Também estão disponíveis perfis que permitem o uso dos módulos mais necessários para aplicações típicas do sistema. Foram propostos os perfis "minimal" (apenas os módulos mais importantes e os principais FS), "conservative" (+ drivers típicos para servidores e máquinas virtuais) e desktop (+ drivers para Wi-Fi, Bluetooth, áudio e vídeo).
Fonte: opennet.ru
