Jasper Nuyens, zakladateľ organizácie Linux Belgium, ktorý vytvoril nadstavbu pre využívanie Linuxu v informačnom systéme automobilov Tesla, navrhol jednoduchý spôsob, ako znížiť útočnú plochu na jadro Linuxu, aby sa znížila pravdepodobnosť kompromitácie v súvislosti s nárastom odhalenia nebezpečných zraniteľností pomocou AI. Keďže mnohé zraniteľnosti sa zvyčajne nachádzajú v špecifických moduloch jadra dostupných pre automatické načítanie, avšak zvyčajne nevyužívaných väčšinou používateľov, Jasper navrhol predvolene blokovať nepoužívané moduly v aktuálnom systéme alebo vo všeobecnosti zriedka používané moduly.
V jadre je k dispozícii niekoľko tisíc modulov, ale v väčšine systémov sa používa len niekoľko stoviek, zatiaľ čo ostatné zostávajú dostupné na načítanie a potenciálne môžu obsahovať zraniteľnosti. Nápad je realizovaný prostredníctvom skriptu ModuleJail, ktorý určuje zoznam používaných modulov v aktuálnom systéme (cez /proc/modules) a automaticky umiestňuje nepoužívané moduly na čiernu listinu. Skript je napísaný v shelli, využíva bežné systémové utility (stačí busybox) a šíri sa pod licenciou GPLv3.
Skript podporuje fungovanie v Debian, Ubuntu, RHEL, Fedora, SUSE, AlmaLinux, Rocky Linux, Alpine a Arch Linux, a v dôsledku svojej činnosti generuje súbor /etc/modprobe.d/modulejail-blacklist.conf, ktorý je štandardne používaný v systéme na vypnutie automatického načítania modulov jadra. Takýto prístup umožňuje preventívne chrániť svoj systém, bez toho, aby bolo potrebné načítavať špecializované moduly jadra alebo vykonávať dodatočné pozadové procesy na monitorovanie systému.
V prípade potreby má používateľ možnosť pridať do bielej listiny moduly, ktoré momentálne nie sú načítané, ale potenciálne môžu byť použité v práci. K dispozícii sú tiež profily, ktoré povoľujú použitie najnevyhnutnejších modulov pre typické aplikácie systému. Navrhnuté sú profily „minimal“ (len najdôležitejšie moduly a základné FS), „conservative“ (+ typické ovládače pre servery a virtuálních strojů) a desktop (+ ovládače pre WiFi, Bluetooth, zvuk a video).
Zdroj: opennet.ru
