ModuleJail för att blockera oanvända moduler i Linux-kärnan.

Jasper Nuyens, grundare av organisationen Linux Belgium, som skapade en förstärkning för att använda Linux i informationssystemet för Tesla-bilar, föreslog ett enkelt sätt att minska angreppsyta på Linux-kärnan för att minska risken för kompromissering mot bakgrund av ökade upptäckter av farliga sårbarheter med hjälp av AI. Eftersom många sårbarheter ofta finns i specifika kärnmoduler som är tillgängliga för autoladdning men vanligtvis inte används av de flesta användare, föreslog Jasper att man skulle blockera moduler som inte används i det aktuella systemet eller som sällan används som standard.

Det finns flera tusen moduler tillgängliga i kärnan, men i de flesta system används bara några hundra, medan resten förblir tillgängliga för nedladdning och potentiellt kan innehålla sårbarheter. Idén har realiserats genom skriptet ModuleJail, som definierar listan över moduler som används i det aktuella systemet (via /proc/modules) och automatiskt sätter icke-använda moduler på svarta listan. Skriptet är skrivet i shell, använder vanliga systemverktyg (tillräckligt med busybox) och sprids under GPLv3-licens.

Skriptet stöder körning på Debian, Ubuntu, RHEL, Fedora, SUSE, AlmaLinux, Rocky Linux, Alpine och Arch Linux, och som ett resultat av sin verksamhet genererar det filen /etc/modprobe.d/modulejail-blacklist.conf, som vanligtvis används i systemet för att stänga av autoladdning av kärnmoduler. Denna tillvägagångssätt möjliggör ett förebyggande skydd av sitt system utan att behöva ladda ner specialiserade kärnmoduler eller köra extra bakgrundsprocesser för systemövervakning.

Vid behov har användaren möjlighet att lägga till moduler till den vita listan, som för närvarande inte laddas, men potentiellt kan användas i arbetet. Profiler som tillåter användning av de mest nödvändiga modulerna för typiska systemapplikationer är också tillgängliga. Dessa inkluderar profilerna 'minimal' (endast de mest viktiga modulerna och grundläggande filsystem), 'konservativ' (+ typiska drivrutiner för servrar och virtuella maskiner) och desktop (+ drivrutiner för WiFi, Bluetooth, ljud och video).

Källa: opennet.ru