🛡️ kprotect

نظرة عامة

kprotect هو محرك أمان على مستوى النواة مصمم لحماية بياناتك الحساسة من هجمات سلسلة التوريد (مثل مكتبات Python أو Node.js الخبيثة). يعمل كطبقة أمان مستقلة للملفات الأكثر حساسية.

• تطبيق eBPF-LSM: يعترض الوصول إلى الملفات على مستوى النواة استناداً إلى أنماط المسارات والرموز البرية (مثلاً *.env، home/user/.ssh/*).
• التحقق من السلسلة النسبية: يتحقق من سلسلة العمليات وليس فقط من ملف ثنائي واحد.
  • ✅ VS Code → Terminal → cat (سلسلة مصرح بها)
  • ❌ VS Code → Terminal → python script.py → cat (سلسلة غير مصرح بها وتم حظرها)
• واجهة شاملة: يتضمن خفيّة نظام، أداة واجهة أوامر، وواجهة رسومية لسطح المكتب.

التقنيات الأساسية

kprotect مبني حول مفاهيم برمجة الأنظمة الحديثة:

• سلامة الذاكرة: الخفيّة الخلفية مكتوبة بـ Rust، مع خطافات kernel تستخدم eBPF-LSM.
• النفقات العامة المنخفضة: استخدام خطافات BPF LSM يمنع زمن الانتقال المرتبط بالتبديل التقليدي لسياق المستخدم. تُظهر المقاييس الدقيقة تأثيراً ضئيلاً: +12.8 ميكروثانية لكل عملية استنساخ و +0.53 ميكروثانية لكل فتح ملف.
• التجزئة النسبية: تنفذ FNV-1a للتجزئة السريعة والحتمية لسلاسل نسب العمليات في مساحة kernel.
• التخزين المشفر: يتم تشفير الحالة والسجلات باستخدام AES-256-GCM، مع اشتقاق المفاتيح عبر HKDF-SHA256 المرتبطة بالجهاز المحلي (/etc/machine-id).
• الوعي بالنصوص البرمجية: يحتوي على محرك إثراء يقوم بتحليل وسائط المفسرات (python exploit.py مقابل python tool.py).
• Sudo قائم على السلسلة النسبية (Sudo السريع): توفر وحدة PAM مخصصة رفع صلاحية دون كلمة مرور مقيدة بسلاسل عمليات محددة.

مفهوم سلسلة التنفيذ النسبية

بدلاً من التحقق من صحة الملفات الفردية، يتحقق kprotect من مسار التنفيذ:

1. تتبع السلسلة النسبية: لكل عملية توقيع فريد مشتق من توقيع العملية الأم ومسارها التنفيذي الخاص.
2. التجزئة في مساحة kernel: تُحسب التوقيعات باستخدام تجزئة FNV-1a في مساحة kernel، مما يُنشئ سلسلة من عملية init وصولاً إلى العملية الطرفية.
3. المناطق الحمراء: يتم تعيين المواقع الحساسة (مثل ~/.ssh/id_rsa، ملفات .env، ملفات تعريف الارتباط للمتصفح) كمسارات محمية.
4. الحد الأدنى من الامتياز: يتم حظر وصول العمليات الجذرية إلى المناطق الحمراء ما لم يتم التصريح بسلسلة تنفيذها المحددة صراحةً.

✨ المميزات

• التطبيق على مستوى kernel: يستخدم خطافات BPF LSM (bprm_committed_creds، file_open) مع نفقات عامة تقترب من الصفر وحماية مقاومة للالتفاف.
• التكوين المشفر: جميع السياسات والتفويضات والسجلات مشفرة في حالة السكون باستخدام AES-256-GCM، بمفتاح مرتبط بالجهاز أو سر خاص بالنظام.
• قابلية مراقبة غنية:
  • التدفق المباشر: مراقبة فورية لولادة العمليات وإنهائها ومحاولات الوصول المحظورة.
  • سجلات التدقيق: سجلات مقاومة للتلاعب بجميع الإجراءات الهامة للأمان.
• واجهات متعددة:
  • kprotect-daemon: المحرك الأساسي الذي يعمل كخدمة systemd.
  • kprotect-cli: إدارة مباشرة عبر سطر الأوامر.
  • kprotect-gui: تطبيق سطح مكتب عصري وأنيق مبني باستخدام Tauri و React.
• الإثراء الديناميكي: يلتقط وسائط العمليات للمفسرات (Python, Node, Bash) للتمييز بين python safe_script.py و python malicious_script.py.
• Sudo السريع (مصادقة السلسلة النسبية): تكوين سلاسل نسب معقدة (مثل VS Code → Terminal → deploy.sh) لتجاوز طلبات كلمة مرور sudo تلقائياً وبطريقة آمنة دون استخدام قواعد الواسعة في .

🏗️ البنية

graph TD
    subgraph مساحة النواة
        LSM[خطافات BPF LSM]
        Maps[خرائط eBPF: التوقيعات، التفويض، المناطق]
    end

    subgraph مساحة المستخدم
        Daemon[kprotect-daemon]
        CLI[kprotect-cli]
        GUI[kprotect-gui]
    end

    LSM -->|أحداث الأداء| Daemon
    Daemon -->|تحديث الخرائط| Maps
    CLI -->|مقبس يونكس| Daemon
    GUI -->|مقبس يونكس| Daemon

📂 هيكل المشروع

يتكون kprotect من مكونين رئيسيين يجب تثبيتهما بالترتيب:

1. kprotect Core: الخفيّة الخلفية وأداة CLI (التفاعل مع kernel).
2. kprotect GUI: لوحة التحكم على سطح المكتب لإدارة سهلة.

🛠️ التثبيت والإعداد

1. المتطلبات الأساسية

• نواة لينكس 5.10+ مع دعم BPF LSM.
• معلمات النواة: تأكد من أن lsm=lockdown,yama,apparmor,bpf تتضمن bpf. يمكنك التحقق من ذلك باستخدام cat /sys/kernel/security/lsm.

2. تثبيت المحرك الأساسي (مطلوب)

قم بتثبيت الخفيّة أولاً لتمكين الحماية على مستوى kernel:

# تثبيت حزمة debian الأساسية
sudo apt install ./target/kprotect_0.2.0-beta-1_amd64.deb

سيقوم المثبت تلقائياً بإعداد خدمة systemd.

3. تثبيت واجهة المستخدم الرسومية (اختياري)

قم بتثبيت الواجهة الرسومية لتجربة إدارة مرئية:

# تثبيت حزمة الواجهة الرسومية
sudo apt install ./kprotect-ui/src-tauri/target/release/bundle/deb/kprotect-ui_0.2.0-beta_amd64.deb

⚠️ هام: بعد التثبيت

يرجى إعادة تشغيل جهاز الكمبيوتر بعد التثبيت الأول.
يحتاج kprotect إلى تتبع سلسلة نسب العمليات منذ لحظة إقلاع النظام. العمليات التي بدأت قبل تثبيت الخفيّة سيتم وضع علامة "لا سلسلة نسب" عليها ولا يمكن تفويضها بدقة.

💻 للمطورين: البناء من المصدر

إذا كنت تقوم ببناء المشروع بنفسك، استخدم البرامج النصية المساعدة المرفقة:

# بناء المحرك الأساسي (الخفيّة و CLI)
./scripts/build_deb.sh

# بناء واجهة المستخدم الرسومية لسطح المكتب
./scripts/build_gui.sh

⌨️ استخدام CLI الأساسي

على الرغم من أن الواجهة الرسومية موصى بها، يمكنك إدارة كل شيء عبر kprotect-cli:

# فحص النظام وسعة خريطة eBPF
sudo kprotect-cli status

# عرض الأحداث الأمنية المباشرة
sudo kprotect-cli events --stream

# تفويض سلسلة bash إلى cat
sudo kprotect-cli authorize add "/usr/bin/bash,/usr/bin/cat" --mode Suffix --description "أدوات التطوير"

# حماية ملف حساس
sudo kprotect-cli zone add red "/home/user/.ssh/id_rsa"

📂 تنظيم المشروع

• kprotect-ebpf: "العقل" في النواة. كود Rust شبيه بلغة C عالي الأداء باستخدام aya.
• kprotect-daemon: المركز الرئيسي. يدير عمر eBPF، التشفير، والحالة.
• kprotect-cli: أداة تفاعلية خفيفة الوزن.
• kprotect-ui: واجهة مستخدم سطح المكتب مبنية بـ Tauri + React + Vite + TailwindCSS.
• kprotect-common: هياكل البيانات المشتركة وتعريفات البروتوكول.

💖 دعم المشروع

إذا وجدت kprotect مفيداً وترغب في دعم تطويره، فكر في شراء قهوة لي! دعمك يساعدني على تكريس المزيد من الوقت لتحسين kprotect، وإضافة ميزات جديدة، والحفاظ على المشروع.

كل مساهمة، مهما كانت صغيرة، تُقدَّر بعمق وتحفزني على الاستمرار في بناء أدوات أمان أفضل لمجتمع لينكس. شكراً جزيلاً! 🙏

📝 الترخيص

هذا المشروع مرخص بموجب رخصة GNU Affero General Public License v3.0 (AGPL-3.0). راجع ملف LICENSE للحصول على التفاصيل.

طوَّره khoinp1012