🛡️ kprotect

Übersicht

kprotect ist eine Kernel-Sicherheits-Engine, die Ihre sensiblen Daten vor Supply-Chain-Angriffen (wie bösartigen Python- oder Node.js-Bibliotheken) schützen soll. Es fungiert als unabhängige Sicherheitsschicht für die sensibelsten Dateien.

• eBPF-LSM-Erzwingung: Unterbricht Dateizugriffe auf Kernel-Ebene basierend auf Pfadmustern und Wildcards (z. B. *.env, home/user/.ssh/*).
• Lineage-Überprüfung: Validiert die Prozesskette anstatt nur einer einzelnen Binärdatei.
  • ✅ VS Code → Terminal → cat (Autorisierte Kette)
  • ❌ VS Code → Terminal → python script.py → cat (Nicht autorisierte Kette blockiert)
• Umfassende Oberfläche: Beinhaltet einen System-Daemon, ein CLI-Tool und eine Desktop-GUI.

Kerntechnologien

kprotect basiert auf modernen Konzepten der Systemprogrammierung:

• Speichersicherheit: Der Backend-Daemon ist in Rust geschrieben, mit Kernel-Hooks, die eBPF-LSM nutzen.
• Geringer Overhead: Die Nutzung von BPF LSM-Hooks verhindert die Latenz, die mit herkömmlichem Userspace-Kontextwechsel verbunden ist. Mikro-Benchmarks zeigen minimale Auswirkungen: +12.8 µs pro Prozesserzeugung und +0.53 µs pro Dateiöffnung.
• Prozess-Hashing: Implementiert FNV-1a für schnelles, deterministisches Hashing von Prozess-Abstammungsketten im Kernelspace.
• Verschlüsselter Speicher: Zustand und Logs werden mit AES-256-GCM verschlüsselt, wobei Schlüssel über HKDF-SHA256 abgeleitet werden, die an die lokale Maschine gebunden sind (/etc/machine-id).
• Skript-Erkennung: Enthält eine Anreicherungs-Engine, die Argumente für Interpreter parst (python exploit.py vs python tool.py).
• Lineage-basiertes Sudo (Quick Sudo): Ein benutzerdefiniertes PAM-Modul bietet passwortlose Erhöhung, eingeschränkt auf bestimmte Prozessketten.

Konzept der Ausführungslinie

Anstatt einzelne Dateien zu validieren, validiert kprotect den Ausführungspfad:

1. Lineage-Verfolgung: Jeder Prozess hat eine eindeutige Signatur, die aus der Signatur seines Elternteils und seinem eigenen ausführbaren Pfad abgeleitet wird.
2. Kernelspace-Hashing: Signaturen werden mit FNV-1a-Hashing im Kernelspace berechnet, wodurch eine Kette vom Init-Prozess bis zum Blatt erstellt wird.
3. Rote Zonen: Sensible Orte (z. B. ~/.ssh/id_rsa, .env-Dateien, Browser-Cookies) werden als geschützte Pfade gekennzeichnet.
4. Minimale Rechte: Zugriff auf rote Zonen durch Root-Prozesse wird blockiert, es sei denn, ihre spezifische Ausführungslinie wurde explizit autorisiert.

✨ Funktionen

• Erzwingung auf Kernel-Ebene: Verwendet BPF LSM-Hooks (bprm_committed_creds, file_open) für nahezu keinen Overhead und umgehungssicheren Schutz.
• Verschlüsselte Konfiguration: Alle Richtlinien, Autorisierungen und Logs werden im Ruhezustand mit AES-256-GCM verschlüsselt, mit einem hardwaregebundenen oder systemspezifischen Geheimnis.
• Umfassende Beobachtbarkeit:
  • Live-Feed: Echtzeit-Überwachung von Prozessgeburten, -beendigungen und blockierten Zugriffsversuchen.
  • Prüfprotokolle: Manipulationssichere Protokolle aller sicherheitskritischen Aktionen.
• Mehrere Schnittstellen:
  • kprotect-daemon: Die Kern-Engine, die als systemd-Dienst läuft.
  • kprotect-cli: Direkte Kommandozeilenverwaltung.
  • kprotect-gui: Eine moderne, elegante Desktop-Anwendung, erstellt mit Tauri und React.
• Dynamische Anreicherung: Erfasst Prozessargumente für Interpreter (Python, Node, Bash), um zwischen python safe_script.py und python malicious_script.py zu unterscheiden.
• Quick Sudo (Lineage-Auth): Konfigurieren Sie komplexe Linienketten (z. B. VS Code → Terminal → deploy.sh), um -Passwortabfragen automatisch und sicher zu umgehen, ohne breite -Regeln in zu verwenden.

🏗️ Architektur

graph TD
    subgraph Kernel Space
        LSM[BPF LSM Hooks]
        Maps[eBPF Maps: Signatures, Auth, Zones]
    end

    subgraph Userspace
        Daemon[kprotect-daemon]
        CLI[kprotect-cli]
        GUI[kprotect-gui]
    end

    LSM -->|Perf Events| Daemon
    Daemon -->|Update Maps| Maps
    CLI -->|Unix Socket| Daemon
    GUI -->|Unix Socket| Daemon

📂 Projektstruktur

kprotect besteht aus zwei Hauptkomponenten, die der Reihe nach installiert werden sollten:

1. kprotect Core: Der Hintergrund-Daemon und das CLI-Tool (Kernel-Interaktion).
2. kprotect GUI: Das Desktop-Dashboard für die Verwaltung.

🛠️ Installation & Einrichtung

1. Voraussetzungen

• Linux-Kernel 5.10+ mit BPF-LSM-Unterstützung.
• Kernel-Parameter: Stellen Sie sicher, dass lsm=lockdown,yama,apparmor,bpf bpf enthält. Überprüfen Sie dies mit cat /sys/kernel/security/lsm.

2. Installation der Kern-Engine (erforderlich)

Installieren Sie zuerst den Daemon, um den Kernel-Schutz zu aktivieren:

# Install the core debian package
sudo apt install ./target/kprotect_0.2.0-beta-1_amd64.deb

Der Installer richtet den systemd-Dienst automatisch ein.

3. Installation der Desktop-GUI (optional)

Installieren Sie die GUI für eine visuelle Verwaltung:

# Install the GUI package
sudo apt install ./kprotect-ui/src-tauri/target/release/bundle/deb/kprotect-ui_0.2.0-beta_amd64.deb

⚠️ WICHTIG: Nach der Installation

Bitte starten Sie Ihren Computer nach der ersten Installation neu.
kprotect muss die Prozesslinien vom Zeitpunkt des Systemstarts an verfolgen. Prozesse, die vor der Installation des Daemons gestartet wurden, werden als „No Chain“ markiert und können nicht genau autorisiert werden.

💻 Entwickler: Aus dem Quellcode bauen

Wenn Sie das Projekt selbst bauen, verwenden Sie die enthaltenen Hilfsskripte:

# Build the Core (Daemon & CLI)
./scripts/build_deb.sh

# Build the Desktop GUI
./scripts/build_gui.sh

⌨️ Grundlegende CLI-Nutzung

Obwohl die GUI empfohlen wird, können Sie alles über kprotect-cli verwalten:

# Check system and eBPF map capacity
sudo kprotect-cli status

# View live security events
sudo kprotect-cli events --stream

# Authorize a bash-to-cat chain
sudo kprotect-cli authorize add "/usr/bin/bash,/usr/bin/cat" --mode Suffix --description "Dev tools"

# Protect a sensitive file
sudo kprotect-cli zone add red "/home/user/.ssh/id_rsa"

📂 Projektorganisation

• kprotect-ebpf: Das „Gehirn“ im Kernel. Hochleistungsfähiger Rust-Code im C-Stil mit aya.
• kprotect-daemon: Der zentrale Hub. Verwaltet eBPF-Lebensdauer, Verschlüsselung und Zustand.
• kprotect-cli: Leichtgewichtiges Interaktionswerkzeug.
• kprotect-ui: Desktop-UI erstellt mit Tauri + React + Vite + TailwindCSS.
• kprotect-common: Gemeinsame Datenstrukturen und Protokolldefinitionen.

💖 Unterstützen Sie das Projekt

Wenn Sie kprotect nützlich finden und seine Entwicklung unterstützen möchten, laden Sie mich auf einen Kaffee ein! Ihre Unterstützung hilft mir, mehr Zeit in die Verbesserung von kprotect, die Hinzufügung neuer Funktionen und die Wartung des Projekts zu investieren.

Jeder Beitrag, egal wie klein, wird sehr geschätzt und motiviert mich, weiterhin bessere Sicherheitswerkzeuge für die Linux-Community zu entwickeln. Vielen Dank! 🙏

📝 Lizenz

Dieses Projekt ist unter der GNU Affero General Public License v3.0 (AGPL-3.0) lizenziert. Weitere Informationen finden Sie in der Datei LICENSE.

Entwickelt von khoinp1012