xe1phix/parrotlinux-public-kiosk-projectProyecto sistemático de endurecimiento del kernel de Linux que implementa ajustes recomendados por KSPP, listas negras de módulos y configuración de entorno restringido para quioscos públicos basados en ParrotSec.
Kernel endurecido
- [ ] Kernel parcheado con GrSecurity
- [ ] Endurecimiento PaX
- [x] PaXctl
- [x] PaXTest
- [x] PaXctld
- [x]
Parámetros de tiempo de ejecución del kernel endurecido
- [x] Kernel Self Protection Project (KSPP)
- [x] pti=on - Aislamiento de la tabla de páginas del kernel
- [x] slub_debug=ZF - Redzonificación de SLUB y comprobación de integridad
- [x] slub_debug=P - Envenenamiento de liberación del asignador slub/slab
- [x] page_poison=1 - Habilitar el envenenamiento de liberación del asignador buddy
- [x] iommu.strict=1 - Forzar la invalidación de TLB de IOMMU
- [x] slab_nomerge - Deshabilitar la fusión de slabs - (dificulta muchos ataques de desbordamiento de heap)
- [x] init_on_alloc=1 - Limpiar las asignaciones de slab y páginas
- [x] randomize_kstack_offset=on - Aleatorizar el desplazamiento de la pila del kernel en la entrada de llamadas al sistema
- [x] Lista negra de IPv6
- [x] ipv6.disable=1
- [x] noipv6
- [x] ipv6.autoconf=0
- [x] Lista negra de Modprobe
- [x] Lista negra de Bluetooth
- [x] btsdio - controlador Bluetooth SDIO
- [x] btusb -
- [x] btintel - Intel
- [x] btrtl - Bluetooth de Realtek
- [x] bt3c_cs - Bluetooth PCMCIA de 3Com
- [x] btmrvl - controlador Bluetooth versión 1.0
- [x] btmrvl_sdio - Bluetooth sobre SDIO
- [x] btqca - familia Qualcomm Atheros
- [x] btbcm - Broadcom
- [x] bluetooth_6lowpan - Bluetooth 6LoWPAN
- [x] rfcomm - Bluetooth RFCOMM versión 1.11
- [x] bluecard_cs - Anycom BlueCard (LSE039/LSE041)
- [x] Lista negra de Apple
- [x] appletalk
- [x] thunderbolt_net
- [x] hfs
- [x] hfsplus
- [x] appletouch
- [x] hid-apple
- [x] Lista negra de EFI:
- [x] efivars
- [x] efivarfs
- [x] efi_pstore
- [x] NFS
- [x] nfsv2
- [x] nfsv3
- [x] nfsv4