kernel-hardening-checker

(anciennement kconfig-hardened-check)

## Remerciements Merci aux [contributeurs][26] et utilisateurs de ce projet ! ## Questions et réponses __Q:__ Comment tous ces paramètres du noyau influencent-ils la sécurité du noyau Linux ? __A:__ Pour répondre à cette question, vous pouvez utiliser les [sources de recommandations][24] de `kernel-hardening-checker` et la [Linux Kernel Defence Map][4] avec ses références. __Q:__ Comment la désactivation de `CONFIG_USER_NS` réduit-elle la surface d'attaque ? C'est nécessaire pour les conteneurs ! __A:__ Oui, l'option `CONFIG_USER_NS` offre une certaine isolation entre les programmes de l'espace utilisateur, mais l'outil recommande de la désactiver pour réduire la surface d'attaque __du noyau__. La justification : - Un article LWN sur la discussion LKML correspondante : https://lwn.net/Articles/673597/ - Un fil Twitter sur `CONFIG_USER_NS` et la sécurité : https://twitter.com/robertswiecki/status/1095447678949953541 - Un bon aperçu du compromis entre les espaces de noms utilisateur activés, désactivés et disponibles uniquement pour root : https://github.com/NixOS/nixpkgs/pull/84522#issuecomment-614640601 __Q:__ KSPP et CLIP OS recommandent `CONFIG_PANIC_ON_OOPS=y`. Pourquoi cet outil ne fait-il pas de même ? __A:__ Je ne peux pas soutenir cette recommandation car : - Cela diminue la robustesse du système (un oops du noyau n'est toujours pas une situation rare, même sur les systèmes de production) - Cela facilite les attaques par déni de service sur l'ensemble du système Vous devriez activer `CONFIG_PANIC_ON_OOPS` si : - Votre noyau ne rencontre pas d'oops lors d'une charge de travail typique - Un redémarrage occasionnel du système n'est pas un problème dans votre cas d'utilisation Je vois un bon compromis, que `kernel-hardening-checker` recommande : - Activez l'option `CONFIG_BUG` kconfig. Si un oops du noyau se produit dans le contexte d'un processus, le processus incriminé/attaquant est tué. Dans les autres cas, le noyau panique, ce qui est similaire à `CONFIG_PANIC_ON_OOPS=y`. - Réglez les options sysctl `kernel.oops_limit` et `kernel.warn_limit` à `100`, par exemple. D'une part, cette valeur ne permet pas un DoS facile. D'autre part, elle n'est pas trop grande pour manquer les tentatives d'exploitation de vulnérabilités générant beaucoup d'avertissements ou d'oops du noyau. __Q:__ Pourquoi l'activation de `CONFIG_STATIC_USERMODEHELPER` casse-t-elle diverses choses dans mon système GNU/Linux ? Ai-je vraiment besoin de cette fonctionnalité ? __A:__ Les helpers usermode du noyau Linux peuvent être utilisés pour l'escalade de privilèges dans les exploits du noyau ([exemple 1][9], [exemple 2][10]). `CONFIG_STATIC_USERMODEHELPER` empêche cette méthode. Mais elle nécessite le support correspondant dans l'espace utilisateur : voir l'[exemple d'implémentation][11] par Tycho Andersen [@tych0][12]. __Q:__ Qu'en est-il de l'impact sur les performances de ces fonctionnalités de durcissement de la sécurité ? __A:__ Ce n'est pas une question facile, car l'impact sur les performances dépend de la charge de travail du système. Une évaluation détaillée de l'impact sur les performances des fonctionnalités de durcissement de la sécurité de Linux est dans TODO (le problème [#66][21]). Il y a quelques travaux intéressants dans ce domaine : - Ike Devolder [@BlackIkeEagle][7] a effectué des tests de performance et a décrit les résultats dans [cet article][8]. - Fabian Rauscher, Benedict Herzog, Timo Hönig et Daniel Gruss ont publié un article ["Systematic Analysis of Kernel Security Performance and Energy Costs"][28] qui décrit le surcoût énergétique et en temps d'exécution des atténuations de vulnérabilités matérielles (`CONFIG_CPU_MITIGATIONS`). __Q:__ Mon noyau a-t-il toutes ces atténuations des vulnérabilités d'exécution transitoire dans mon matériel ? __A:__ Vérifier la configuration du noyau ne suffit pas pour répondre à cette question. Je recommande vivement d'utiliser l'outil [spectre-meltdown-checker][13] maintenu par Stéphane Lesimple [@speed47][14]. __Q:__ Puis-je facilement vérifier quelles versions du noyau prennent en charge une option Kconfig ? __A:__ Oui. Voir le projet [LKDDb][18] (Linux Kernel Driver Database) par Giacomo Catenazzi [@cateee][19]. Vous pouvez l'utiliser pour l'arborescence `mainline` ou `stable` de [kernel.org][20] ou pour vos sources de noyau personnalisées. __Q:__ Pourquoi l'option `CONFIG_GCC_PLUGINS` est-elle automatiquement désactivée lors de la compilation du noyau ? __A:__ Cela signifie que votre gcc ne prend pas en charge les plugins. Par exemple, si vous avez `gcc-14` sur Ubuntu, essayez d'installer le paquet `gcc-14-plugin-dev`, cela devrait aider. [1]: https://kspp.github.io/Recommended_Settings [2]: https://docs.clip-os.org/clipos/kernel.html#configuration [3]: https://grsecurity.net/ [4]: https://github.com/a13xp0p0v/linux-kernel-defence-map [5]: https://lwn.net/Articles/791863/ [6]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues/38 [7]: https://github.com/BlackIkeEagle [8]: https://blog.herecura.eu/blog/2020-05-30-kconfig-hardening-tests/ [9]: https://googleprojectzero.blogspot.com/2018/09/a-cache-invalidation-bug-in-linux.html [10]: https://a13xp0p0v.github.io/2020/02/15/CVE-2019-18683.html [11]: https://github.com/tych0/huldufolk [12]: https://github.com/tych0 [13]: https://github.com/speed47/spectre-meltdown-checker [14]: https://github.com/speed47 [15]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues/53 [16]: https://github.com/a13xp0p0v/kernel-hardening-checker/pull/54 [17]: https://github.com/a13xp0p0v/kernel-hardening-checker/pull/62 [18]: https://cateee.net/lkddb/web-lkddb/ [19]: https://github.com/cateee/lkddb [20]: https://kernel.org/ [21]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues/66 [22]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues/56 [23]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues?q=label:kernel_maintainer_feedback [24]: https://github.com/a13xp0p0v/kernel-hardening-checker#motivation [25]: https://grapheneos.org/features [26]: https://github.com/a13xp0p0v/kernel-hardening-checker/graphs/contributors [27]: https://learn.cisecurity.org/benchmarks [28]: https://dl.acm.org/doi/epdf/10.1145/3708821.3736197

kernel-hardening-checker

Populaires

Motivation

Dépôts

Fonctionnalités

Attention!

Installation

Utilisation```

Génération d'un fragment Kconfig avec les options de durcissement de sécurité