xe1phix/parrotlinux-public-kiosk-projectProjet systématique de durcissement du noyau Linux mettant en œuvre les paramètres recommandés par KSPP, la mise sur liste noire des modules et la configuration d’un environnement restreint pour les kiosques publics basés sur ParrotSec.
Noyau durci
- [ ] Noyau patché GrSecurity
- [ ] Durcissement PaX
- [x] PaXctl
- [x] PaXTest
- [x] PaXctld
- [x]
Paramètres d'exécution du noyau durcis
- [x] Kernel Self Protection Project (KSPP)
- [x] pti=on - Isolation des tables de pages du noyau
- [x] slub_debug=ZF - Redzoning et vérification de l'intégrité SLUB
- [x] slub_debug=P - Empoisonnement des blocs libres de l'allocateur slub/slab
- [x] page_poison=1 - Activer l'empoisonnement des blocs libres de l'allocateur buddy
- [x] iommu.strict=1 - Forcer l'invalidation des TLB IOMMU
- [x] slab_nomerge - Désactiver la fusion des slabs (rend de nombreuses attaques de dépassement de tas plus difficiles)
- [x] init_on_alloc=1 - Effacer les allocations slab et page
- [x] randomize_kstack_offset=on - Randomiser le décalage de la pile du noyau lors d'un appel système
- [x] Liste noire IPv6
- [x] ipv6.disable=1
- [x] noipv6
- [x] ipv6.autoconf=0
- [x] Liste noire Modprobe
- [x] Liste noire Bluetooth
- [x] btsdio - Pilote Bluetooth SDIO
- [x] btusb -
- [x] btintel - Intel
- [x] btrtl - Realtek Bluetooth
- [x] bt3c_cs - 3Com Bluetooth PCMCIA
- [x] btmrvl - Pilote Bluetooth version 1.0
- [x] btmrvl_sdio - BT-over-SDIO
- [x] btqca - Famille Qualcomm Atheros
- [x] btbcm - Broadcom
- [x] bluetooth_6lowpan - Bluetooth 6LoWPAN
- [x] rfcomm - Bluetooth RFCOMM version 1.11
- [x] bluecard_cs - Anycom BlueCard (LSE039/LSE041)
- [x] Liste noire Apple
- [x] appletalk
- [x] thunderbolt_net
- [x] hfs
- [x] hfsplus
- [x] appletouch
- [x] hid-apple
- [x] Liste noire EFI :
- [x] efivars
- [x] efivarfs
- [x] efi_pstore
- [x] NFS
- [x] nfsv2
- [x] nfsv3
- [x] nfsv4