kernel-hardening-checker

(precedentemente kconfig-hardened-check)

## Ringraziamenti Grazie ai [contributori][26] e agli utenti di questo progetto! ## Domande e risposte __D:__ In che modo tutti questi parametri del kernel influenzano la sicurezza del kernel Linux? __R:__ Per rispondere a questa domanda, puoi usare le [fonti delle raccomandazioni][24] di `kernel-hardening-checker` e la [Linux Kernel Defence Map][4] con i suoi riferimenti. __D:__ In che modo la disabilitazione di `CONFIG_USER_NS` riduce la superficie d'attacco? È necessario per i container! __R:__ Sì, l'opzione `CONFIG_USER_NS` fornisce un certo isolamento tra i programmi nello spazio utente, ma lo strumento raccomanda di disabilitarla per ridurre la superficie d'attacco __del kernel__. La motivazione: - Un articolo LWN sulla corrispondente discussione LKML: https://lwn.net/Articles/673597/ - Un thread su twitter su `CONFIG_USER_NS` e la sicurezza: https://twitter.com/robertswiecki/status/1095447678949953541 - Una buona panoramica del compromesso tra avere i namespace utente abilitati, disabilitati e disponibili solo per root: https://github.com/NixOS/nixpkgs/pull/84522#issuecomment-614640601 __D:__ KSPP e CLIP OS raccomandano `CONFIG_PANIC_ON_OOPS=y`. Perché questo strumento non fa lo stesso? __R:__ Non posso sostenere questa raccomandazione perché: - Riduce la robustezza del sistema (l'oops del kernel non è ancora una situazione rara nemmeno sui sistemi di produzione) - Permette attacchi denial-of-service più facili per l'intero sistema Dovresti abilitare `CONFIG_PANIC_ON_OOPS` se: - Il tuo kernel non incontra oops durante un carico di lavoro tipico - Un riavvio occasionale del sistema non è un problema nel tuo caso d'uso Vedo un buon compromesso, che `kernel-hardening-checker` raccomanda: - Abilita l'opzione kconfig `CONFIG_BUG`. Se si verifica un oops del kernel nel contesto di un processo, il processo offensivo/attaccante viene terminato. In altri casi, il kernel va in panico, simile a `CONFIG_PANIC_ON_OOPS=y`. - Imposta le opzioni sysctl `kernel.oops_limit` e `kernel.warn_limit` a `100`, per esempio. Da un lato, questo valore non permette un DoS facile. Dall'altro lato, non è troppo grande per perdere i tentativi di sfruttamento delle vulnerabilità che generano molti warning o oops del kernel. __D:__ Perché l'abilitazione di `CONFIG_STATIC_USERMODEHELPER` rompe varie cose nel mio sistema GNU/Linux? Ne ho davvero bisogno? __R:__ Gli helper del kernel Linux in spazio utente possono essere usati per l'escalation dei privilegi negli exploit del kernel ([esempio 1][9], [esempio 2][10]). `CONFIG_STATIC_USERMODEHELPER` previene questo metodo. Ma richiede il corrispondente supporto nello spazio utente: vedi l'[implementazione di esempio][11] di Tycho Andersen [@tych0][12]. __D:__ Qual è l'impatto sulle prestazioni di queste funzionalità di hardening della sicurezza? __R:__ Non è una domanda facile, poiché l'impatto sulle prestazioni dipende dal carico di lavoro del sistema. Una valutazione dettagliata dell'impatto sulle prestazioni delle funzionalità di hardening della sicurezza di Linux è in TODO (l'issue [#66][21]). Ci sono alcuni lavori interessanti in quest'area: - Ike Devolder [@BlackIkeEagle][7] ha eseguito alcuni test di prestazioni e ha descritto i risultati in [questo articolo][8]. - Fabian Rauscher, Benedict Herzog, Timo Hönig e Daniel Gruss hanno pubblicato un articolo ["Systematic Analysis of Kernel Security Performance and Energy Costs"][28] che descrive il sovraccarico energetico e di runtime delle mitigazioni delle vulnerabilità hardware (CONFIG_CPU_MITIGATIONS). __D:__ Il mio kernel ha tutte quelle mitigazioni delle vulnerabilità di esecuzione transitoria sul mio hardware? __R:__ Controllare la configurazione del kernel non è sufficiente per rispondere a questa domanda. Raccomando vivamente di usare lo strumento [spectre-meltdown-checker][13] mantenuto da Stéphane Lesimple [@speed47][14]. __D:__ Posso verificare facilmente quali versioni del kernel supportano una determinata opzione Kconfig? __R:__ Sì. Vedi il progetto [LKDDb][18] (Linux Kernel Driver Database) di Giacomo Catenazzi [@cateee][19]. Puoi usarlo per l'albero `mainline` o `stable` da [kernel.org][20] o per i tuoi sorgenti personalizzati del kernel. __D:__ Perché l'opzione `CONFIG_GCC_PLUGINS` viene automaticamente disabilitata durante la compilazione del kernel? __R:__ Significa che il tuo gcc non supporta i plugin. Per esempio, se hai `gcc-14` su Ubuntu, prova a installare il pacchetto `gcc-14-plugin-dev`, dovrebbe aiutare. [1]: https://kspp.github.io/Recommended_Settings [2]: https://docs.clip-os.org/clipos/kernel.html#configuration [3]: https://grsecurity.net/ [4]: https://github.com/a13xp0p0v/linux-kernel-defence-map [5]: https://lwn.net/Articles/791863/ [6]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues/38 [7]: https://github.com/BlackIkeEagle [8]: https://blog.herecura.eu/blog/2020-05-30-kconfig-hardening-tests/ [9]: https://googleprojectzero.blogspot.com/2018/09/a-cache-invalidation-bug-in-linux.html [10]: https://a13xp0p0v.github.io/2020/02/15/CVE-2019-18683.html [11]: https://github.com/tych0/huldufolk [12]: https://github.com/tych0 [13]: https://github.com/speed47/spectre-meltdown-checker [14]: https://github.com/speed47 [15]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues/53 [16]: https://github.com/a13xp0p0v/kernel-hardening-checker/pull/54 [17]: https://github.com/a13xp0p0v/kernel-hardening-checker/pull/62 [18]: https://cateee.net/lkddb/web-lkddb/ [19]: https://github.com/cateee/lkddb [20]: https://kernel.org/ [21]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues/66 [22]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues/56 [23]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues?q=label:kernel_maintainer_feedback [24]: https://github.com/a13xp0p0v/kernel-hardening-checker#motivation [25]: https://grapheneos.org/features [26]: https://github.com/a13xp0p0v/kernel-hardening-checker/graphs/contributors [27]: https://learn.cisecurity.org/benchmarks [28]: https://dl.acm.org/doi/epdf/10.1145/3708821.3736197

kernel-hardening-checker

Più Popolari

Motivazione

Repository

Caratteristiche

Attenzione!

Installazione

Utilizzo```

Generazione di un frammento Kconfig con le opzioni di hardening della sicurezza