xe1phix/parrotlinux-public-kiosk-projectProgetto sistematico di hardening del kernel Linux che implementa le impostazioni raccomandate da KSPP, blacklisting dei moduli e configurazione dell'ambiente ristretto per chioschi pubblici basati su ParrotSec.
Kernel indurito
- [ ] Kernel con patch GrSecurity
- [ ] PaX Hardening
- [x] PaXctl
- [x] PaXTest
- [x] PaXctld
- [x]
Parametri runtime del kernel indurito
- [x] Progetto di autoprotezione del kernel (KSPP)
- [x] pti=on - Isolamento delle Page Table del kernel
- [x] slub_debug=ZF - Redzoning e sanity check SLUB
- [x] slub_debug=P - Free poisoning dell'allocatore slub/slab
- [x] page_poison=1 - Abilita il free poisoning dell'allocatore buddy
- [x] iommu.strict=1 - Forza l'invalidazione della TLB IOMMU
- [x] slab_nomerge - Disabilita il merging delle slab - (rende più difficili molti attacchi di heap overflow)
- [x] init_on_alloc=1 - Azzera le allocazioni di slab e pagine
- [x] randomize_kstack_offset=on - Randomizza l'offset dello stack del kernel all'ingresso delle syscall
- [x] Blacklist IPv6
- [x] ipv6.disable=1
- [x] noipv6
- [x] ipv6.autoconf=0
- [x] Blacklisting di Modprobe
- [x] Blacklisting Bluetooth
- [x] btsdio - Driver Bluetooth SDIO
- [x] btusb -
- [x] btintel - Intel
- [x] btrtl - Bluetooth Realtek
- [x] bt3c_cs - Bluetooth PCMCIA 3Com
- [x] btmrvl - Driver Bluetooth ver 1.0
- [x] btmrvl_sdio - BT-over-SDIO
- [x] btqca - famiglia Qualcomm Atheros
- [x] btbcm - Broadcom
- [x] bluetooth_6lowpan - Bluetooth 6LoWPAN
- [x] rfcomm - Bluetooth RFCOMM ver 1.11
- [x] bluecard_cs - Anycom BlueCard (LSE039/LSE041)
- [x] Blacklisting Apple
- [x] appletalk
- [x] thunderbolt_net
- [x] hfs
- [x] hfsplus
- [x] appletouch
- [x] hid-apple
- [x] Blacklisting EFI:
- [x] efivars
- [x] efivarfs
- [x] efi_pstore
- [x] NFS
- [x] nfsv2
- [x] nfsv3
- [x] nfsv4