🛡️ kprotect

kprotect Dashboard

概要

kprotect は、サプライチェーン攻撃（悪意のある Python や Node.js ライブラリなど）から機密データを保護するために設計されたカーネルレベルのセキュリティエンジンです。最も機密性の高いファイルに対して独立したセキュリティレイヤーとして機能します。

eBPF-LSM による強制：パスパターンやワイルドカード（例：*.env、home/user/.ssh/*）に基づいて、ファイルアクセスをカーネルレベルでインターセプトします。
系統（Lineage）検証：単一のバイナリだけでなく、プロセスチェーン を検証します。
- ✅ VS Code → Terminal → cat（許可されたチェーン）
- ❌ VS Code → Terminal → python script.py → cat（許可されていないチェーンとしてブロック）
包括的なインターフェース：システムデーモン、CLI ツール、デスクトップ GUI を備えています。

コア技術

kprotect は、最新のシステムプログラミングの概念を基に構築されています。

メモリ安全性：バックエンドデーモンは Rust で記述され、カーネルフックは eBPF-LSM を利用しています。
低オーバーヘッド：BPF LSM フックを利用することで、従来のユーザー空間コンテキストスイッチに伴うレイテンシを回避します。マイクロベンチマークでは、影響は最小限で、プロセス生成ごとに +12.8 µs、ファイルオープンごとに +0.53 µs です。
プロセスのハッシュ化：カーネル空間でプロセス系統チェーンの高速かつ決定論的なハッシュ化に FNV-1a を実装しています。
暗号化ストレージ：状態とログは AES-256-GCM で暗号化され、キーはローカルマシンにバインドされた HKDF-SHA256（/etc/machine-id）で導出されます。
スクリプト認識：インタプリタ（python exploit.py と python tool.py など）の引数を解析するエンリッチメントエンジンを搭載しています。
系統ベースの sudo（Quick Sudo）：カスタム PAM モジュールにより、特定のプロセスチェーンに制限されたパスワードなしの権限昇格を提供します。

実行系統（Execution Lineage）の概念

個々のファイルを検証するのではなく、kprotect は実行経路を検証します。

系統追跡：各プロセスは、親プロセスの署名と自身の実行可能パスから導出される一意の署名を持ちます。
カーネル空間でのハッシュ化：署名はカーネル空間で FNV-1a ハッシュを使用して計算され、init プロセスからリーフまでのチェーンを生成します。
レッドゾーン：機密性の高い場所（例：~/.ssh/id_rsa、.env ファイル、ブラウザのクッキー）が保護パスとして指定されます。
最小権限：特定の実行系統が明示的に許可されていない限り、レッドゾーンへの root プロセスによるアクセスはブロックされます。

✨ 機能

カーネルレベルでの強制：BPF LSM フック（bprm_committed_creds、file_open）を使用し、ほぼゼロのオーバーヘッドでバイパス耐性のある保護を実現。
暗号化設定：すべてのポリシー、認可、ログは AES-256-GCM で保存時に暗号化され、ハードウェアバインドまたはシステム固有のシークレットでキーが設定されます。
豊富な可観測性：
- ライブフィード：プロセスの生成、終了、ブロックされたアクセス試行をリアルタイムで監視します。
- 監査ログ：すべてのセキュリティ上重要なアクションの改ざん防止ログ。
複数のインターフェース：
- kprotect-daemon：systemd サービスとして動作するコアエンジン。
- kprotect-cli：直接的なコマンドライン管理。
- kprotect-gui：Tauri と React で構築されたモダンで洗練されたデスクトップアプリケーション。
動的エンリッチメント：インタプリタ（Python、Node、Bash）のプロセス引数をキャプチャし、python safe_script.py と python malicious_script.py を区別します。
Quick Sudo（Lineage-Auth）：複雑な系統チェーン（例：VS Code → Terminal → deploy.sh）を設定し、/etc/sudoers での広範な NOPASSWD ルールを使用せずに、安全に sudo パスワードプロンプトを自動的にバイパスします。

🏗️ アーキテクチャ

graph TD
    subgraph Kernel Space
        LSM[BPF LSM Hooks]
        Maps[eBPF Maps: Signatures, Auth, Zones]
    end

    subgraph Userspace
        Daemon[kprotect-daemon]
        CLI[kprotect-cli]
        GUI[kprotect-gui]
    end

    LSM -->|Perf Events| Daemon
    Daemon -->|Update Maps| Maps
    CLI -->|Unix Socket| Daemon
    GUI -->|Unix Socket| Daemon

📂 プロジェクト構造

kprotect は、順番にインストールする必要がある 2 つの主要コンポーネントで構成されます。

kprotect コア：バックグラウンドデーモンと CLI ツール（カーネルとの対話）。
kprotect GUI：管理のためのデスクトップダッシュボード。

🛠️ インストールとセットアップ

1. 前提条件

BPF LSM をサポートする Linux カーネル 5.10 以上。
カーネルパラメータ：lsm=lockdown,yama,apparmor,bpf に bpf が含まれていることを確認します。cat /sys/kernel/security/lsm で確認できます。

2. コアエンジンのインストール（必須）

最初にデーモンをインストールして、カーネルレベルの保護を有効にします。

# コア debian パッケージをインストール
sudo apt install ./target/kprotect_0.2.0-beta-1_amd64.deb

インストーラーは自動的に systemd サービスをセットアップします。

3. デスクトップ GUI のインストール（オプション）

視覚的な管理体験のために GUI をインストールします。

# GUI パッケージをインストール
sudo apt install ./kprotect-ui/src-tauri/target/release/bundle/deb/kprotect-ui_0.2.0-beta_amd64.deb

⚠️ 重要：インストール後

最初のインストール後は、コンピュータを再起動してください。
kprotect はシステム起動時からプロセス系統を追跡する必要があります。デーモンがインストールされる前に起動されたプロセスは「チェーンなし」とマークされ、正確に認可できません。

💻 開発者：ソースからのビルド

自分でプロジェクトをビルドする場合は、同梱のヘルパースクリプトを使用してください。

# コア（デーモンと CLI）をビルド
./scripts/build_deb.sh

# デスクトップ GUI をビルド
./scripts/build_gui.sh

⌨️ 基本的な CLI の使用法

GUI をお勧めしますが、すべてを kprotect-cli で管理することもできます。

# システムと eBPF マップ容量を確認
sudo kprotect-cli status

# ライブセキュリティイベントを表示
sudo kprotect-cli events --stream

# bash-to-cat チェーンを認可
sudo kprotect-cli authorize add "/usr/bin/bash,/usr/bin/cat" --mode Suffix --description "開発ツール"

# 機密ファイルを保護
sudo kprotect-cli zone add red "/home/user/.ssh/id_rsa"

📂 プロジェクト構成

kprotect-ebpf：カーネル内の「頭脳」。aya を使用した高性能な C ライクな Rust コード。
kprotect-daemon：中央ハブ。eBPF のライフサイクル、暗号化、状態を管理。
kprotect-cli：軽量な対話ツール。
kprotect-ui：Tauri + React + Vite + TailwindCSS で構築されたデスクトップ UI。
kprotect-common：共有データ構造とプロトコル定義。

💖 プロジェクトを支援する

kprotect が役に立ち、その開発を支援したいと思われるなら、コーヒーを一杯ご馳走してください！あなたの支援は、kprotect の改善、新機能の追加、プロジェクトのメンテナンスにより多くの時間を割く助けになります。

どんな小さな貢献でも、深く感謝しており、Linux コミュニティ向けに優れたセキュリティツールを作り続けるモチベーションになります。ありがとうございます！🙏

📝 ライセンス

このプロジェクトは GNU Affero General Public License v3.0（AGPL-3.0） の下でライセンスされています。詳細については LICENSE ファイルを参照してください。

開発者：khoinp1012

kprotect

人気