deny-af-alg-bpf

説明

AF_ALG（Linuxカーネル暗号API）ソケットの作成をブロックし、すべての試行をリングバッファ経由でユーザースペースにログ記録するBPF LSMプログラムです。

機能

• lsm/socket_create フックにアタッチします
• socket(AF_ALG, ...) 呼び出しを -EPERM で拒否します
• 構造化イベント（pid、comm）をBPFリングバッファに出力します
• ユーザースペースデーモンがリングバッファを読み取り、stderrにログ記録します（systemdジャーナルで処理されます）

コンポーネント

プログラム

• deny_af_alg.bpf.c - メインのブロックロジック。bpf（カーネル空間）で動作します
• deny_af_alg.user.c - ユーザースペースプログラム
  • bpfプログラムをロードします
  • 公開されたリングバッファに接続します
  • 拒否されたアクセスに関する情報を取得し、stdoutにログ記録します

Systemd

• deny-af-alg.service - メインサービス。ユーザースペースアプリとbpfプログラムを含みます
• deny-af-alg-bpf.service - レガシーサービス。bpftool経由で動作し、ログ記録は含みません

CVE修正情報

このeBPFプログラムは CVE-2026-31431 に対応します。暗号ソケットへのアクセスを制限することで、この脆弱性を解決します。

要件

lsmにbpfが必要です

#cat /sys/kernel/security/lsm
lockdown,capability,yama,selinux,bpf

ビルド

vmlinux.h に関する注意: vmlinux.h はビルドマシン上で生成されます。

異なるカーネルをターゲットにする場合は、ビルド前にターゲットマシン上で再生成してください：

root@kitploit:~

bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h

makefile経由でビルドします

make

ビルド成果物はプロジェクトルートに配置されます：

コマンドラインで実行

sudo ./deny_af_alg

出力

Listening for AF_ALG socket create attempts... (Ctrl-C to stop)
BLOCKED pid=12345  comm=python3

systemd経由で実行

deny-af-alg.service ファイルとバイナリをターゲットマシンにコピーします。

systemd経由で実行します

systemctl start deny-af-alg.service

bpftoolでbpfプログラムのみ手動実行

bpftool prog loadall deny_af_alg.bpf.o /sys/fs/bpf/deny_af_alg autoattach

追加コマンド

準備

dnf install -y bpftool libbpf-devel clang llvm kernel-devel

コンパイル

bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h
clang -O2 -g -target bpf -D__TARGET_ARCH_x86 -I/usr/include/bpf -c deny_af_alg.bpf.c -o deny_af_alg.bpf.o

確認

bpftool prog list | grep deny_af_alg
sudo cat /sys/kernel/debug/tracing/trace_pipe