kernel-hardening-checker

(anteriormente kconfig-hardened-check)

## Agradecimentos Agradecimentos aos [contribuidores][26] e usuários deste projeto! ## Perguntas e respostas __P:__ Como todos esses parâmetros do kernel influenciam a segurança do kernel Linux? __R:__ Para responder a esta pergunta, você pode usar as [fontes de recomendações][24] do `kernel-hardening-checker` e o [Linux Kernel Defence Map][4] com suas referências. __P:__ Como desabilitar `CONFIG_USER_NS` reduz a superfície de ataque? É necessário para contêineres! __R:__ Sim, a opção `CONFIG_USER_NS` fornece algum isolamento entre os programas do espaço do usuário, mas a ferramenta recomenda desabilitá-la para reduzir a superfície de ataque __do kernel__. A justificativa: - Um artigo do LWN sobre a discussão correspondente na LKML: https://lwn.net/Articles/673597/ - Um tópico no Twitter sobre `CONFIG_USER_NS` e segurança: https://twitter.com/robertswiecki/status/1095447678949953541 - Uma boa visão geral da compensação entre ter namespaces de usuário habilitados, desabilitados e disponíveis apenas para root: https://github.com/NixOS/nixpkgs/pull/84522#issuecomment-614640601 __P:__ KSPP e CLIP OS recomendam `CONFIG_PANIC_ON_OOPS=y`. Por que esta ferramenta não faz o mesmo? __R:__ Não posso apoiar esta recomendação porque: - Ela diminui a robustez do sistema (oops do kernel ainda não é uma situação rara mesmo em sistemas de produção) - Ela permite ataques de negação de serviço mais fáceis para todo o sistema Você deve habilitar `CONFIG_PANIC_ON_OOPS` se: - Seu kernel não encontrar oopses durante uma carga de trabalho típica - Reinicializações ocasionais do sistema não são um problema no seu caso de uso Vejo um bom compromisso, que o `kernel-hardening-checker` recomenda: - Habilitar a opção kconfig `CONFIG_BUG`. Se um oops do kernel ocorrer no contexto do processo, o processo ofensor/atacante é morto. Em outros casos, o kernel entra em pânico, o que é semelhante a `CONFIG_PANIC_ON_OOPS=y`. - Definir as opções sysctl `kernel.oops_limit` e `kernel.warn_limit` para `100`, por exemplo. Por um lado, esse valor não permite DoS fácil. Por outro lado, não é grande demais para perder as tentativas de exploração de vulnerabilidades que geram muitos avisos ou oopses do kernel. __P:__ Por que habilitar `CONFIG_STATIC_USERMODEHELPER` quebra várias coisas no meu sistema GNU/Linux? Eu realmente preciso desse recurso? __R:__ Os ajudantes em modo de usuário do kernel Linux podem ser usados para escalonamento de privilégios em exploits do kernel ([exemplo 1][9], [exemplo 2][10]). `CONFIG_STATIC_USERMODEHELPER` impede esse método. Mas ele requer o suporte correspondente no espaço do usuário: veja a [implementação de exemplo][11] por Tycho Andersen [@tych0][12]. __P:__ E quanto ao impacto no desempenho desses recursos de hardening de segurança? __R:__ Essa não é uma pergunta fácil, pois o impacto no desempenho depende da carga de trabalho do sistema. Uma avaliação detalhada do impacto no desempenho dos recursos de hardening de segurança do Linux está em TODO (a issue [#66][21]). Existem alguns trabalhos interessantes nesta área: - Ike Devolder [@BlackIkeEagle][7] fez alguns testes de desempenho e descreveu os resultados em [este artigo][8]. - Fabian Rauscher, Benedict Herzog, Timo Hönig e Daniel Gruss publicaram um artigo ["Systematic Analysis of Kernel Security Performance and Energy Costs"][28] que descreve a sobrecarga de energia e tempo de execução das mitigações de vulnerabilidades de hardware (CONFIG_CPU_MITIGATIONS). __P:__ Meu kernel tem todas essas mitigações das Vulnerabilidades de Execução Transiente no meu hardware? __R:__ Verificar a configuração do kernel não é suficiente para responder a esta pergunta. Recomendo fortemente usar a ferramenta [spectre-meltdown-checker][13] mantida por Stéphane Lesimple [@speed47][14]. __P:__ Posso verificar facilmente quais versões do kernel suportam alguma opção Kconfig? __R:__ Sim. Veja o projeto [LKDDb][18] (Linux Kernel Driver Database) por Giacomo Catenazzi [@cateee][19]. Você pode usá-lo para a árvore `mainline` ou `stable` do [kernel.org][20] ou para suas fontes de kernel personalizadas. __P:__ Por que a opção `CONFIG_GCC_PLUGINS` é desabilitada automaticamente durante a compilação do kernel? __R:__ Isso significa que seu gcc não suporta plugins. Por exemplo, se você tem `gcc-14` no Ubuntu, tente instalar o pacote `gcc-14-plugin-dev`, isso deve ajudar. [1]: https://kspp.github.io/Recommended_Settings [2]: https://docs.clip-os.org/clipos/kernel.html#configuration [3]: https://grsecurity.net/ [4]: https://github.com/a13xp0p0v/linux-kernel-defence-map [5]: https://lwn.net/Articles/791863/ [6]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues/38 [7]: https://github.com/BlackIkeEagle [8]: https://blog.herecura.eu/blog/2020-05-30-kconfig-hardening-tests/ [9]: https://googleprojectzero.blogspot.com/2018/09/a-cache-invalidation-bug-in-linux.html [10]: https://a13xp0p0v.github.io/2020/02/15/CVE-2019-18683.html [11]: https://github.com/tych0/huldufolk [12]: https://github.com/tych0 [13]: https://github.com/speed47/spectre-meltdown-checker [14]: https://github.com/speed47 [15]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues/53 [16]: https://github.com/a13xp0p0v/kernel-hardening-checker/pull/54 [17]: https://github.com/a13xp0p0v/kernel-hardening-checker/pull/62 [18]: https://cateee.net/lkddb/web-lkddb/ [19]: https://github.com/cateee/lkddb [20]: https://kernel.org/ [21]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues/66 [22]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues/56 [23]: https://github.com/a13xp0p0v/kernel-hardening-checker/issues?q=label:kernel_maintainer_feedback [24]: https://github.com/a13xp0p0v/kernel-hardening-checker#motivation [25]: https://grapheneos.org/features [26]: https://github.com/a13xp0p0v/kernel-hardening-checker/graphs/contributors [27]: https://learn.cisecurity.org/benchmarks [28]: https://dl.acm.org/doi/epdf/10.1145/3708821.3736197

kernel-hardening-checker

Mais Populares

Motivação

Repositórios

Funcionalidades

Atenção!

Instalação

Uso```

Gerando um fragmento Kconfig com as opções de hardening de segurança