🛡️ kprotect

Visão Geral

kprotect é um mecanismo de segurança a nível de kernel projetado para proteger seus dados sensíveis contra ataques à cadeia de suprimentos (como bibliotecas maliciosas Python ou Node.js). Ele atua como uma camada de segurança independente para os arquivos mais sensíveis.

• Imposição eBPF-LSM: Intercepta o acesso a arquivos no nível do kernel com base em padrões de caminho e curingas (ex.: *.env, home/user/.ssh/*).
• Verificação de Linhagem: Valida a cadeia de processos em vez de apenas um único binário.
  • ✅ VS Code → Terminal → cat (Cadeia autorizada)
  • ❌ VS Code → Terminal → python script.py → cat (Cadeia não autorizada bloqueada)
• Interface Abrangente: Inclui um daemon de sistema, uma ferramenta CLI e uma GUI de desktop.

Tecnologias Principais

kprotect é construído em torno de conceitos modernos de programação de sistemas:

• Segurança de Memória: O daemon de back-end é escrito em Rust, com hooks do kernel utilizando eBPF-LSM.
• Baixa Sobrecarga: Utilizar hooks BPF LSM evita a latência associada à troca de contexto tradicional no espaço do usuário. Micro-benchmarks mostram impacto mínimo: +12,8 µs por inicialização de processo e +0,53 µs por abertura de arquivo.
• Hash de Processos: Implementa FNV-1a para hashing rápido e determinístico de cadeias de linhagem de processos no espaço do kernel.
• Armazenamento Criptografado: Estado e logs são criptografados usando AES-256-GCM, com chaves derivadas via HKDF-SHA256 vinculadas à máquina local (/etc/machine-id).
• Consciência de Scripts: Possui um motor de enriquecimento que analisa argumentos para interpretadores (python exploit.py vs python tool.py).
• Sudo Baseado em Linhagem (Quick Sudo): Um módulo PAM personalizado fornece elevação sem senha restrita por cadeias de processos específicas.

Conceito de Linhagem de Execução

Em vez de validar arquivos individuais, o kprotect valida o caminho de execução:

1. Rastreamento de Linhagem: Cada processo possui uma assinatura única derivada da assinatura de seu pai e de seu próprio caminho executável.
2. Hashing no Espaço do Kernel: As assinaturas são computadas usando hashing FNV-1a no espaço do kernel, criando uma cadeia desde o processo init até a folha.
3. Red Zones: Locais sensíveis (ex.: ~/.ssh/id_rsa, arquivos .env, cookies de navegador) são designados como caminhos protegidos.
4. Menor Privilégio: O acesso às Red Zones por processos root é bloqueado, a menos que sua linhagem de execução específica tenha sido explicitamente autorizada.

✨ Funcionalidades

• Imposição a Nível de Kernel: Usa hooks BPF LSM (bprm_committed_creds, file_open) para proteção com sobrecarga quase zero e resistente a bypass.
• Configuração Criptografada: Todas as políticas, autorizações e logs são criptografados em repouso usando AES-256-GCM, chaveados por um segredo vinculado ao hardware ou específico do sistema.
• Observabilidade Rica:
  • Feed ao Vivo: Monitoramento em tempo real de nascimentos, términos e tentativas de acesso bloqueadas de processos.
  • Logs de Auditoria: Logs à prova de violação de todas as ações críticas de segurança.
• Múltiplas Interfaces:
  • kprotect-daemon: O motor principal executando como um serviço systemd.
  • kprotect-cli: Gerenciamento direto por linha de comando.
  • kprotect-gui: Uma aplicação desktop moderna e elegante construída com Tauri e React.
• Enriquecimento Dinâmico: Captura argumentos de processos para interpretadores (Python, Node, Bash) para distinguir entre python safe_script.py e python malicious_script.py.
• Quick Sudo (Lineage-Auth): Configure cadeias de linhagem complexas (ex.: ) para ignorar automaticamente os prompts de senha do de forma segura, sem usar regras amplas em .

🏗️ Arquitetura

graph TD
    subgraph Kernel Space
        LSM[BPF LSM Hooks]
        Maps[eBPF Maps: Signatures, Auth, Zones]
    end

    subgraph Userspace
        Daemon[kprotect-daemon]
        CLI[kprotect-cli]
        GUI[kprotect-gui]
    end

    LSM -->|Perf Events| Daemon
    Daemon -->|Update Maps| Maps
    CLI -->|Unix Socket| Daemon
    GUI -->|Unix Socket| Daemon

📂 Estrutura do Projeto

O kprotect consiste em dois componentes principais que devem ser instalados em ordem:

1. kprotect Core: O daemon de fundo e a ferramenta CLI (interação com o kernel).
2. kprotect GUI: O painel de desktop para gerenciamento.

🛠️ Instalação e Configuração

1. Pré-requisitos

• Kernel Linux 5.10+ com suporte a BPF LSM.
• Parâmetros do Kernel: Garanta que lsm=lockdown,yama,apparmor,bpf inclua bpf. Você pode verificar isso com cat /sys/kernel/security/lsm.

2. Instalação do Motor Principal (Obrigatório)

Instale o daemon primeiro para habilitar a proteção a nível de kernel:

# Install the core debian package
sudo apt install ./target/kprotect_0.2.0-beta-1_amd64.deb

O instalador configurará automaticamente o serviço systemd.

3. Instalação da Interface Gráfica (Opcional)

Instale a GUI para uma experiência de gerenciamento visual:

# Install the GUI package
sudo apt install ./kprotect-ui/src-tauri/target/release/bundle/deb/kprotect-ui_0.2.0-beta_amd64.deb

⚠️ IMPORTANTE: Pós-Instalação

Por favor, REINICIE seu computador após a primeira instalação.
O kprotect precisa rastrear a linhagem de processos desde o momento em que o sistema inicializa. Processos iniciados antes da instalação do daemon serão marcados como "No Chain" e não podem ser autorizados com precisão.

💻 Desenvolvedor: Compilação a Partir do Código Fonte

Se você está compilando o projeto por conta própria, use os scripts auxiliares incluídos:

# Build the Core (Daemon & CLI)
./scripts/build_deb.sh

# Build the Desktop GUI
./scripts/build_gui.sh

⌨️ Uso Básico da CLI

Embora a GUI seja recomendada, você pode gerenciar tudo via kprotect-cli:

# Check system and eBPF map capacity
sudo kprotect-cli status

# View live security events
sudo kprotect-cli events --stream

# Authorize a bash-to-cat chain
sudo kprotect-cli authorize add "/usr/bin/bash,/usr/bin/cat" --mode Suffix --description "Dev tools"

# Protect a sensitive file
sudo kprotect-cli zone add red "/home/user/.ssh/id_rsa"

📂 Organização do Projeto

• kprotect-ebpf: O "cérebro" no kernel. Código Rust de alto desempenho semelhante a C usando aya.
• kprotect-daemon: O hub central. Gerencia o ciclo de vida do eBPF, criptografia e estado.
• kprotect-cli: Ferramenta de interação leve.
• kprotect-ui: Interface de desktop construída com Tauri + React + Vite + TailwindCSS.
• kprotect-common: Estruturas de dados compartilhadas e definições de protocolo.

💖 Apoie o Projeto

Se você acha o kprotect útil e deseja apoiar seu desenvolvimento, considere me pagar um café! Seu apoio me ajuda a dedicar mais tempo para melhorar o kprotect, adicionar novos recursos e manter o projeto.

Cada contribuição, por menor que seja, é profundamente apreciada e me motiva a continuar construindo melhores ferramentas de segurança para a comunidade Linux. Obrigado! 🙏

📝 Licença

Este projeto está licenciado sob a GNU Affero General Public License v3.0 (AGPL-3.0). Consulte o arquivo LICENSE para obter detalhes.

Desenvolvido por khoinp1012