xe1phix/parrotlinux-public-kiosk-projectСистематический проект по усилению безопасности ядра Linux, реализующий рекомендованные KSPP настройки, блокировку модулей и конфигурацию ограниченного окружения для публичных киосков на базе ParrotSec.
Укрепленное ядро
- [ ] Ядро с патчами GrSecurity
- [ ] Укрепление PaX
- [x] PaXctl
- [x] PaXTest
- [x] PaXctld
- [x]
Укрепленные параметры времени выполнения ядра
- [x] Проект самозащиты ядра (KSPP)
- [x] pti=on - Изоляция таблиц страниц ядра
- [x] slub_debug=ZF - Красная зона SLUB и проверка целостности
- [x] slub_debug=P - Отравление освобожденных slab/slab allocator
- [x] page_poison=1 - Включить отравление освобожденных блоков в buddy allocator
- [x] iommu.strict=1 - Принудительная инвалидация TLB IOMMU
- [x] slab_nomerge - Отключить слияние slab (усложняет многие атаки переполнения кучи)
- [x] init_on_alloc=1 - Очищать slab и страничные выделения
- [x] randomize_kstack_offset=on - Рандомизация смещения стека ядра при входе в системный вызов
- [x] Черный список IPv6
- [x] ipv6.disable=1
- [x] noipv6
- [x] ipv6.autoconf=0
- [x] Черный список модулей (Modprobe)
- [x] Черный список Bluetooth
- [x] btsdio - Драйвер Bluetooth SDIO
- [x] btusb -
- [x] btintel - Intel
- [x] btrtl - Realtek Bluetooth
- [x] bt3c_cs - 3Com Bluetooth PCMCIA
- [x] btmrvl - Драйвер Bluetooth версии 1.0
- [x] btmrvl_sdio - BT-over-SDIO
- [x] btqca - Qualcomm Atheros
- [x] btbcm - Broadcom
- [x] bluetooth_6lowpan - Bluetooth 6LoWPAN
- [x] rfcomm - Bluetooth RFCOMM версии 1.11
- [x] bluecard_cs - Anycom BlueCard (LSE039/LSE041)
- [x] Черный список Apple
- [x] appletalk
- [x] thunderbolt_net
- [x] hfs
- [x] hfsplus
- [x] appletouch
- [x] hid-apple
- [x] Черный список EFI:
- [x] efivars
- [x] efivarfs
- [x] efi_pstore
- [x] NFS
- [x] nfsv2
- [x] nfsv3
- [x] nfsv4