Linux-hardened: защита ядра

Linux-hardened — это патчсет [модификация к ядру] для основного ядра, его цель — это усилить защиту от разных векторов атак.

Основные особенности модификации:

• Защита от переполнений [Slab Canaries] - добавили спецметки в структуру памяти. То есть, к примеру, атака типа heap overflow нацелена на драйвер или модуля ядра, то при переполнении буфера метка изменяется, и ядро останавливает выполнение процесса.
• Строгие sysctl настройки — добавляются новые строки для скрытия адресов ядра даже от рут пользователя и запрет непривилегированных.
• Санитайзеры и доп. проверки — инициализация памяти init_on_free и init_on_alloc обнуляют память при освобождении/выделении. Проверка на целостность при повреждении, к примеру, списка структур ядро вызывает BUG().

Дополнений много, список не уместить в одну статью. Некоторые функции неактивные и за своих недоработок, а другие планируют выходить в ближайшее время!

А теперь к минусам:

- снижает производительность системы, незначительно 1–7%

- возможные баги или поломки Иза дров NVIDIA

Установка.

Для Arch Linux:

sudo pacman -S linux-hardened


Что нашёл уже из репозиториев, если нет на базе этого — то придётся искать в Git и собирать самому. После всех операций нужно перезагрузить устройство

ну это полезно!