Linux: Kernel-Lockdown-Patches kommen als Security-Modul

Nachdem Google-Entwickler Matthew Garrett die Patches für den Kernel-Lockdown wieder belebt hat, ist die Technik nun als Linux Security Module umgearbeitet worden.

Artikel veröffentlicht am ,
Die Lockdown-Patches für den Linux-Kernel sind bei Revision 34 angelangt.
Die Lockdown-Patches für den Linux-Kernel sind bei Revision 34 angelangt. (Bild: Andy Hay, flickr.com/CC-BY 2.0)

Der bei Google angestellte Linux-Entwickler Matthew Garrett hat die inzwischen 33. Revision der sogenannten Lockdown-Patches für den Linux-Kernel veröffentlicht. Mit kurz darauf veröffentlichten leichten Änderungen sind die Patches in der inzwischen 34. Runde der Diskussion angelangt, was durchaus "hochgezogenen Augenbrauen" hervorruft, wie es das Fachmagazin LWN.net beschreibt.

Stellenmarkt
  1. Fachinformatiker / Informatiker (m/w/d)
    Dr. Hobein (Nachf.) GmbH, med. Hautpflege / EUBOS, Meckenheim bei Bonn
  2. Requirements Engineer als Business Analyst (w/m/d)
    EnBW Energie Baden-Württemberg AG, Biberach, Karlsruhe, Köln, Stuttgart
Detailsuche

Garrett hatte die Arbeit an den Patches im Frühjahr dieses Jahres wieder aufgenommen, um die Diskussion daran wieder zu beleben und um die Patches mittelfristig auch in den Hauptzweig des Linux-Kernels einpflegen zu können. Im Jahr 2018 gab es trotz langer vorhergehender Diskussionen teils massive Kritik an dem Code, auch von Linux-Erfinder und -Chefentwickler Linus Torvalds.

Ziel der Patches ist es, dafür zu sorgen, dass der laufende Kernel von einem Angreifer nicht dauerhaft verändert werden kann. Dafür wird der Zugriff auf bestimmte Kernel-Schnittstellen schlicht verhindert. Das geht sogar so weit, dass damit der Root-Nutzer (UID-0) teilweise vom laufenden Kernel mit seinen Systemberechtigungen (Ring-0) getrennt werden soll. Solch eine Trennung existiert bisher nicht.

Für die meiste Kritik an dem Code sorgte zuvor die Verknüpfung dieser Funktionalität mit der Nutzung von UEFI Secure Boot. Die Lockdown-Patches waren ursprünglich als eine Art logische Erweiterung der Secure-Boot-Funktionalität gedacht. Garrett hat dies schon länger behoben.

Lockdown als LSM

Golem Akademie
  1. Einführung in die Programmierung mit Rust
    21.-24. September 2021, online
  2. Terraform mit AWS
    14./15. September 2021, online
  3. Advanced Python - Fortgeschrittene Programmierthemen
    16./17. September 2021, online
Weitere IT-Trainings

In den aktuellen Patches zum Lockdown wird die Funktion als Linux-Security-Module (LSM) umgesetzt. Bekannte Nutzer dieser Technik sind etwa Selinux oder Apparmor, die von den meisten Linux-Distributionen eingesetzt werden.

Zu diesen Neuerungen gehört nun unter anderem ein Hook, mit dem LSMs Richtlinien festlegen können, ob der Kernelzustand zur Laufzeit verändert oder eingesehen werden kann. Darüber hinaus steht die ursprünglich geplante Funktion des Lockdown auch selbst als eigenes LSM bereit. Distributionen sollen damit einfach statische Richtlinien einsetzen können, die den Lockdown forcieren.

Ob und wann diese Patches nun endlich in den Hauptzweig eingepflegt werden, ist bisher nicht absehbar. Noch sind die Nachfragen und auch die Kritik zu den Patches jedoch sehr verhalten, was als positives Zeichen gedeutet werden könnte.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Clubhouse  
3,8 Milliarden Telefonnummern werden im Darknet verkauft

Die Telefonnummern und Kontakte aller Clubhouse-Konten werden wohl im Darknet angeboten. Nummern werden nach ihrer Wichtigkeit eingestuft.

Clubhouse: 3,8 Milliarden Telefonnummern werden im Darknet verkauft
Artikel
  1. iPhone 12: Youtuber findet Akkukapazität von Apples Magsafe-Pack heraus
    iPhone 12
    Youtuber findet Akkukapazität von Apples Magsafe-Pack heraus

    Ein Youtuber nimmt das Apple Magsafe-Akkupack auseinander. Im Video gibt er einen Einblick in die Technik und die Akkuladung des Produktes.

  2. Teilautonomes Fahren: Magna übernimmt Fahrerassistenz-Spezialisten Veoneer
    Teilautonomes Fahren
    Magna übernimmt Fahrerassistenz-Spezialisten Veoneer

    Für insgesamt 3,8 Milliarden US-Dollar will Magna International sein Geschäftsfeld autonome Fahrfunktionen ausbauen und übernimmt Veoneer.

  3. Elon Musk: Tesla Model S bekommt ausschließlich Knight-Rider-Lenkrad
    Elon Musk
    Tesla Model S bekommt ausschließlich Knight-Rider-Lenkrad

    Elon Musk hat klargestellt, dass es für das Model S und das Model X kein normales Lenkrad mehr geben wird. Das D-förmige Lenkrad ist Pflicht.

JouMxyzptlk 25. Jun 2019

Artikel noch mal lesen. Danke.



  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • 30% auf Amazon Warehouse • LG 55NANO867NA 573,10€ • Fractal Design Meshify C Mini 69,90€ • Amazon: PC-Spiele von EA im Angebot (u. a. FIFA 21 19,99€) • Viewsonic VG2719-2K (WQHD, 99% sRGB) 217,99€ • Alternate (u. a. Fractal Design Define S2 106,89€) • Roccat Horde Aimo 49€ [Werbung]
    •  /