لینوکس ایمن‌تر می‌شود؛ محدود سازی سیستم عامل با قفل کرنل

لینوس توروالدز خالق لینوکس خبر از قابلیت امنیتی جدید این سیستم عامل به نام «lockdown» داده که قرار است کرنل لینوکس را امن تر از قبل کرده و دست کاری های غیر مجاز را مشکل تر کند.

این قابلیت به زودی در کرنل 5.4 لینوکس در قالب ماژول امنیتی لینوکس (LSM) منتشر می شود. البته لاک داون به طور پیش فرض غیر فعال خواهد بود تا ریسک از کار افتادن سیستم ها به حداقل برسد.

لاک داون تقسیم بندی بین پردازش های فضای کاربر و کدهای کرنل را مستحکم تر می کند. به این منظور از تعامل اکانت های روت با کرنل جلوگیری می شود. با فعال شدن این قابلیت برخی از امکانات کرنل حتی برای کاربران روت نیز محدود می شود. در نتیجه اگر اکانت روت هم در معرض خطر قرار بگیرد به مخاطره افتادن تمامی سیستم عامل مشکل تر می شود.

ماژول لاک داون به کرنل اجازه می دهد در زمان فرایند بوت قفل شود. محدودیت های اعمال شده شامل اجرای خودسرانه کدهای مرتبط با فضای کاربری هستند. علاوه بر این خواندن یا نوشتن از مسیر حافظه /dev/mem and /dev/kmem توسط پردازش ها مسدود می شود.

لاک داون دو گزینه دارد: «integrity» به معنی یکپارچگی و «confidentiality» به معنی محرمانگی. هر کدام از این دو حالت که انتخاب شوند محدودیت های متفاوتی را بر کرنل اعمال می کنند. با انتخاب integrity، قابلیت های کرنل که به فضای کاربری اجازه دستکاری آن را می دهند غیر فعال می شوند. اما با انتخاب گزینه confidentiality می توان قابلیت های کرنل که امکان استخراج اطلاعات محرمانه فضای کاربری را فراهم می کنند را غیر فعال کرد. البته در صورت نیاز می توان گزینه های دیگری را هم به لاک داون لینوکس افزود اما این تغییرات نیاز به وصله های خارجی اضافه دارد.

کار روی قابلیت لاک داون لینوکس از سال 2010 آغاز شده بود و بسیاری از متخصصان امنیتی از مدت ها قبل درخواست ارائه چنین قابلیتی را داشتند. برخی از توزیع های لینوکس از جمله ردهت وصله های کرنل ویژه خود را توسعه داده اند که از قابلیت لاک داون لینوکس بهره می برند. اما در نهایت در سال جاری تلاش های توزیع ها و بنیاد لینوکس یکپارچه شد تا به توسعه لاک داون کمک کنند.

سایر محدودیت های اعمال شده توسط لاک داون را می توانید در اینجا ببینید.