Unbekannte Netzwerkprotokolle blockieren

Warum es wichtig ist

Linux kann Treiber für alte oder seltene Netzwerkprotokolle wie DCCP, SCTP, AX.25 und ATM in dem Moment laden, in dem ein Programm einen Socket dieses Typs öffnet, ganz ohne Administrator. Mehrere davon hatten schwere Fehler. 2017 etwa verschaffte ein Fehler in DCCP (CVE-2017-6074) einem lokalen Benutzer root, indem der Kernel das Modul lud.

Wie es funktioniert

Fügt eine Modprobe-Konfiguration hinzu, die das Laden jedes Moduls der Gruppe net-protocols fehlschlagen lässt. Da der Kernel modprobe fragt, wenn ein unbekanntes Protokoll verlangt wird, kann ein gewöhnliches Programm das Laden nicht mehr auslösen.

Für wen es sich eignet

Fast jeder Desktop und Server. Lassen Sie es aus, wenn Sie SCTP nutzen (einige Telekom- und WebRTC-Software), CAN-Bus, Amateurfunknetz oder Ähnliches.

Was Sie bemerken könnten

Fast nie. Ein Programm, das eines dieser Protokolle braucht, scheitert beim Öffnen des Sockets mit etwa Protocol not supported oder Address family not supported.

Auf Ihrem Computer prüfen

Prüfen, ob die Module geladen sind:

lsmod | grep -E '^(dccp|sctp|rds|tipc|n-hdlc|ax25|netrom|x25|rose|decnet|econet|af_802154|ipx|appletalk|psnap|p8023|p8022|can|atm) '

Von Hand anwenden

Dem System sagen, sie nicht zu laden, in einer eigenen Datei:

sudo tee /etc/modprobe.d/90-modules-net-protocols.conf <<'EOF'
install dccp /bin/false
install sctp /bin/false
install rds /bin/false
install tipc /bin/false
install n-hdlc /bin/false
install ax25 /bin/false
install netrom /bin/false
install x25 /bin/false
install rose /bin/false
install decnet /bin/false
install econet /bin/false
install af_802154 /bin/false
install ipx /bin/false
install appletalk /bin/false
install psnap /bin/false
install p8023 /bin/false
install p8022 /bin/false
install can /bin/false
install atm /bin/false
EOF

Rückgängig machen

Entfernen Sie die Datei. Bereits geladene Module bleiben bis zum nächsten Neustart.

Verwandte Einstellungen

• Selten genutzte Dateisysteme blockieren
• Terminal-Leitungsdisziplinen nicht bei Bedarf laden

Quellen

Linux Hardening Guide (madaidans)

2.5.2