Bloquear protocolos de rede obscuros

Por que importa

O Linux pode carregar drivers de protocolos de rede antigos ou raros, como DCCP, SCTP, AX.25 e ATM, no momento em que um programa abre um socket daquele tipo, sem administrador envolvido. Vários deles já tiveram erros graves. Em 2017, por exemplo, uma falha no DCCP (CVE-2017-6074) deu root a um usuário local fazendo o kernel carregar o módulo.

Como funciona

Acrescenta uma configuração do modprobe que faz o carregamento de cada módulo do grupo net-protocols falhar. Como o kernel consulta o modprobe quando um protocolo desconhecido é pedido, um programa comum não consegue mais disparar o carregamento.

Quem deve usar

Quase todo desktop e servidor. Deixe desligado se você usa SCTP (algum software de telecom e WebRTC), barramento CAN, rede de radioamador ou equipamento parecido.

O que você pode notar

Quase nunca. Um programa que precisa de um desses protocolos falha ao abrir o socket com erro como Protocol not supported ou Address family not supported.

Verifique no seu computador

Veja se os módulos estão carregados:

lsmod | grep -E '^(dccp|sctp|rds|tipc|n-hdlc|ax25|netrom|x25|rose|decnet|econet|af_802154|ipx|appletalk|psnap|p8023|p8022|can|atm) '

Aplique à mão

Diga ao sistema para não carregá-los, em um arquivo seu:

sudo tee /etc/modprobe.d/90-modules-net-protocols.conf <<'EOF'
install dccp /bin/false
install sctp /bin/false
install rds /bin/false
install tipc /bin/false
install n-hdlc /bin/false
install ax25 /bin/false
install netrom /bin/false
install x25 /bin/false
install rose /bin/false
install decnet /bin/false
install econet /bin/false
install af_802154 /bin/false
install ipx /bin/false
install appletalk /bin/false
install psnap /bin/false
install p8023 /bin/false
install p8022 /bin/false
install can /bin/false
install atm /bin/false
EOF

Desfaça

Remova o arquivo. Os módulos já carregados continuam até a próxima reinicialização.

Configurações relacionadas

• Bloquear sistemas de arquivos pouco usados
• Não carregar disciplinas de linha de terminal sob demanda

Fontes

Linux Hardening Guide (madaidans)

2.5.2