Proteções contra hibernação no kernel Linux: série de patches para integridade e anti-downgrade

O que aconteceu e o que fazer

Segundo o artigo publicado pela LWN, o kernel Linux grava a memória em disco ao hibernar e, ao retomar, lê esses dados de volta sem conseguir verificar se foram adulterados. Por isso, o recurso lockdown, que impede modificações no kernel em execução, desativa a hibernação. Matthew Garrett, que trabalha no lockdown há muitos anos, propôs uma série de patches para corrigir esse problema. A solução também precisa impedir ataques de downgrade, em que um invasor reinicia o computador com uma versão mais antiga do kernel para contornar novas proteções, o que torna a implementação mais complexa.

Para empresas que usam Linux em estações de trabalho e servidores com requisitos de segurança elevados, o ponto prático é avaliar onde a hibernação está desativada por políticas de lockdown e qual o risco de manter esses equipamentos sem ela. Uma equipe pode mapear o parque de máquinas, definir quais perfis exigem lockdown e checar a configuração de boot, incluindo cadeia de confiança e versões do kernel instaladas. Também vale monitorar o andamento da série de patches e planejar a adoção quando ela for incorporada a distribuições, com testes em ambiente controlado antes da implantação.

Como a consultoria pode ajudar

Diagnóstico da exposição de estações e servidores Linux relacionada a lockdown, hibernação e cadeia de boot, com inventário de versões de kernel e políticas atuais. Em seguida, desenho e implementação de controles de integridade e de monitoramento de versões, com operação contínua na infraestrutura do cliente.

Próximo passo

Se a sua empresa depende de Linux com requisitos de lockdown ou precisa avaliar riscos de adulteração e downgrade, envie uma breve descrição do seu parque e do seu caso. Respondemos com uma proposta de escopo para diagnóstico e implementação.