kernel_lockdown(7)     Miscellaneous Information Manual     kernel_lockdown(7)

NUME
       kernel_lockdown - caracteristica de prevenire a accesului la imaginea
       nucleului

DESCRIERE
       Caracteristica ,,Kernel Lockdown" este conceputa pentru a impiedica
       accesul direct <?>i indirect la o imagine de nucleu care ruleaza,
       incercand sa protejeze impotriva modificarii neautorizate a imaginii de
       nucleu <?>i sa impiedice accesul la datele de securitate <?>i
       criptografice aflate in memoria nucleului, permi<?>and in acela<?>i
       timp incarcarea modulelor de controlor.

       Daca o func<?>ionalitate interzisa sau restric<?>ionata este accesata
       sau utilizata, nucleul va emite un mesaj care va arata astfel:

           Lockdown: X: Y is restricted, see man kernel_lockdown.7

       unde X indica numele procesului, iar Y indica ceea ce este
       restric<?>ionat.

       Pe o ma<?>ina x86 sau arm64 cu EFI activat, blocarea va fi activata
       automat daca sistemul porne<?>te in modul EFI Secure Boot.

   Acoperire
       Atunci cand este in vigoare blocarea, o serie de caracteristici sunt
       dezactivate sau au utilizarea lor restric<?>ionata. Printre acestea se
       numara fi<?>iere de dispozitive speciale <?>i servicii de nucleu care
       permit accesul direct la imaginea nucleului:

              /dev/mem
              /dev/kmem
              /dev/kcore
              /dev/ioports
              BPF
              kprobes

       <?>i capacitatea de a configura <?>i de a controla direct
       dispozitivele, astfel incat sa se impiedice utilizarea unui dispozitiv
       pentru a accesa sau modifica o imagine de nucleu:

       o  Utilizarea parametrilor de modul care specifica direct parametrii
          hardware pentru controlori din linia de comanda a nucleului sau la
          incarcarea unui modul.

       o  Utilizarea accesului direct la PCI BAR.

       o  Utilizarea instruc<?>iunilor ioperm <?>i iopl pe x86.

       o  Utilizarea ioctl-urilor de consola KD*IO.

       o  Utilizarea ioctl-ului serial TIOCSSERIAL.

       o  Modificarea registrelor MSR pe x86.

       o  Inlocuirea CIS-ului PCMCIA.

       o  Suprascrierea tabelelor ACPI.

       o  Utilizarea injectarii de erori ACPI.

       o  Specificarea adresei RDSP ACPI.

       o  Utilizarea metodelor ACPI personalizate.

       Anumite facilita<?>i sunt restric<?>ionate:

       o  Pot fi incarcate numai modulele semnate in mod valabil (nu se aplica
          in cazul in care fi<?>ierul de module care se incarca este garantat
          de evaluarea IMA).

       o  Numai fi<?>ierele binare semnate in mod valabil pot fi executate
          prin kexec (nu se aplica daca fi<?>ierul imagine binar care urmeaza
          sa fie executat este garantat prin evaluarea IMA).

       o  Hibernarea/suspendarea necriptata in spa<?>iul de interschimb (swap)
          nu este permisa, deoarece imaginea nucleului este salvata pe un
          suport care poate fi apoi accesat.

       o  Nu este permisa utilizarea debugfs, deoarece aceasta permite o
          intreaga gama de ac<?>iuni, inclusiv configurarea directa, accesul
          la hardware, precum <?>i controlul acestuia.

       o  IMA necesita adaugarea regulilor ,,secure_boot" la politica,
          indiferent daca acestea sunt sau nu specificate in linia de comanda,
          atat pentru politicile incorporate, cat <?>i pentru cele
          personalizate in modul de blocare a pornirii securizate.

VERSIUNI
       Caracteristica ,,Kernel Lockdown" a fost adaugata in Linux 5.4.

NOTE
       Caracteristica ,,Kernel Lockdown" este activata de
       CONFIG_SECURITY_LOCKDOWN_LSM. Parametrul de linie de comanda
       lsm=lsm1,...,lsmN controleaza secven<?>a de ini<?>ializare a modulelor
       de securitate Linux. Acesta trebuie sa con<?>ina <?>irul de caractere
       lockdown pentru a activa caracteristica ,,Kernel Lockdown". Daca
       parametrul liniei de comanda nu este specificat, ini<?>ializarea revine
       la valoarea parametrului de linie de comanda security=, care este
       depreciat, <?>i mai departe la valoarea CONFIG_LSM.

TRADUCERE
       Traducerea in limba romana a acestui manual a fost facuta de Remus-
       Gabriel Chelu <remusgabriel.chelu@disroot.org>

       Aceasta traducere este documenta<?>ie gratuita; citi<?>i Licen<?>a
       publica generala GNU Versiunea 3
       <https://www.gnu.org/licenses/gpl-3.0.html> sau o versiune ulterioara
       cu privire la condi<?>ii privind drepturile de autor.  NU se asuma
       NICIO RESPONSABILITATE.

       Daca gasi<?>i erori in traducerea acestui manual, va rugam sa
       trimite<?>i un e-mail la <translation-team-ro@lists.sourceforge.net>.

Pagini de manual de Linux 6.06 31 octombrie 2023            kernel_lockdown(7)