Hardening Kernel

Objectif

• Réduire la surface d'attaque kernel.
• Limiter l'exploitation des vulnérabilités noyau.
• Sécuriser mémoire, ptrace, BPF et interactions système.
• Renforcer la sécurité réseau bas niveau.
• Conserver une posture compatible desktop et lab.

Contexte

Stratégie de hardening

Deux axes sont combinés:

• Boot: paramètres appliqués dès le démarrage, avant l'espace utilisateur.
• Runtime: paramètres sysctl testables et rechargeables pendant la session.

Les deux approches sont complémentaires: le boot fixe les protections structurantes, le runtime ajuste les comportements noyau, fichiers et réseau.

Chaîne de confiance au boot

Le périmètre validé relie systemd-boot, UKI, Secure Boot, LUKS, TPM et FIDO2. Cette page ne remplace pas Boot Trust: elle décrit seulement l'impact kernel des paramètres boot.

• UKI assemble noyau, initramfs et cmdline.
• Secure Boot vérifie les binaires de boot signés.
• LUKS protège les données au repos.
• TPM et FIDO2 ajoutent des voies de déverrouillage liées au matériel.

Hardening au boot

Entrée de boot anonymisée:

title   <BOOT_ENTRY_NAME>
linux   <KERNEL_IMAGE>
initrd  <MICROCODE_IMAGE>
initrd  <INITRAMFS_IMAGE>
options root=UUID=<ROOT_UUID> rw quiet splash loglevel=3 amd_pstate=passive slab_nomerge init_on_alloc=1 init_on_free=1 randomize_kstack_offset=on mitigations=auto lsm=landlock,lockdown,yama,apparmor,bpf apparmor=1 security=apparmor

Explication des paramètres boot

cat /proc/cmdline
cat /sys/kernel/security/lsm
grep . /sys/devices/system/cpu/vulnerabilities/*

Hardening runtime (sysctl)

Le fichier sysctl dédié reste privé; la page publique liste les valeurs critiques par rôle.

kernel.kptr_restrict = 2
kernel.dmesg_restrict = 1
kernel.randomize_va_space = 2
kernel.yama.ptrace_scope = 1
kernel.core_uses_pid = 1
kernel.sysrq = 0
kernel.unprivileged_bpf_disabled = 1
net.core.bpf_jit_harden = 2
fs.suid_dumpable = 0
dev.tty.ldisc_autoload = 0

Paramètres sysctl réseau et fichiers

fs.protected_symlinks = 1
fs.protected_hardlinks = 1
fs.protected_fifos = 2
fs.protected_regular = 2

net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.conf.all.log_martians = 1
net.ipv4.conf.default.log_martians = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.ip_forward = 0
net.ipv4.conf.all.forwarding = 0
net.ipv6.conf.all.forwarding = 0

sudo sysctl --system
sysctl kernel.kptr_restrict
sysctl -a | rg 'kernel\.|net\.|fs\.|dev\.'

Vérification complète

La version portfolio évite le script heredoc et liste les contrôles directement:

cat /proc/cmdline | tr ' ' '\n' | rg 'slab|init_on|randomize|mitigations|lsm|apparmor'
cat /sys/kernel/security/lsm
grep . /sys/devices/system/cpu/vulnerabilities/*
sysctl kernel.kptr_restrict kernel.dmesg_restrict kernel.yama.ptrace_scope
sysctl kernel.unprivileged_bpf_disabled fs.suid_dumpable
sysctl net.ipv4.conf.all.rp_filter net.ipv4.tcp_syncookies net.ipv4.ip_forward
sysctl fs.protected_symlinks fs.protected_hardlinks fs.protected_fifos fs.protected_regular
lynis audit system --quick --no-colors

Sécurité apportée

• Réduction des fuites d'adresses kernel.
• Restriction BPF et ptrace côté utilisateurs non privilégiés.
• Protection contre symlink, hardlink, FIFO et fichiers réguliers dangereux.
• Mitigations CPU contre familles Spectre/Meltdown selon matériel.
• Anti-spoofing, SYN cookies, redirects et source routing désactivés.

Impact performance

L'impact dépend du CPU et de la charge. En usage desktop, il reste généralement acceptable; les charges intensives CPU/I/O peuvent être plus sensibles.

sysbench cpu --cpu-max-prime=<N> run
sysbench memory --memory-total-size=<SIZE> run
grep . /sys/devices/system/cpu/vulnerabilities/*

Limitations

• Certaines protections dépendent du CPU et du microcode.
• Les mitigations CPU ont un coût variable.
• Le hardening kernel ne remplace pas AppArmor, Firejail, nftables ou LUKS.
• Les paramètres doivent être revus après incident, update majeure ou changement matériel.

Dépannage

En cas d'instabilité, comparer logs, paramètres boot et sysctl actifs avant de retirer une protection.

journalctl -b -p err
dmesg | tail -n 50
journalctl -k | rg 'denied|blocked|refused'
sysctl kernel.yama.ptrace_scope
sysctl kernel.unprivileged_bpf_disabled

Les retours arrière sont traités comme temporaires et documentés: désactiver un fichier sysctl, retirer un paramètre boot problématique, recharger, tester, puis réintroduire proprement.

Commandes de référence rapide

bootctl status
cat /proc/cmdline
cat /sys/kernel/security/lsm
sudo sysctl --system
sysctl kernel.kptr_restrict
grep . /sys/devices/system/cpu/vulnerabilities/*
lynis audit system --quick --no-colors

Ressources

• Kernel Self Protection Project.
• Linux Kernel Parameters.
• Documentation sysctl.
• Arch Wiki Security.
• Lynis.