Linux et le modèle permissif
Et si Linux était défensif ?
Linux repose largement sur un modèle permissif : un processus autorisé peut
lancer d’autres binaires via execve.
SELinux, AppArmor, namespaces et conteneurs réduisent ces risques, mais au prix d’une configuration complexe. D’où l’idée d’un Linux « restrictif par défaut » : exécuté sur des ressources applicatives en liste blanche.
Aucun POC ni vérification du code noyau Linux n'ont été opérés pour le moment. Cette affirmation est basée uniquement sur l'existance de la fonction execve dans le noyau. Fonction qui est utilisé par plusieurs prototypes de fonctions glibc.
Plusieurs mécanismes dans le noyau et en dehors du noyau tentent de répondre à la maîtrise des ressources attribuées aux processus Linux. Néanmoins, les failles récentes sur SUDO mais aussi BASH il y a quelques années, ont démontré que le système attend sûrement un autre schéma de raisonnement pour rendre plus sûr le système Linux.
L'escalade permise par toute compromission d'une application ou d'un démon root pourrait être contrainte par l'application de règles défensives. Un programme qui n'a pas de raison d'accéder à execve qu'il soit lancé ou non par root devrait pouvoir déclarer de façon signé qu'il ne peut pas le faire pour éviter tout dérrapage.