Interdire l'insertion/le remplacement des méthodes ACPI à l'exécution
Garantit que le noyau en cours d'exécution est compilé sans CONFIG_ACPI_CUSTOM_METHOD, afin qu'aucune méthode ACPI ne puisse être insérée ou remplacée à l'exécution.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Activer CONFIG_ACPI_CUSTOM_METHOD expose /sys/kernel/debug/acpi/custom_method, qui permet à un utilisateur root (uid=0) d'écrire dans une mémoire noyau arbitraire en redéfinissant les méthodes ACPI. Cela brise la frontière sur laquelle repose le durcissement (lockdown, secure boot, modules signés) : un attaquant qui obtient root peut réécrire code/données du noyau, contourner CONFIG_STRICT_KERNEL_RWX et déjouer d'autres mesures de sécurité. Le désactiver supprime une primitive puissante de persistance et d'altération du noyau.
Ce que vérifie Pavois
Pavois lit la configuration de compilation du noyau réellement en cours d'exécution, /boot/config-$(uname -r) et, en repli, /proc/config.gz intégré au noyau. Il vérifie que la ligne n'est pas CONFIG_ACPI_CUSTOM_METHOD=y. Interroger la config effective du noyau vivant (indexée sur uname -r) est plus fiable que lire un fichier config-* quelconque dans /boot : cela reflète l'image exacte démarrée par GRUB, même si plusieurs noyaux sont installés.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_ACPI_CUSTOM_METHOD=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should_not match(/^CONFIG_ACPI_CUSTOM_METHOD=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep -h '^CONFIG_ACPI_CUSTOM_METHOD=' /boot/config-$(uname -r) (ou zcat /proc/config.gz | grep CONFIG_ACPI_CUSTOM_METHOD). Attendu : aucune sortie ou # CONFIG_ACPI_CUSTOM_METHOD is not set. Une ligne CONFIG_ACPI_CUSTOM_METHOD=y est un échec.
Inspecter et investiguer
Il n'y a pas de journal d'exécution ; c'est une option de compilation statique du noyau. Inspectez-la avec zcat /proc/config.gz | grep ACPI_CUSTOM_METHOD ou grep ACPI_CUSTOM_METHOD /boot/config-$(uname -r). Si l'option est activée, l'entrée debugfs apparaît à /sys/kernel/debug/acpi/custom_method.
Remédiation
Aucune remédiation automatisée n'est fournie : c'est une option de compilation du noyau qui ne peut pas être basculée à l'exécution. Appliquez-la en démarrant un noyau compilé avec CONFIG_ACPI_CUSTOM_METHOD désactivé, utilisez le noyau durci/standard de la distribution qui le désactive, ou recompilez le noyau. pavois harden apply ne peut pas la modifier.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque si laissé activé : un attaquant disposant de root (ou un exploit noyau atteignant root) obtient une primitive propre pour écrire dans la mémoire noyau arbitraire, sapant le lockdown et la signature des modules.
Précautions avant de modifier : changer de noyau est une opération nécessitant un redémarrage. Vérifiez que le noyau de remplacement supporte toujours les tables ACPI de votre matériel, conservez l'ancienne entrée noyau dans GRUB en repli, et confirmez le démarrage sur une console (pas seulement en SSH) avant de retirer le noyau précédent. Désactiver cette option n'a aucun impact fonctionnel sur les systèmes normaux, seuls des workflows de débogage ACPI hors arbre l'utilisent.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R15 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.