Signer les modules du noyau avec SHA-512
Exige que le noyau en cours d'exécution soit compilé avec CONFIG_MODULE_SIG_SHA512=y afin que les signatures de modules utilisent le hachage robuste SHA-512.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
L'algorithme de hachage choisi pour les signatures de modules détermine la difficulté d'en forger une. Les hachages faibles (SHA-1, MD5) sont vulnérables aux attaques par collision qui pourraient permettre à un attaquant de fabriquer une signature contrefaite et de charger un module malveillant. Sélectionner CONFIG_MODULE_SIG_SHA512=y utilise SHA-512, un hachage robuste sans attaque par collision pratique, rendant la contrefaçon de signatures de modules irréalisable.
Ce que vérifie Pavois
Pavois lit la configuration de compilation du noyau en cours d'exécution via /boot/config-$(uname -r), avec repli sur /proc/config.gz, de sorte que le résultat reflète le noyau démarré plutôt qu'un fichier statique. Pavois attend CONFIG_MODULE_SIG_SHA512=y.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_MODULE_SIG_SHA512=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should match(/^CONFIG_MODULE_SIG_SHA512=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep '^CONFIG_MODULE_SIG_SHA512=' /boot/config-$(uname -r) (ou zcat /proc/config.gz | grep '^CONFIG_MODULE_SIG_SHA512='). Sortie attendue : CONFIG_MODULE_SIG_SHA512=y.
Inspecter et investiguer
modinfo <module> affiche l'algorithme de hachage de signature dans son champ sig_hashalgo (attendu sha512). dmesg | grep -i module et journalctl -k montrent toute erreur de signature au chargement.
Remédiation
Aucune remédiation automatique : CONFIG_MODULE_SIG_SHA512 est une option de compilation du noyau qui sélectionne le hachage de signature à la compilation et ne peut pas être modifiée à l'exécution. Utilisez un noyau de distribution qui signe les modules avec SHA-512, ou recompilez avec cette option. À appliquer manuellement ; pavois harden apply ne peut pas modifier un paramètre compilé en dur.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Utiliser un hachage de signature faible laisse la porte ouverte à la contrefaçon de signatures de modules, fragilisant toute la chaîne de signature. Ce contrôle ne présente aucun risque de casse à l'exécution ; c'est une propriété de compilation du noyau. Lors du choix des noyaux, préférez les noyaux de distribution (qui utilisent déjà SHA-256/SHA-512) et assurez-vous que tous les modules sont re-signés avec le hachage correspondant si vous recompilez, afin que l'application stricte ne les rejette pas.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R18 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.