← Toutes les règles
SOCLE-CLD-KRN-052// Kernel buildmoyenneruntime effectif

Signer les modules du noyau avec SHA-512

Exige que le noyau en cours d'exécution soit compilé avec CONFIG_MODULE_SIG_SHA512=y afin que les signatures de modules utilisent le hachage robuste SHA-512.

Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.

Un PASS prouve✓ actif maintenant✓ sur disque✓ survit au rebootle verdict qualifié →
Debian 12CIS 1.1.0Debian 13CIS 1.0.0FedoraRHEL 10 / Rocky 10 / AlmaLinux 10RHEL 8 / Rocky 8 / AlmaLinux 8CIS 4.0.0RHEL 9 / Rocky 9 / AlmaLinux 9CIS 2.0.0Ubuntu 22.04CIS 3.0.0Ubuntu 24.04CIS 1.0.0Ubuntu 26.04
Un seul check, mappé sur 1 norme

Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.

Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.

Pourquoi cette règle

L'algorithme de hachage choisi pour les signatures de modules détermine la difficulté d'en forger une. Les hachages faibles (SHA-1, MD5) sont vulnérables aux attaques par collision qui pourraient permettre à un attaquant de fabriquer une signature contrefaite et de charger un module malveillant. Sélectionner CONFIG_MODULE_SIG_SHA512=y utilise SHA-512, un hachage robuste sans attaque par collision pratique, rendant la contrefaçon de signatures de modules irréalisable.

Ce que vérifie Pavois

Pavois lit la configuration de compilation du noyau en cours d'exécution via /boot/config-$(uname -r), avec repli sur /proc/config.gz, de sorte que le résultat reflète le noyau démarré plutôt qu'un fichier statique. Pavois attend CONFIG_MODULE_SIG_SHA512=y.

describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_MODULE_SIG_SHA512=|PAVOIS_NO_KERNEL_CONFIG)'") do
  its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
  its('stdout') { should match(/^CONFIG_MODULE_SIG_SHA512=y$/) }
end

Comment vérifier qu’elle est appliquée

Exécutez grep '^CONFIG_MODULE_SIG_SHA512=' /boot/config-$(uname -r) (ou zcat /proc/config.gz | grep '^CONFIG_MODULE_SIG_SHA512='). Sortie attendue : CONFIG_MODULE_SIG_SHA512=y.

Inspecter et investiguer

modinfo <module> affiche l'algorithme de hachage de signature dans son champ sig_hashalgo (attendu sha512). dmesg | grep -i module et journalctl -k montrent toute erreur de signature au chargement.

Remédiation

Aucune remédiation automatique : CONFIG_MODULE_SIG_SHA512 est une option de compilation du noyau qui sélectionne le hachage de signature à la compilation et ne peut pas être modifiée à l'exécution. Utilisez un noyau de distribution qui signe les modules avec SHA-512, ou recompilez avec cette option. À appliquer manuellement ; pavois harden apply ne peut pas modifier un paramètre compilé en dur.

Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :

resourcekernel_build
pavois harden plan local

où la cible est local, un alias SSH user@hôte, ou un conteneur , Docs

Impact & précautions

Utiliser un hachage de signature faible laisse la porte ouverte à la contrefaçon de signatures de modules, fragilisant toute la chaîne de signature. Ce contrôle ne présente aucun risque de casse à l'exécution ; c'est une propriété de compilation du noyau. Lors du choix des noyaux, préférez les noyaux de distribution (qui utilisent déjà SHA-256/SHA-512) et assurez-vous que tous les modules sont re-signés avec le hachage correspondant si vous recompilez, afin que l'application stricte ne les rejette pas.

Mapping des normes

NormeRéférenceTypeVersionConfiance
ANSSI BP-028R18direct2.0haute

Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.

Sources & références

Normes officielles

ANSSI-BP-028 (2.0) ↗