Randomiser l'adresse de l'image du noyau (KASLR)
Exige que le noyau soit compilé avec CONFIG_RANDOMIZE_BASE=y afin que l'image du noyau soit chargée à une adresse de base randomisée (KASLR).
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Une adresse de noyau imprévisible rend plus difficile la réussite des exploits qui reposent sur la connaissance de l'emplacement du code interne du noyau. Sans KASLR (CONFIG_RANDOMIZE_BASE), le noyau est mappé à une adresse virtuelle fixe et bien connue : la moindre fuite d'information fournit immédiatement à un attaquant des cibles fiables pour des charges ROP / return-to-kernel, transformant un bug de corruption mémoire en exploit d'élévation de privilèges fiable.
Ce que vérifie Pavois
Pavois lit les options de compilation du noyau en cours d'exécution, grep '^CONFIG_RANDOMIZE_BASE=' /boot/config-$(uname -r) ou zcat /proc/config.gz, et exige la valeur y. Inspecter la configuration du noyau réellement démarré (indexée sur uname -r) est plus fiable que de deviner à partir d'un nom de paquet ou d'un fichier générique : cela reflète exactement le noyau démarré, y compris les compilations éditeur ou personnalisées.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_RANDOMIZE_BASE=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should match(/^CONFIG_RANDOMIZE_BASE=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep '^CONFIG_RANDOMIZE_BASE=' /boot/config-$(uname -r) (ou zcat /proc/config.gz | grep CONFIG_RANDOMIZE_BASE). Sortie attendue :
CONFIG_RANDOMIZE_BASE=y
Vous pouvez aussi confirmer que KASLR est actif à l'exécution : la base du noyau dans /proc/kallsyms change d'un redémarrage à l'autre (nécessite root pour lire les adresses non masquées).
Inspecter et investiguer
Il n'y a pas d'entrée de journal dédiée. Confirmez le réglage via grep CONFIG_RANDOMIZE_BASE /boot/config-$(uname -r) et vérifiez la ligne de commande de démarrage avec cat /proc/cmdline, la présence de nokaslr y désactive KASLR même si l'option est compilée.
Remédiation
Il s'agit d'une option de compilation du noyau, Pavois ne fournit donc aucune étape de durcissement automatique. Elle est satisfaite en démarrant un noyau de distribution compilé avec CONFIG_RANDOMIZE_BASE=y (le cas de tous les noyaux Debian/Ubuntu/RHEL actuels). Pour l'imposer, installez/démarrez un noyau conforme et assurez-vous que nokaslr est absent des paramètres de démarrage ; un noyau personnalisé doit être recompilé.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
En son absence, l'agencement du noyau est déterministe et toute fuite de pointeur devient un pas vers une exploitation fiable du noyau. Précautions : activer KASLR en passant à un noyau de distribution présente un faible risque, mais quelques configurations rares cassent, certains pilotes hors arbre, certains flux d'hibernation/kexec et quelques débogueurs anciens supposent une base de noyau fixe. Testez d'abord un redémarrage sur un hôte hors production, et n'ajoutez jamais nokaslr à /proc/cmdline pour contourner ces problèmes sans en mesurer le coût en sécurité.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R25 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.