Stack Protector renforcé
Exige un noyau compilé avec CONFIG_STACKPROTECTOR_STRONG=y, étendant la couverture des canaris à bien plus de fonctions.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
CONFIG_STACKPROTECTOR_STRONG=y étend le stack-protector de base en émettant un canari pour un ensemble bien plus large de fonctions, toute fonction comportant des tableaux locaux, des références à des adresses de la frame locale ou certains schémas de débordement de registres, et pas seulement celles avec de grands tampons de caractères. Cela comble la lacune où le protecteur de base laissait sans garde de nombreuses fonctions sujettes aux débordements, tout en gardant un équilibre raisonnable entre couverture et performance.
Ce que vérifie Pavois
Pavois lit la configuration de compilation du noyau en cours d'exécution via /boot/config-$(uname -r) ou /proc/config.gz et vérifie CONFIG_STACKPROTECTOR_STRONG=y. Lire la config effective du noyau démarré prouve que la couverture renforcée des canaris est compilée dans le noyau réellement utilisé.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_STACKPROTECTOR_STRONG=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should match(/^CONFIG_STACKPROTECTOR_STRONG=y$/) }
endComment vérifier qu’elle est appliquée
grep '^CONFIG_STACKPROTECTOR_STRONG=' /boot/config-$(uname -r) || zcat /proc/config.gz | grep '^CONFIG_STACKPROTECTOR_STRONG='
Sortie attendue : CONFIG_STACKPROTECTOR_STRONG=y.
Inspecter et investiguer
Comme le protecteur de base, une corruption de canari détectée produit un message fatal du noyau, cherchez dans dmesg ou journalctl -k le message stack-protector: Kernel stack is corrupted in: .... Sinon, aucune sortie de journal de routine ; confirmez l'option avec la commande grep ci-dessus.
Remédiation
Aucune remédiation automatique n'est fournie : CONFIG_STACKPROTECTOR_STRONG est une option noyau à la compilation, non activable à chaud. La correction consiste à démarrer un noyau compilé avec cette option, c'est déjà le cas des noyaux par défaut des OS pris en charge. Pour un noyau personnalisé, positionnez CONFIG_STACKPROTECTOR_STRONG=y puis reconstruisez.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Avec seulement le protecteur de base (ou aucun), de nombreuses fonctions noyau sujettes aux débordements sont livrées sans canari, laissant exploitables des chemins de stack smashing. Précautions : la remédiation implique un changement de noyau et un redémarrage, planifiez une fenêtre de maintenance et gardez le noyau précédent dans GRUB en repli. La couverture supplémentaire a un surcoût faible et bien caractérisé (typiquement quelques pour cent), acceptable pour la quasi-totalité des systèmes.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R15 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.