Désactiver le module uvcvideo
Garantit que le module noyau uvcvideo (webcam USB) n'est pas chargé et qu'il est mis en liste noire afin que les caméras ne puissent pas être activées.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pourquoi cette règle
Le module uvcvideo pilote les webcams USB (périphériques UVC). Ne pas se déconnecter des dispositifs de visioconférence tels que les caméras peut conduire à la compromission d'informations de l'organisation par enregistrement furtif. Mettre le pilote en liste noire sur les hôtes n'ayant aucun besoin légitime de caméra supprime entièrement ce périphérique comme surface d'attaque et garantit qu'il ne peut être activé par un logiciel malveillant.
Ce que vérifie Pavois
Pavois interroge l'état effectif du module, pas les fichiers de configuration : il vérifie que uvcvideo est absent du noyau en cours d'exécution et que modprobe refuse de le charger. Une analyse basée uniquement sur les fichiers manquerait un module déjà chargé automatiquement à l'insertion d'une webcam ; inspecter le noyau vivant détecte un module actif et tout drop-in qui le réactive.
describe kernel_module('uvcvideo') do
it { should_not be_loaded }
it { should be_disabled }
endComment vérifier qu’elle est appliquée
lsmod | grep uvcvideone doit rien renvoyer.modprobe -n -v uvcvideodoit afficherinstall /bin/true.grep -r uvcvideo /etc/modprobe.d/doit montrerblacklist uvcvideoetinstall uvcvideo /bin/true.
Inspecter et investiguer
dmesg | grep -i uvcvideoetjournalctl -k | grep uvcvideomontrent les tentatives de chargement à la connexion d'une caméra.lsmodetmodprobe -n -v uvcvideoreflètent l'état réel.
Remédiation
Le plan de durcissement de Pavois utilise la ressource kernel_module pour mettre uvcvideo en liste noire : il écrit un drop-in modprobe qui blackliste le module et redirige son chargement vers /bin/true, puis le décharge s'il est actif. Un redémarrage est requis pour purger un module utilisé. Appliquez avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | blacklist |
|---|---|
| name | uvcvideo |
| reboot_required | true |
| resource | kernel_module |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Désactive toutes les webcams USB. Ne pas appliquer aux postes de travail, portables ou terminaux de visioconférence qui utilisent légitimement une caméra, les appels vidéo et logiciels de capture cesseront de fonctionner. Destiné aux serveurs et bornes sans rôle de caméra. Vérifiez avec lsmod | grep uvcvideo et v4l2-ctl --list-devices avant d'appliquer.