Bloquear protocolos de red poco comunes

Por qué importa

Linux puede cargar controladores de protocolos de red antiguos o raros, como DCCP, SCTP, AX.25 y ATM, en el momento en que un programa abre un socket de ese tipo, sin ningún administrador por medio. Varios han tenido fallos graves. En 2017, por ejemplo, un fallo en DCCP (CVE-2017-6074) dio root a un usuario local haciendo que el kernel cargara el módulo.

Cómo funciona

Añade una configuración de modprobe que hace fallar la carga de cada módulo del grupo net-protocols. Como el kernel consulta a modprobe cuando se pide un protocolo desconocido, un programa normal ya no puede provocar la carga.

Quién debería usarlo

Casi todos los escritorios y servidores. Déjalo apagado si usas SCTP (algo de software de telecom y WebRTC), bus CAN, red de radioaficionados o aparatos parecidos.

Qué puedes notar

Casi nunca. Un programa que necesita uno de estos protocolos falla al abrir su socket con un error como Protocol not supported o Address family not supported.

Compruébalo en tu equipo

Mira si los módulos están cargados:

lsmod | grep -E '^(dccp|sctp|rds|tipc|n-hdlc|ax25|netrom|x25|rose|decnet|econet|af_802154|ipx|appletalk|psnap|p8023|p8022|can|atm) '

Aplícalo a mano

Indica al sistema que no los cargue, en un archivo tuyo:

sudo tee /etc/modprobe.d/90-modules-net-protocols.conf <<'EOF'
install dccp /bin/false
install sctp /bin/false
install rds /bin/false
install tipc /bin/false
install n-hdlc /bin/false
install ax25 /bin/false
install netrom /bin/false
install x25 /bin/false
install rose /bin/false
install decnet /bin/false
install econet /bin/false
install af_802154 /bin/false
install ipx /bin/false
install appletalk /bin/false
install psnap /bin/false
install p8023 /bin/false
install p8022 /bin/false
install can /bin/false
install atm /bin/false
EOF

Deshazlo

Elimina el archivo. Los módulos ya cargados siguen hasta el próximo reinicio.

Ajustes relacionados

• Bloquear sistemas de archivos poco usados
• No cargar disciplinas de línea de terminal bajo demanda

Fuentes

Linux Hardening Guide (madaidans)

2.5.2