Ne pas charger les disciplines de ligne de terminal à la demande
Empêche un programme ordinaire de faire charger au noyau du code de terminal rarement utilisé, qui a déjà été exploité.
Pourquoi il compte
Une discipline de ligne TTY est un morceau de code du noyau qui traite les données d’un terminal de type série. Certaines anciennes avaient des failles, et un programme ordinaire pouvait demander au noyau de les charger via la requête TIOCSETD, puis exploiter la faille. Interdire le chargement automatique ferme cette voie aux utilisateurs sans privilèges.
Comment il fonctionne
Met dev.tty.ldisc_autoload à 0. Les disciplines de ligne intégrées au noyau ou déjà chargées continuent de fonctionner, mais le noyau n’en charge plus d’autres à la demande d’un programme sans le privilège requis.
À qui il s'adresse
Presque tous les ordinateurs de bureau et serveurs. Laissez désactivé si vous utilisez du matériel série qui dépend du chargement d’un tel module à la demande, par exemple certaines configurations SLIP, CAN sur série ou modems.
Ce que vous pouvez remarquer
En général rien. Si un outil série rare échoue avec une erreur de discipline de ligne inconnue, un administrateur peut charger d’abord le module correspondant à la main.
Le vérifier sur votre ordinateur
Lire la valeur actuelle :
sysctl dev.tty.ldisc_autoloadL'appliquer à la main
La définir maintenant (jusqu'au prochain redémarrage) :
sudo sysctl -w dev.tty.ldisc_autoload=0La conserver après les redémarrages, dans un fichier qui vous appartient :
sudo tee /etc/sysctl.d/90-kernel-ldisc-autoload.conf <<'EOF'
dev.tty.ldisc_autoload = 0
EOF
sudo sysctl --systemL'annuler
Supprimez le fichier et redémarrez, ou remettez l'ancienne valeur avec sysctl -w.
Réglages liés
Sources
- Linux Hardening Guide (madaidans)
- 2.2.1