Модули ядра

Загружаемый модуль ядра — привилегированный код, расширяющий работающее ядро драйвером, файловой системой, сетевой функцией или другой подсистемой. Модули позволяют не встраивать каждую необязательную возможность в один образ, но их загрузка расширяет доверенную поверхность атаки ядра.

Вывод берётся из состояния ядра, например /proc/modules, и включает имя, размер и счётчик использования или зависимости. Нулевой счётчик не доказывает безопасность удаления: драйвер может владеть активными устройствами или участвовать в состоянии подсистемы.

Изучите модуль, доступный работающему ядру:

$ modinfo MODULE_NAME

modinfo показывает файл, aliases, параметры, лицензию, описание и сведения о подписи. Метаданные описательны, но не доказывают доверие или совместимость с нагрузкой.

modprobe учитывает индексы зависимостей, aliases и конфигурацию работающего ядра в /lib/modules/$(uname -r)/. Он загружает необходимые зависимости и передаёт настроенные параметры. insmod напрямую вставляет один указанный файл и не предоставляет такое разрешение зависимостей.

До загрузки подтвердите происхождение, политику подписей, совместимость с release ядра, параметры, ожидаемую привязку оборудования и откат. Secure Boot или kernel lockdown могут отклонить неподписанный модуль; принудительное внедрение несовместимого кода грозит сбоем или компрометацией.

Строка влияет на параметры при загрузке через modprobe, но сама не просит загрузить модуль при старте. Простой список загрузки обычно находится в /etc/modules-load.d/:

example_module

Аппаратные aliases часто вызывают автоматическую загрузку без явного списка. Для модулей ранней загрузки после изменения конфигурации обновите initramfs документированным способом дистрибутива.

Обычно blacklist подавляет автоматическую загрузку через aliases. Он не выгружает уже загруженный модуль, не удаляет его из initramfs и не обязательно предотвращает явную загрузку по имени или как зависимости. Для усиления защиты нужна специфичная угрозе комбинация доступности модулей, проверки подписей, содержимого initramfs, параметров загрузки и политики.

Modprobe может удалить ставшие ненужными зависимости. Ядро отклоняет удаление, когда обычный учёт ссылок показывает занятость, но не полагайтесь лишь на это. Остановите службы, размонтируйте файловые системы, отсоедините устройства, остановите сетевую активность и подтвердите другой драйвер или путь восстановления до удаления кода активного оборудования.

Никогда не выгружайте модуль принудительно в системе, которую нужно сохранить. Ошибка удаления или незавершённая активность может уронить ядро или повредить данные.

Используйте лабораторную работу Управление модулями ядра в Linux с модулями, обозначенными лабораторией как безопасные.