經過多年以來的無數次審查、討論和代碼重寫，Linus Torvalds 通過了一項 Linux 內核新的安全功能，它被稱為「鎖定」（lockdown）。
這項新功能將作為 LSM（Linux Security Module，Linux 安全模塊）包含在即將發布的 Linux kernel 5.4 中。由於存在破壞現有系統的風險，因此該功能是可選的，並非默認開啟。
這一新的鎖定功能主要是為了防止 root 帳戶篡改內核代碼，從而在用戶態進程和代碼之間劃清界限。啟用該功能后，即便是 root 帳戶也無法訪問某些內核功能，從而保護操作系統免受受損的 root 帳戶影響。
Linus Torvalds 表示，啟用鎖定模塊后，各種內核功能都會受到限制。其中包括對內核功能的訪問限制；對 /dev/mem 的讀寫操作的阻止；對 CPU MSR 訪問的限制；以及防止系統進入睡眠狀態等等。
鎖定功能支持兩種不同模式，可用於激活不同級別的限制。「完整性」（integrity）模式將禁止用戶修改正在運行的內核功能。另一種「機密性」（confidentiality）模式則會禁止用戶從內核中提取機密信息。
內核鎖定功能的研究始於 2010 年代初期，由現在的 Google 工程師 Matthew Garrett 牽頭。該功能背後的想法是創建一種安全機制，以防止具有特權的用戶（甚至是「root」帳戶）篡改內核的代碼。
在那個時候，即使 Linux 系統採用了安全啟動機制，惡意軟體仍然可以通過濫用具有特殊提升特權的驅動程序和 root 帳戶等來篡改內核代碼。多年以來，許多安全專家一直在要求 Linux 內核支持一種更有效的方式來限制 root 帳戶，並提高內核安全性。
最初提出該功能時，Linus Torvalds 本人是最大的反對者之一，他對此提出了不少批評。結果，許多 Linux 發行版開發了自己的 Linux 內核補丁，這些補丁在主線內核之上都添加了鎖定功能。直到 2018 年，支持派和反對派才逐漸達成中間立場，關於鎖定功能的工作也終於在今年取得了新的進展。
新功能獲得批准后，也在 Linux 和網路安全社區受到了廣泛歡迎。詳情可查看公告：
消息來源：ZDNet
[admin
]
來源：OsChina
連結：https://www.oschina.net/news/110281/linux-to-get-kernel-lockdown-feature
Linux 內核將引入安全鎖定功能已經有248次圍觀
