🛡️ Linux Stackable LSM Architecture Kernel 6.12+

🔗 Stacked Hook Execution Pipeline

리눅스 커널의 LSM 후크는 단일 함수 포인터가 아닌 이중 연결 리스트(hlist_head)로 관리됩니다. 보안 검사 요청 발생 시 체인에 등록된 모듈들이 순차적으로 호출되며, 어느 한 모듈이라도 음수 에러(-EPERM, -EACCES)를 반환하면 즉시 거부(Fail-Closed)되고 후속 평가는 중단됩니다.

📜 커널 후크 평가 로그 (dmesg)

[ 0.000000] LSM: Initializing: capability,landlock,lockdown,yama,bpf

[ 0.000000] LSM: Registered 5 security modules in order.

[Ready] 시나리오를 선택하고 [단계별 실행] 또는 [자동 실행]을 클릭하십시오.

💡 후크 체인 평가 메커니즘

/* include/linux/lsm_hook_defs.h */
#define call_int_hook(FUNC, IRC, ...) ({       \
    int RC = IRC;                              \
    struct security_hook_list *P;              \
    hlist_for_each_entry(P, &security_hook_heads.FUNC, list) { \
        RC = P->hook.FUNC(__VA_ARGS__);        \
        if (RC != 0)                           \
            break; /* Fail-Closed! 즉시 중단 */ \
    }                                          \
    RC;                                        \
})

체인에 등록된 모든 LSM이 0(성공)을 반환해야만 접근이 최종 허용됩니다. 어느 하나라도 0이 아닌 값을 반환하면 그 즉시 루프가 break되어 후속 모듈은 평가되지 않습니다.

📦 Composite Shared Security Blobs

리눅스 5.1 이전에는 모듈마다 void *security 포인터를 독점하려 하여 복수 LSM 동시 활성화가 불가능했습니다. 현대 스택형 LSM은 커널 부팅 시 각 모듈이 요청한 크기(lsm_blob_sizes)를 합산하여 단일 연속 메모리 블록으로 할당하고, 각 모듈에 고정 오프셋을 제공합니다.

⚙️ 인프라 스트럭처: lsm_blob_sizes

struct lsm_blob_sizes {
    int lbs_cred;   /* Task credentials */
    int lbs_file;   /* Open file description */
    int lbs_inode;  /* Inode metadata */
    int lbs_ipc;    /* IPC objects */
    int lbs_msg;    /* SysV msg */
    int lbs_task;   /* Task struct */
    int lbs_xattr;  /* Security xattrs */
};

🚀 개인 오프셋 접근 매크로

/* 예: Landlock 모듈의 개인 블롭 접근 */
static inline struct landlock_ruleset *
landlock_cred(const struct cred *cred)
{
    return (struct landlock_ruleset *)
        (cred->security + landlock_blob_sizes.lbs_cred);
}

🛠️ 부팅 파라미터 제어 및 lsm=... 해석 엔진

커널 컴파일 시 CONFIG_LSM으로 기본 스택을 지정하고, 부팅 시 커널 명령줄의 lsm=... 파라미터로 순서 변경 및 비활성화를 수행할 수 있습니다.

인터랙티브 부팅 스택 시뮬레이터

아래 입력란에 원하는 lsm=... 파라미터를 입력하고 적용해 보십시오.

🔍 SecurityFS 인터페이스 (/sys/kernel/security/lsm)

capability,landlock,lockdown,yama,loadpin,safesetid,bpf

현재 활성화된 LSM 목록이 컴마로 구분되어 유저스페이스에 노출됩니다.

📡 LSM 전용 시스템 콜 (__NR_lsm_list_modules)

syscall(461, ids, &size, 0)
 -> Detected Modules:
    [1] ID: 100 (capability)
    [2] ID: 110 (landlock)
    [3] ID: 108 (lockdown)
    [4] ID: 105 (yama)
    [5] ID: 106 (loadpin)
    [6] ID: 107 (safesetid)
    [7] ID: 109 (bpf)

리눅스 6.8에 추가된 UAPI 시스템 콜로 바이너리 ID 목록을 안전하게 질의합니다.

📊 리눅스 보안 모듈 (LSM) 종합 비교 매트릭스

모듈명 (LSM)	도입 버전	스택 지원	비특권자 사용	주요 방어 영역 및 메커니즘	블롭 요구
Capability	2.6.0 (필수)	항상 1순위	권한 상속	전통적 POSIX capability 및 DAC 권한 검사 (루트 분할)	0 bytes
Landlock	5.13	스택 가능	완전 지원	비특권 프로세스 샌드박싱 (파일시스템 경로 및 네트워크 포트 제한)	Cred, Inode
Lockdown	5.4	스택 가능	루트 전용	커널 무결성 및 기밀성 보호 (/dev/mem, I/O 포트, BPF 쓰기 방지)	0 bytes
Yama	3.4	스택 가능	기본 보호	ptrace 프로세스 메모리 주입 및 디버깅 접근 통제 (ptrace_scope)	0 bytes
LoadPin	4.7	스택 가능	부팅 전용	커널 모듈/펌웨어가 최초 마운트된 신뢰 루트에서만 로드되도록 고정	0 bytes
SafeSetID	5.1	스택 가능	루트 정책	UID/GID 전환 전이(Transition) 규칙 통제 (권한 상승 통로 제한)	Cred
BPF LSM	5.7	스택 가능	CAP_BPF	eBPF 프로그램을 통한 동적 런타임 보안 정책 주입 및 모니터링	Dynamic
SELinux / AppArmor	2.6.0 / 2.6.36	단일 주 모듈	관리자 정책	시스템 전역 강제적 접근 제어 (MAC - 레이블 및 경로 기반)	Full Blobs