KO (module noyau Linux) : fichier .ko

Un fichier KO est un module chargeable dynamiquement dans le noyau Linux, permettant d’ajouter un pilote de périphérique, un système de fichiers ou une fonctionnalité réseau à un système déjà démarré, sans devoir recompiler le noyau entier ni redémarrer la machine. L’insertion se fait via les commandes insmod ou, plus couramment, modprobe qui gère aussi les dépendances entre modules.

Le fichier partage le même conteneur ELF (Executable and Linkable Format) que n’importe quel exécutable ou bibliothèque partagée sous Linux, avec la même signature d’en-tête : seul un champ de type interne (ET_REL, indiquant un fichier objet relogeable plutôt qu’un exécutable direct) distingue structurellement un module noyau d’un binaire ordinaire.

Le noyau vérifie une signature de version (vermagic) intégrée au module lors de son chargement, et refuse de charger un module compilé pour une version de noyau différente de celle réellement en cours d’exécution. Cette protection est nécessaire car les structures de données internes du noyau changent fréquemment d’une version à l’autre, rendant un module incompatible potentiellement dangereux plutôt que simplement inopérant.

Un module noyau s’exécute avec les privilèges les plus élevés du système, au niveau anneau 0 du processeur, au-dessus même des protections qui s’appliquent à un processus utilisateur classique : un module malveillant chargé avec succès (rootkit noyau) reste l’une des formes de compromission les plus difficiles à détecter, puisqu’il peut potentiellement dissimuler sa propre présence aux outils de diagnostic du système qu’il a lui-même compromis.

Signature des modules, Secure Boot et lockdown

Avec l’option CONFIG_MODULE_SIG, le noyau vérifie au chargement une signature cryptographique ajoutée à la fin du fichier .ko, hors du conteneur ELF, et repérable par la chaîne ~Module signature appended~. en fin de fichier. En mode permissif, un module non signé ou mal signé se charge quand même mais marque le noyau comme « tainted » (lettre E) ; avec CONFIG_MODULE_SIG_FORCE, il est refusé. Cette signature étant extérieure à l’ELF, retirer les symboles d’un module (strip) après signature la rend invalide.

Le mode lockdown du noyau n’autorise que le chargement de modules valablement signés. Sur des distributions comme Debian, le démarrage avec Secure Boot active ce mode : un module externe non signé par une clé de confiance (pilote propriétaire, module DKMS) est alors refusé, sauf à le signer avec sa propre clé enregistrée comme MOK (Machine Owner Key).