Como parte de su trabajo Soporte Trust Domain Extensions (TDX) para Linux, los ingenieros de Intel están proponiendo una opción de filtro de controlador para Linux para poder establecer listas de permitir o denegar de controladores que pueden o no pueden ser cargados por el kernel arrancado.
Con el fin de reducir la superficie de ataque dentro de las máquinas virtuales invitadas y al mismo tiempo querer poder usar la misma compilación del kernel entre un host y un invitado, los ingenieros de Intel están buscando agregar este soporte de filtro de controlador al kernel. Al arrancar el invitado, a través de la línea de comandos del kernel, pueden simplemente especificar los controladores específicos para permitir que el kernel los cargue o, alternativamente, establecer una lista de controladores específicos que el sistema no debería permitir que los cargue.
De forma predeterminada, esta propuesta no cambia ningún comportamiento predeterminado del kernel. El marco del filtro de controladores haría uso de las opciones filter_deny_drivers=y filter_allow_drivers=para especificar fácilmente qué controladores del kernel permitir sin tener que eliminar físicamente ningún módulo o reconstruir el kernel con un Kconfig diferente. El estado del filtro del controlador en un sistema en ejecución con este parche también se puede consultar a través de sysfs.
Más detalles sobre este marco de filtro de controlador propuesto para el kernel de Linux a través de la lista de correo del kernel .
