Оставить старые установленные ядра могут быть опасными?

Единственная проблема, которую вы получаете, сохраняя все старые ядра, - это пространство. Каждое изображение ядра вместе с заголовками занимает около 300 МБ.

В конечном итоге это может заполнить раздел и сделать невозможным обновление безопасности.

Вы всегда хотите, чтобы хотя бы одно старшее ядро ​​имело резервную копию на всякий случай.

Если у вас установлен обычный Ubuntu, и если вы регулярно запускаете sudo apt-get autoremove, apt-get предлагает удалить старые ядра. Все, что вам нужно сделать, это ответить «Да»! Скрипт, который отвечает за удаление старых ядер, всегда гарантирует, что у вас есть хотя бы одно резервное ядро, доступное в случае, если новейший вам не подходит.

Сценарий, о котором я упоминал выше, можно найти здесь : /etc/kernel/postinst.d/apt-auto-removal. Процитировать:

# Author: Steve Langasek # # Mark as not-for-autoremoval those kernel packages that are: # - the currently booted version # - the kernel version we've been called for # - the latest kernel version (determined using rules copied from the grub # package for deciding which kernel to boot) # - the second-latest kernel version, if the booted kernel version is # already the latest and this script is called for that same version, # to ensure a fallback remains available in the event the newly-installed # kernel at this ABI fails to boot # In the common case, this results in exactly two kernels saved, but it can # result in three kernels being saved. It's better to err on the side of # saving too many kernels than saving too few.

Возможно, хотя и не очень правдоподобно, что установка старых ядер является угрозой безопасности.

Новые версии ядра обычно исправляют проблемы безопасности. Когда вы загружаетесь в новое ядро, вы должны быть защищены от этих проблем безопасности.

Вот сценарий, в котором было бы возможно использовать это:

] Атакующий может удалить ядра из загрузочного раздела. Атакующий удаляет более новые версии ядра, заставляя пользователя загружать старое, незапакованное ядро. Атакующий получает пользователя для загрузки старого ядра. После загрузки злоумышленник использует эту уязвимость для доступа к машине.

Это возможно, хотя и не очень правдоподобно : обычно, если злоумышленник имеет доступ к вашей машине, у вас будет плохой день. Он мог почти легко скомпрометировать ваши initramfs, даже с включенным полным шифрованием диска, и установить кейлоггер или хуже.

Да, это может быть - если консоль доступна, а меню grub позволяет выбрать, какое ядро ​​загружаться (не редактируя параметры, просто выбирая). Если это правда, непривилегированный пользователь может выбрать старое ядро ​​(либо перезагрузив компьютер, если им разрешено это сделать, вытащив вилку и перезагрузив, либо, случается, на консоль при ее загрузке), и приступим к использованию локального Корневая эскалация, исправленная в новом ядре (случайный пример: CVE-2012-0056).

Когда устанавливаются новые ядра, содержащие обновления безопасности, вы должны либо удалить старые, либо убедиться, что они не могут быть выбраны для загрузка злоумышленником.

Я не вижу никакой опасности оставлять старые ядра на месте - просто сказал, что вы заботитесь о достаточном пространстве под / boot, а также для будущих потребностей. Но у меня есть особая причина хранить всегда одно старое ядро, которое больше не получает патчей: из-за меня это происходит, что последнее активное ядро ​​получает исправление, а затем этот не запускает важную услугу - это часто беспроводная поддержка. Затем я перезагружаюсь из своего старого запасного ядра, а затем переустанавливаю неисправное новое ядро, и все работает снова. Приправленное ядро ​​приносит только предельную опасность: я использую его только для короткого ремонта!

Наличие хотя бы предыдущего ядра может быть положительным в случае плохих конфигураций или странных сбоев. Что происходит в Linux, и поскольку ОС не является OEM, тогда нет системы восстановления, если вы не сделаете это заранее. На этой же странице авария или плохая конфигурация могут быть настолько плохими, что не могут быть исправлены путем отбрасывания.

Вы можете посетить с помощью моментальных снимков BTRFS AskUbuntu