Linux 內核將引入安全鎖定功能
經過多年以來的無數次審查、討論和代碼重寫，Linus Torvalds通過了一項Linux內核新的安全功能，它被稱為“鎖定”（lockdown）。這項新功能將作為LSM（Linux Security Module，Linux安全模塊）包含在即將發布的Linux kernel 5.4中。由於存在破壞現有系統的風險，因此該功能是可選的，並非默認開啟。
這一新的鎖定功能主要是為了防止root 帳戶篡改內核代碼，從而在用戶態進程和代碼之間劃清界限。啟用該功能後，即便是root 帳戶也無法訪問某些內核功能，從而保護操作系統免受受損的root 帳戶影響。
Linus Torvalds 表示，啟用鎖定模塊後，各種內核功能都會受到限制。其中包括對內核功能的訪問限制；對/dev/mem 的讀寫操作的阻止；對CPU MSR 訪問的限制；以及防止系統進入睡眠狀態等等。
鎖定功能支持兩種不同模式，可用於激活不同級別的限制。“完整性”（integrity）模式將禁止用戶修改正在運行的內核功能。另一種“機密性”（confidentiality）模式則會禁止用戶從內核中提取機密信息。
內核鎖定功能的研究始於 2010 年代初期，由現在的Google 工程師Matthew Garrett 牽頭。該功能背後的想法是創建一種安全機制，以防止具有特權的用戶（甚至是“root”帳戶）篡改內核的代碼。
在那個時候，即使Linux 系統採用了安全啟動機制，惡意軟件仍然可以通過濫用具有特殊提升特權的驅動程序和root 帳戶等來篡改內核代碼。多年以來，許多安全專家一直在要求Linux 內核支持一種更有效的方式來限制root 帳戶，並提高內核安全性。
最初提出該功能時，Linus Torvalds 本人是最大的反對者之一，他對此提出了不少批評。結果，許多Linux 發行版開發了自己的Linux 內核補丁，這些補丁在主線內核之上都添加了鎖定功能。直到2018 年，支持派和反對派才逐漸達成中間立場，關於鎖定功能的工作也終於在今年取得了新的進展。
新功能獲得批准後，也在Linux 和網絡安全社區受到了廣泛歡迎。詳情可查看公告：