ロード可能なカーネルモジュール

Linux のロード可能なカーネル モジュールは、modprobeコマンドによってロード (およびアンロード) されます。これらは/lib/modules、またはにあり/usr/lib/modules、バージョン 2.6 以降は拡張子.ko("カーネル オブジェクト") が付いています (以前のバージョンでは拡張子が使用されていました.o)。^{[ 5 ]}コマンドlsmodは、ロードされたカーネル モジュールを一覧表示します。システムがモジュールの破損などにより起動に失敗した緊急時には、カーネル ブート パラメータ リストを変更することによって、特定のモジュールを有効または無効にすることができます (たとえば、GRUB を使用している場合は、GRUB スタート メニューで 'e' を押してから、カーネル パラメータ行を編集します)。

MODULE_LICENSE ( " GPLディレクトリ内のファイルにはGPL \0が適用されます。その他のファイルにはLICENSEファイルのみが適用されます" );

FreeBSDのカーネル モジュールは、オペレーティングシステム/boot/kernel/に付属するモジュールの場合は 、FreeBSD ポートまたはFreeBSD パッケージからインストールされたモジュールの場合は通常、プロプライエタリ モジュールまたはバイナリのみのモジュールの場合は に格納されます。FreeBSD カーネル モジュールは通常 拡張子を持ちます。マシンが起動したら、コマンドでロードし、コマンドでアンロードし、コマンドで一覧表示できます。モジュールは、カーネルが起動する前に、自動的に ( を介して) または手動でローダーからロードすることもできます。/boot/modules/.kokldloadkldunloadkldstat/boot/loader.conf

macOS の一部のロード可能なカーネルモジュールは自動的にロードできます。ロード可能なカーネルモジュールは、kextloadコマンドでもロードできます。また、コマンドで一覧表示することもできます。ロード可能なカーネルモジュールは、拡張子 のバンドルkextstatに格納されています。オペレーティングシステムに付属のモジュールはディレクトリに格納され、サードパーティが提供するモジュールは他のさまざまなディレクトリに格納されています。.kext/System/Library/Extensions

NetWareカーネルモジュールは、 NetWareロード可能モジュール（NLM）と呼ばれます。NLMはLOADコマンドによってNetWareカーネルに挿入され、UNLO​​ADコマンドによって削除されます。このmodulesコマンドは現在ロードされているカーネルモジュールの一覧を表示します。NLMはNetWareサーバーに割り当てられた有効な検索パスであればどこにでも配置でき、.NLMファイル名拡張子は.NETです。

ダウンロード可能なカーネルモジュール（DKM）タイプのプロジェクトを作成すると、「.out」ファイルが生成され、これを「ld」コマンドを使用してカーネル空間にロードできます。このダウンロード可能なカーネルモジュールは、「unld」コマンドを使用してアンロードできます。

Solaris には、カーネル モジュールのロード パスを設定可能で、デフォルトは です/platform/platform-name/kernel /kernel /usr/kernel。ほとんどのカーネル モジュールは の下のサブ ディレクトリにあります/kernel。システムを init が起動できる状態まで起動するために必要とみなされないモジュールは、多くの場合 (常にではありませんが) にあります/usr/kernel。DEBUG カーネル ビルドを実行すると、システムは積極的にモジュールのアンロードを試みます。

Linux では、sysctlオプションを使用してモジュールのロードを無効にすることができます/proc/sys/kernel/modules_disabled。^{[ 12 ] [ 13 ]} initramfsシステムは、起動時にマシンに必要な特定のモジュールをロードし、その後モジュールのロードを無効にすることができます。これにより、セキュリティはモノリシック カーネルと非常によく似たものになります。攻撃者が initramfs を変更できる場合、カーネル バイナリも変更できます。

OS X Yosemite以降のリリースでは、カーネル拡張機能は、特定の「権限」を持つ開発者証明書でコード署名する必要があります。このような開発者証明書は、Apple が要求に応じてのみ提供し、 Apple Developerメンバーに自動的に付与されるわけではありません。この機能は「kext 署名」と呼ばれ、デフォルトで有効になっており、署名されていないカーネル拡張機能が存在する場合はカーネルの起動を停止するように指示します。^{[ 14 ]} OS X El Capitan以降のリリースでは、システム整合性保護の一部となっています。

古いバージョンの macOS では、または kext 署名が無効になっている場合、カーネル拡張バンドルのプロパティ リストで OSBundleAllowUserLoad プロパティが True に設定されていれば、非ルート ユーザーでもカーネル拡張バンドル内のロード可能なカーネル モジュールをロードできます。^{[ 15 ]}ただし、実行可能コード ファイルを含むバンドル内のいずれかのファイルが、root および wheel グループによって所有されていないか、グループまたは「other」によって書き込み可能になっている場合、カーネル ロード可能なモジュールをロードしようとすると失敗します。^{[ 16 ]}

カーネルモジュールには、オプションで暗号署名ELFセクションを含めることができ、これは検証ブートポリシーの設定に応じてロード時に検証されます。カーネルは、モジュールが信頼できる証明書セットによって暗号署名されていることを強制できます。信頼できる証明書のリストは、一部のSPARCベースのプラットフォームでは、OSの外部にあるILOMに保持されます。ユーザー空間からカーネルモジュールをロードできるのは、システムが不変グローバルゾーン機能を有効にして実行されている場合に限り、信頼できるパスからのみです。