Remove o busybox do buildroot

Question

Como parte do hardening do Linux, queremos remover busybox do sistema de arquivos criado com o buildroot .

Mas não tenho certeza se o sistema pode inicializar sem ele.

Tenho certeza de que existem arquivos init que dependem do busybox.

É possível inicializar sem o busybox ou requer um init personalizado?

    

Answer 1

Tudo depende se sua distro usa o Busybox para init .

Para apontar você na direção certa, execute ls -l /sbin/init .

Se você obtiver algo como o seguinte (exemplo do OpenWRT):

~# ls -l /sbin/init
-rwxr-xr-x    1 root     root         10824 Jan 31  2016 /sbin/init

Isso significa que init é um aplicativo diferente e você pode remover o Busybox. Você ainda precisará substituir todo o comando init requer com alternativas, pois o Busybox fornece muitas ferramentas necessárias para inicializar com êxito.

No entanto, se você obtiver (exemplo do Alpine Linux):

~$ ls -l /sbin/init
lrwxrwxrwx    1 root     root            12 May  3 04:49 /sbin/init -> /bin/busybox

Isso significa que init é fornecido pelo Busybox e você não poderá inicializar, a menos que você possa substituir o init do Busybox por uma alternativa.

Você precisa considerar se está realmente fortalecendo seu sistema fazendo isso, pois acabará substituindo um binário por muitos.

    

Answer 2

Eu excluo rotineiramente o busybox em meu modelo mestre / VMs do Debian.

Quanto ao Debian, é uma questão de não permitir que ele instale os pacotes busybox e busybox-static .

Você só precisa ter em mente que as opções de recuperação / resgate serão mais limitadas em um sistema sem ele. por exemplo. Eu poderia mantê-lo em um sistema físico, excluí-lo como uma forma padrão de VMs para economizar espaço e sob a antiga regra de ouro do Unix de manter o mínimo de software instalado.

Pelo menos falando para o Debian, a desinstalação faz as modificações necessárias em segundo plano, e não é necessário fazer nenhuma etapa extra nem personalizar nada.