El kernel (núcleo) es la parte central de un sistema operativo que se ejecuta con los máximos privilegios y gestiona la memoria, los procesos, los controladores de hardware y el acceso a todos los recursos del sistema.
Cómo funciona el kernel
Los procesadores separan el código en niveles de privilegio: las aplicaciones se ejecutan en modo usuario, sin acceso directo al hardware ni a la memoria ajena, y piden servicios al kernel mediante llamadas al sistema. El kernel y sus controladores corren en modo kernel (anillo 0) sin restricciones. Ejemplos: Linux, Windows NT y XNU de Apple (macOS e iOS).
Por qué el kernel importa para la seguridad
Quien controla el kernel controla todo el sistema, incluido el software de seguridad, por lo que es un objetivo prioritario:
- Escalada de privilegios: los fallos del kernel dan a un usuario local o un malware permisos de root o SYSTEM, como Dirty COW (CVE-2016-5195) y Dirty Pipe (CVE-2022-0847) en Linux. Son un paso habitual en las cadenas de escalada de privilegios y en el spyware móvil.
- Rootkits: los rootkits en modo kernel ocultan archivos, procesos y conexiones de red al propio sistema operativo.
- Controladores vulnerables: en los ataques «bring your own vulnerable driver» (BYOVD), las bandas de ransomware cargan un controlador firmado pero defectuoso para desactivar el EDR.
El código del kernel también arriesga la estabilidad: en julio de 2024 una actualización defectuosa del sensor de CrowdStrike, que opera en el kernel, bloqueó unos 8,5 millones de equipos Windows en todo el mundo.
Cómo se protege el kernel
- Mitigaciones de exploits como ASLR del kernel, SMEP/SMAP y canarios de pila.
- Firma obligatoria de controladores, Kernel Patch Protection de Microsoft y la lista de bloqueo de controladores vulnerables.
- Seguridad basada en virtualización, en la que un hipervisor protege la memoria crítica del kernel (HVCI).
- Instalar de inmediato las actualizaciones del sistema, cuyas correcciones del kernel suelen ser importantes o críticas.
