La firma dei moduli è un controllo di sicurezza di Linux che verifica la firma crittografica di un modulo del kernel prima che il modulo venga caricato. Se la firma è assente, non valida o non è considerata attendibile dal keyring del kernel, il caricamento viene bloccato. Questo aiuta a garantire che solo il codice approvato possa essere eseguito all'interno del kernel, dove ha privilegi elevati e ampia visibilità sull'host.
È importante perché gli attaccanti che ottengono accesso root spesso cercano di caricare un modulo malevolo per nascondere processi, connessioni di rete, file o strumenti di sicurezza. Una policy basata su moduli firmati alza l'asticella per quel tipo di persistenza e furtività a livello di kernel. Nelle difese reali, gli amministratori combinano la firma dei moduli con secure boot, chiavi di firma attendibili e il monitoraggio di fallimenti imprevisti nel caricamento dei moduli o di tentativi di caricamento di moduli non firmati. Non è una difesa completa, ma è un controllo importante per ridurre il rischio di rootkit e di altri implant nel kernel.