RoamSwitch für Linux
Whitepaper zu Architektur und Sicherheit

§1

RoamSwitch für Linux ist eine residente Netzwerksicherheits- und Systemdiagnoseanwendung, die das Zero-Trust-Netzwerkverteidigungsmodell von macOS RoamSwitch auf Linux (systemd + nftables-Umgebungen) bringt.

Diese Edition zielt auf Client-Maschinen (Workstations, Laptops, Einplatinencomputer) ab und setzt autonomes Verhalten voraus, das der Maschine folgt, wenn sie sich zwischen Netzwerken bewegt. Eine gehärtete Server-/Headless-Infrastruktur-Edition (RoamSwitch Server Edition – Always-on-Default-Deny, Critical-Path-FIM-Integrität, Remote-Webhooks und statische Richtliniendurchsetzung) wird als dedizierter Server-Build bereitgestellt.

Es identifiziert das verbundene WLAN/kabelgebundene Netzwerk anhand seiner Gateway-MAC-Adresse und schaltet selbstständig das aktive nftables-Firewallprofil um. Darüber hinaus bietet es drei Ebenen der Man-in-the-Middle-Verteidigung in nicht vertrauenswürdigen Netzwerken – einen VPN-Tunnel + Kill-Switch (WireGuard oder Tailscale, die primäre Verteidigung), eine präventive ARP/NDP-Sperre und ARP-Spoof-Erkennung – plus verhaltensbasierte Ransomware-Erkennung (Fanotify + Shannon-Entropie + Kanarienvögel), eine passive Link Guard, der Phishing-Verbindungen kennzeichnet oder blockiert (NFQUEUE + SNI), ein Port Anomaly Guard, BadUSB-Abwehr, Kernel Local Privilege Escalation (LPE) Preemption (Frag Gap CVE-2026-53362 Abschwächung), eBPF-Laufzeit-Bedrohungssensor-Integration (Falco/Tetragon) mit Sub-Second-Process-Freezing (SIGSTOP) und Air-Gap-Netzwerk isolation, eine 24-Punkte-Bewertung des Sicherheitszustands und ein integrierter Model Context Protocol (MCP)-Server.

Dieses Whitepaper beschreibt die Architektur, das Bedrohungsmodell und das Design jedes Abwehrmechanismus – und insbesondere, wie das Prinzip der „vollständig lokalen Verarbeitung; das Einzige, was von der Maschine gesendet wird, ist eine Anfrage nach signierten Erkennungsdaten, die nichts über Sie enthalten“, auf Codeebene garantiert wird. Es vermeidet Marketingsprache; Die Ansprüche können anhand des tatsächlichen Verhaltens des verteilten Pakets (Binärdatei) und der Selbstprüfung im Anhang überprüft werden. RoamSwitch für Linux ist proprietäre Freeware und sein Quellcode wird nicht veröffentlicht (§11).

§2

RoamSwitch für Linux zielt hauptsächlich auf Laptops/mobile Workstations ab, die zwischen nicht vertrauenswürdigen Netzwerken wechseln.

Angreifer im Visier

• ___
• Bösartige USB-Geräte (BadUSB) – Vortäuschen einer Tastatur und Einschleusen von Tastenanschlägen, bevor der Bildschirm gesperrt wird; unregistrierter USB-Massenspeicher zur Datenexfiltration oder zum Einschleusen von Schadsoftware.
• Ransomware/dateilose Malware – Eindringen über eine heruntergeladene Datei und Massenverschlüsselung der Dokumente des Benutzers.
• DNS-basiertes C2 und Phishing – Malware, die Namensauflösung nutzt, um einen C2-Server oder eine Phishing-Site zu erreichen.

Außerhalb des Gültigkeitsbereichs

• Ein Angreifer, der bereits Wurzeln schlägt; Rootkits auf Kernel- oder Firmware-Ebene.
• Angriffe, die die Festplatte physisch entfernen (die Domäne der vollständigen Festplattenverschlüsselung; RoamSwitch diagnostiziert, ob eine Verschlüsselung vorhanden ist, führt jedoch keine Verschlüsselung durch).
• Proximity Wireless Sharing-Steuerung im AirDrop-Stil (kein Betriebssystem-nativer Mechanismus unter Linux; nicht unterstützt).

§3

RoamSwitch für Linux ist in Rust in sieben Kisten implementiert. Die gesamte Kommunikation mit dem Daemon erfolgt über /run/roamswitch/roamswitch.sock (einen Unix-Domänen-Socket). Es gibt keinen überwachenden TCP/UDP-Socket im Daemon, in der App oder im MCP-Server. Das Einzige, was die App binds hat, ist ein einzelner Unix-Socket, um eine zweite Instanz zu verhindern.

# Userspace (unprivilegiert)
roamswitch-app      GTK3 + AppIndicator-Tray
roamswitch (CLI)    Schlankes Shell-Frontend
roamswitch-mcp      stdio JSON-RPC (von AI-Clients gestartet)
      │
      │  AF_UNIX  /run/roamswitch/roamswitch.sock  (nur lokales IPC)
      ▼
roamswitch-daemon   root / systemd Type=notify + WatchdogSec=30
  · nftables-Profilsteuerung (inet roamswitch-Tabelle)
  · Sentinel-Schleife (Netzwerkerkennung & Profildurchsetzung)
  · VPN-Tunnel + Kill-Switch (WireGuard: wg-quick / roamswitch_vpn, Tailscale: roamswitch_ts)
  · Präventive ARP/NDP-Sperre (Neigh-Tabellen-Pin) / Erkennung
  · Port-Anomalie-Wächter (roamswitch_dev_guard)
  · fanotify-Wächter (Ransomware / Malware)
  · Link-Guard (NFQUEUE — inet roamswitch_linkguard)
  · Canary-Engine / Quarantäne-Vault
  · Kernel-LPE-Härtung (userns-Deaktivierung, Yama LSM)
  · eBPF-Laufzeitintegration (/var/run/roamswitch/events.sock)
  · Millisekunden-SIGSTOP-Einfrieren angreifender Prozesse & Air-Gap-Kopplung
  · USB-Überwachung (evdev EVIOCGRAB — BadUSB) / Freigabe-Warteschlange
  · Ed25519-Lizenzprüfung

roamswitch-updater  Ein eigenständiger systemd-Timer-Helfer. Das einzige Crate
                    mit HTTP/TLS-Stack (täglicher signierter Manifest-GET)
roamswitch-core     Reine Logikbibliothek (von allen Crates geteilt)
roamswitchkit       MCP-Client-SDK

Die gesamte Kommunikation mit dem Daemon erfolgt über /run/roamswitch/roamswitch.sock (ein Verzeichnis mit 0700-äquivalenten Berechtigungen). Die Benutzerkonfiguration wird als Klartext-JSON unter ~/.config/roamswitch/config.json gespeichert. Der Daemon liest /home/*/.config/roamswitch/config.json mit Root-Rechten (er läuft mit HOME=/root). Die Konfiguration verlässt nie die Maschine; Es gibt keine Kontoregistrierung und keine Cloud-Synchronisierung.

§4

Die Sentinel-Schleife (standardmäßig 5-Sekunden-Zyklus) liest den MAC des Standard-Gateways von /proc/net/arp und ip neigh und gleicht ihn mit den registrierten MACs in config.json ab. MAC wird anstelle von SSID verwendet, da eine SSID auf einfache Weise gefälscht wird. Die beim Profilwechsel angezeigte Desktop-Benachrichtigung gibt den Grund für den Wechsel an („ein nicht registriertes Netzwerk“ / „Ihre Einstellung für das registrierte Netzwerk X“ / „keine Netzwerkverbindung“).

Alle Regeln sind in einer dedizierten nftables-Tabelle mit dem Namen inet roamswitch isoliert und kollidieren nie mit anderen Firewall-Konfigurationen (ufw/firewalld). Der Ablauf der manuellen Überschreibung (1 Stunde / 2 Stunden / 4 Stunden / bis Mitternacht / bis zur Löschung / bis zur nächsten Trennung) wird vom Daemon als einzigem Autor erzwungen. Die GUI schreibt niemals einen Ablauf; Es liest den config.json, den der Daemon beim nächsten Tick neu geschrieben hat, erneut und spiegelt ihn in der Benutzeroberfläche wider (wodurch ein Konflikt vermieden wird).

Air-Gap (Notfall-Netzwerkisolierung)

Ein vollständiger Isolationsmodus, der policy drop (Priorität -100) sowohl für die Eingabe- als auch für die Ausgabe-Hooks der Tabelle inet roamswitch festlegt und nur lo zulässt.

• Fail close – Beim Neustart des Daemons wird durch die Erkennung der Markierungsdatei (/run/roamswitch/airgap.active) die Isolation erneut sichergestellt.
• Selbstheilend – Wenn ein externer Prozess die Regeln mit nft delete table löscht, wird die Sentinel-Schleife innerhalb von Sekunden erneut angewendet.
• Automatischer Ablauf – 600 Sekunden nach der Aktivierung (identisch mit macOS maxAirGapDuration) wird die Isolation automatisch aufgehoben und verhindert so einen dauerhaften Verbindungsverlust durch einen Fehlklick.

table inet roamswitch {
    chain input {
        type filter hook input priority -100; policy <accept|drop>;
        iif "lo" accept
        ct state established,related accept
        # balanced/lockdown: alles andere droppen
    }
    chain output {
        type filter hook output priority -100; policy <accept|drop>;
        # policy drop nur während Air-Gap; nur lo und ct established sind erlaubt
    }
}

Passiver Link Guard (Erkennung von Phishing-Verbindungen)

Der Daemon überwacht, wohin ausgehende Verbindungen gehen, und markiert bzw. blockiert Verbindungen zu gefährlichen Hosts, wenn es sich um die eng gefasste Gruppe „eindeutig Phishing“ handelt. Es ersetzt den älteren Paste-a-URL-Checker, der ein Eingreifen des Benutzers erforderte.

• Interception – eine dedizierte nftables-Tabelle inet roamswitch_linkguard bindet den Pfad output ein und stellt DNS-Fragen und neue/frühe Webverbindungen über NFQUEUE in die Warteschlange für einen Userspace-Worker. NFQUEUE ist ein Kernel↔Userspace-Urteilskanal über AF_NETLINK; Der Daemon bindet keinen Socket und generiert kein Paket. Die Warteschlangenregeln tragen bypass, sodass der Datenverkehr ungehindert durchläuft, wenn der Worker nicht ausgeführt wird (Air-Gap bleibt der separate harte Stopp).
• Hostname-Quellen – der DNS-Fragename, der TLS-ClientHello SNI (damit ein Browser, der DoH verwendet, immer noch durch den Hostnamen abgedeckt wird) und der Klartext-HTTP-Header Host. Encrypted ClientHello (ECH), sobald es weit verbreitet ist, ist ein bekannter blinder Fleck.
• Verdict (roamswitch-core, reine Logik) – ein Host wird anhand des lokalen Phishing-/Bedrohungs-Feeds und einer Reihe von Offline-Heuristiken überprüft: IDN/verwechselbares Homograph einer geschützten Marke, Markentoken in einer nicht offiziellen Domäne, Raw-IP-Host, TLD mit hohem Risiko.

Nur ein Feed-Hit oder ein Markenhomograph-Host wird jemals hart blockiert; Alles, was die Heuristik allein kennzeichnet, ist eine Warnung. warn-Modus hält die Verbindung zu einem gefährlichen Host bis zu 8 Sekunden lang, während der Benutzer gefragt wird; Wenn die Sperre ohne Antwort abläuft, ist sie fail-closed (die Pakete werden verworfen und das Urteil wird nicht zwischengespeichert) – es erfolgt keine Antwort auf „Ist diese Site in Ordnung?“ darf nicht „Ja“ bedeuten und wird beim nächsten Versuch erneut aufgefordert. Im block-Modus werden eine Benachrichtigung und ein Zulassungsdialog pro Host angezeigt (ein Browser, der viele Verbindungen zum gleichen blockierten Host öffnet, überflutet keine Benachrichtigungen mehr). In einem gefährlichen Genehmigungsdialog ist die Standardschaltfläche „Weiter blockieren“ und „Zulassen“ ist die stille, nicht standardmäßige Option. Ein blockierter Host kann dauerhaft oder für fünf Minuten ab der Benachrichtigung (linkGuard.allowlist) zugelassen werden.

DNS wird überprüft, nie gefälscht: Eine DNS-Frage auf der Blockliste erzeugt nur eine Benachrichtigung; Die Durchsetzung erfolgt auf der nachfolgenden TCP-Verbindung, sodass RoamSwitch niemals eine synthetische DNS-Antwort einfügt. Der feed ist eine zusammengestellte Liste von Phishing-/Betrugsdomänen, die im Paket geliefert und vom täglichen Updater aktualisiert wird (§11). Auch wenn kein Feed vorhanden ist, werden die Offline-Heuristiken weiterhin ausgeführt. Die Ed25519-Signatur der Feeddatei wird vor dem Laden überprüft. Ein fehlerhafter oder fehlender Feed scheitert nur an der „Heuristik“ und niemals daran, „alles zuzulassen“.

VPN-Tunnel + Kill-Switch (die primäre MITM-Verteidigung)

Anti-MITM-Schutz, der nicht von der Integrität der Schicht 2 abhängt. In einem nicht vertrauenswürdigen Netzwerk macht ein ständig aktiver verschlüsselter Tunnel zu einem vertrauenswürdigen Endpunkt lokales ARP/NDP-Spoofing, Rogue-DHCP und passives Sniffing irrelevant – der Angreifer sieht nur Chiffretext. Die ARP/NDP-Sperre und die folgende Erkennung sind für diese Funktion zweitrangig.

Zwei Backends zur Auswahl – „WireGuard (Konfigurationsdatei)“ oder „Tailscale (Ausgangsknoten)“. RoamSwitch implementiert keine eigene Kryptografie und ist kein VPN-Anbieter. Beide Backends sind optionale Abhängigkeiten; Wenn nicht, zeigt die GUI den Installationsbefehl an.

(A) WireGuard-Backend

• Es wird kein VPN-Server bereitgestellt – verwendet eine WireGuard-Konfiguration, die der Benutzer bereitstellt: eine .conf von einem Anbieter wie Mullvad, IVPN oder Proton VPN oder den eigenen WireGuard-Server des Benutzers (ein VPS oder ein Heimserver). Es wird keine Standardkonfiguration ausgeliefert.
• Config – der Daemon validiert den .conf und speichert ihn unter /etc/wireguard/roamswitch.conf (0600, Schnittstelle roamswitch). Es kann nicht anderswo leben: Das AppArmor wg-quick-Profil unter Ubuntu 24.04+ / Debian 13 verweigert wg-quick das Lesen eines .conf außerhalb von /etc/wireguard/ – selbst als Root. Eine Split-Tunnel-Konfiguration (AllowedIPs, nicht 0.0.0.0/0 / ::/0) wird als „nicht der gesamte Datenverkehr ist geschützt“ gekennzeichnet.
• Kill-switch – eine dedizierte nftables-Tabelle inet roamswitch_vpn (policy drop, beide Hooks) verwirft alles außer Loopback, der Tunnelschnittstelle (roamswitch, passend zu oifname), UDP zur angehefteten Endpunkt-IP, DHCP und ICMP. Es wird vor installiert, bevor der Tunnel eingerichtet wird (der Endpunkt wird zuerst über getent ahosts in feste IPs aufgelöst), sodass es kein Leckfenster gibt. Wenn wg-quick up fehlschlägt, bleibt der Kill-Switch aktiv.

(B) Tailscale-Backend

• Für Benutzer, die Tailscale bereits ausführen. RoamSwitch führt nicht aus, führt tailscale up / login / install tailscaled aus – es liest tailscale status --json und führt tailscale set --exit-node=<node> / --exit-node= aus (klar).
• Ein Exit-Knoten ist erforderlich – Anti-MITM-Schutz gilt nur bei einem Exit-Knoten, der den gesamten Datenverkehr weiterleitet. Wenn „Keine“ konfiguriert ist, ist der Schutz nicht aktiviert und die Benutzeroberfläche warnt „nicht geschützt“. Wenn der ausgewählte Knoten offline geht, wird der Schutz automatisch deaktiviert und der Benutzer benachrichtigt (die Weiterleitung aller Daten über einen toten Knoten würde die Verbindung blockieren).
• Kill-switch (inet roamswitch_ts, policy drop) – Der Transport von Tailscale kann nicht an eine einzelne Endpunkt-IP (DERP-Relays + Roaming-Peers) angeheftet werden, daher ist dieser lockerer als der von WireGuard. Es ermöglicht: Loopback, die Tunnelschnittstelle (tailscale0), die CGNAT-Bereiche 100.64.0.0/10 und fd7a:115c:a1e0::/48, STUN (udp/3478), DERP (tcp/443), udp/41641, DHCP, ICMP, MagicDNS (100.100.100.100:53), aufgebaute Verbindungen. Alles andere – beliebiges UDP, DNS zu einem lokalen Resolver, SMB, mDNS, Klartext-HTTP, beliebiges TCP – wird gelöscht.
• Kill-Switch-Vorbehalte – (1) breitere Zulassungsliste als das WireGuard-Backend (udp/3478, tcp/443, das gesamte CGNAT /10). (2) Ein On-Path-Angreifer sieht immer noch Metadaten (dass Tailscale verwendet wird, DERP-Region, Timing) und kann sie löschen/verzögern – kann die getunnelte Nutzlast jedoch nicht lesen. (3) Wenn direktes UDP blockiert ist, beruht die Vertraulichkeit auf Tailscales eigenem DERP TLS mit festem Zertifikat. (4) Wenn MagicDNS ausgeschaltet ist und ein lokaler Resolver vorhanden ist, bricht DNS im aktivierten Zustand ab (UI-Warnung). (5) Captive-Portale müssen vor der Aktivierung angemeldet sein.

Common – nur aktiviert, wenn vpn_on_untrusted_enabled und das Netzwerk nicht vertrauenswürdig ist (level != open). In einem vertrauenswürdigen Netzwerk wird der Exit-Knoten gelöscht und der Kill-Switch entfernt (niemals tailscale down). Standardmäßig deaktiviert, Opt-in. Der WireGuard-Tunnel/Tailscale-Transport geht an den eigenen VPN-Endpunkt/Tailnet des Benutzers und hat nichts mit der Infrastruktur von lafine zu tun (§9).

Präventive ARP/NDP-Sperre

Sobald ein nicht vertrauenswürdiges Netzwerk beitritt, werden die MAC-Adressen der On-Link-Infrastruktur, die ein MITM-Angreifer nachahmen müsste, in der Kernel-Nachbartabelle als PERMANENT (statische) Einträge verankert. Nach dem Fixieren ignoriert der Kernel gefälschte ARP-Antworten/Nachbar-Ankündigungen.

• ___ IPv6-Nachbarn werden mit ip -6 neigh replace ... nud permanent gepinnt.
• Vertrauenswürdige Netzwerke werden nie angeheftet – ein Neustart des Heimrouters kann also nicht dazu führen, dass der Benutzer ins Schwarze getroffen wird. Auf jedem Netzwerk-Switch neu angepinnt (TOFU); Bei der nächsten Wiederherstellung der Verbindung wird ein legitimes Failover erkannt. Angepinnte Einträge werden in /var/lib/roamswitch/arp_lock.json aufgezeichnet.
• Standardmäßig aktiviert (Community Edition-Richtlinie; gleiche Aufschlüsselung wie beim macOS Pro-Build). Umschalten: gateway_arp_lock_enabled.

ARP-Spoof-Erkennung (notify-first)

Überwacht /proc/net/arp auf eine IP-Zuordnung zu mehreren MACs und auf eine verdächtige plötzliche Änderung des Gateway-MAC. Im Lockdown: Den gesamten Verkehr unterbrechen (Air-Gap) + benachrichtigen. Auf ausgeglichenen/vertrauenswürdigen Netzwerken: benachrichtigen ohne zu schneiden; Der Benutzer löst den Notfall-Air-Gap über RoamSwitch aus. Dies (a) verhindert, dass ein Angreifer ein einzelnes gefälschtes ARP-Paket als Waffe für einen selbstverschuldeten Ausfall nutzt, und (b) verhindert, dass ein Router-Neustart oder ein Access-Point-Roaming diesen versehentlich auslöst. Umschalten: arp_spoof_guard_enabled.

Port Anomaly Guard

Enthält automatisch einen Überwachungsport, der neu dem externen LAN zugänglich gemacht wird (eine Hintertür, C2 oder ein Entwicklungsserver/eine lokale LLM-API, die versehentlich an 0.0.0.0 gebunden ist). Das Urteil lautet baseline-relative, nicht „gefährliche Portnummer“. Bei der Aktivierung werden die aktuell verfügbar gemachten ausführbaren Dateien als „bekannt“ erlernt; Danach wird nur eine neu erschienene verfügbar gemachte ausführbare Datei markiert (Identität = der ausführbare Pfad, Snapshots normalisiert auf snap:<name>). Systemdämonen liegen außerhalb des Gültigkeitsbereichs. Die Eindämmung erfolgt über die Tabelle inet roamswitch_dev_guard: Legen Sie TCP von einem beliebigen Ort außer lo auf diesen Port ab – die Maschine selbst verwendet ihn weiterhin. Bei der automatischen Eindämmung wird sofort ein Desktop-Benachrichtigungs- und Bestätigungsdialogfeld („Diesen Port zulassen“/„Blockiert halten“) angezeigt, der eine permanente Whitelist mit einem Klick ermöglicht. Über den Port-Diagnosebildschirm kann jeder Port auch einzeln zugelassen und die Baseline neu erfasst werden. Standardmäßig aktiviert. Umschalten: port_anomaly_guard_enabled. Portiert von macOS.

Docker-Risikoerkennung & Firewall-Umgehungsschutz

Von Docker veröffentlichte Ports (-p) sind bekanntermaßen in der Lage, die Standard-Firewall des Hosts zu umgehen. Daher werden dauerhaft Prüfregeln in die DOCKER-USER-Chain eingefügt, die jeglichen nicht ausdrücklich erlaubten externen Datenverkehr blockieren (keine Konfiguration nötig, standardmäßig aktiv). Zusätzlich wird docker events in Echtzeit überwacht, um den Moment zu erkennen, in dem ein --privileged-Container startet oder /var/run/docker.sock eingebunden wird – ein Risiko für einen Container-Ausbruch – und Sie sofort zu benachrichtigen. Da dies eine riskante Konfiguration und keine bestätigte Kompromittierung anzeigt, erfolgt nur eine Benachrichtigung ohne automatische Blockierung.

Scanner für Geheimnisse & API-Schlüssel-Lecks

Erkennt API-Schlüssel (OpenAI, Anthropic, AWS, GitHub, Slack, Stripe u. a.) und SSH-Private-Keys mittels Shannon-Entropie und Mustererkennung. roamswitch audit-secrets <text|Datei|Verzeichnis> durchsucht Text und Dateien sowie rekursiv ein ganzes Verzeichnis (überspringt .git, node_modules u. Ä.; Dateien über 2 MB oder die binär wirken, werden übersprungen). Dieselbe Funktion steht auch über das MCP-Tool audit_secrets und die Python-SDK-Methode audit_secrets_directory() zur Verfügung. Inhalte werden niemals irgendwohin übertragen.

Erstmaliger Setup-Assistent und Bestätigungs-Benutzeroberfläche

Das Paket wird mit /etc/xdg/autostart/roamswitch.desktop geliefert, sodass der Setup-Assistent bei der ersten Anmeldung nach der Installation gestartet wird (danach ist er nur noch in der Taskleiste vorhanden). Beim Aktivieren/Deaktivieren eines Sicherheitswächters wird ein Bestätigungsdialogfeld für dieselben Wächter wie beim macOS-Build angezeigt (Portanomalie, ARP-Auto-Containment, USB-Speicher, BadUSB-Tastatur, Bluetooth). Entscheidungen zum Ereigniszeitpunkt (eine unbekannte USB-Tastatur, ein nicht registriertes USB-Laufwerk, ein unbekannter automatisch blockierter Port, ein Notfall-Air-Gap) werden als modale Dialoge dargestellt.

§5

Shannon-Entropie-Burst-Erkennung · YARA-Scanning

Schreibereignisse werden per PID verfolgt. Wenn ein einzelner Prozess innerhalb von 5 Sekunden 20 oder mehr distinct Dateien mit einer Entropie ≥ 7,92 erstellt, wird dies als Ransomware-Massenverschlüsselung behandelt: Der Prozess wird mit SIGSTOP eingefroren und Air-Gap wird ausgelöst.

• Vollständige Trennung von YARA-Scanning und Entropie-Tracking – Die YARA-Malware-Inspektion wird ausnahmslos auf alle geschriebenen Dateien angewendet (Zero Bypass, Scanning ~/.cache/, node_modules/, /tmp/ und Archive). Unterdessen schließt die Ransomware-Entropie-Burst-Analyse natürlich komprimierte Formate (.zip, .tgz, .tar.gz, .gz, .png, .jpg, .mp4, .wasm) und verifizierte Paketmanager (npm, npx, cargo, rustc, dpkg, apt, tar), der in Build-/Cache-Bäumen arbeitet, um falsch positive SIGSTOP-Einfrierungen zu verhindern.
• Wiederholte Überschreibungen derselben Datei (z. B. die drei Durchläufe von shred) zählen als ein Ereignis.
• ___

Kanarienvögel (Köderdateien)

Decoy-Dateien werden in den Ordnern „Dokumente“, „Desktop“, „Downloads“ und „Bilder“ des Benutzers sowie in einem speziellen Verzeichnis abgelegt und in einem 3-Sekunden-Zyklus mit einer SHA-256-Basislinie verglichen. Jede Umbenennung, Löschung, Kürzung oder Inhaltsänderung löst Air-Gap sofort aus. Da der Daemon als Root ausgeführt wird, zählt er /home/* auf und stellt Canaries in den Verzeichnissen jedes echten Benutzers bereit.

Fanotify-Überwachung · Quarantäne-Tresor · ClamAV

• Der Daemon überwacht /home, /var/tmp, /dev/shm auf Mount-Ebene und / auf Dateisystemebene über FAN_CLASS_CONTENT (Fallback FAN_CLASS_NOTIF).
• Notify-first, keine stille Quarantäne. Ein bloßer YARA-/ClamAV-Treffer wird nie stillschweigend unter Quarantäne gestellt oder FAN_DENY'd. Eine echte Signatur löst eine modale Anfrage in /run/roamswitch/approvals.json (Quarantäne/Zulassen/Später) aus; Nichts gelangt in den Tresor, bis der Benutzer dies bestätigt. Nur ein tatsächlicher execve ist FAN_DENY und nur, wenn pre_exec_blocking_enabled aktiviert ist. Die Genehmigung läuft bei Fail-Open ab.
• Testsignaturen wie EICAR werden nur im Verlauf erfasst – die branchenübliche Testzeichenfolge löst keine Benachrichtigung aus, sondern erzeugt nur einen Eintrag im Benachrichtigungsverlauf, und wird weder im Fanotify-Guard noch im Download-Guard unter Quarantäne gestellt oder blockiert.
• Eine vom Benutzer konfigurierte scan_exclusions-Pfadliste (absolute Pfade, rekursiv angewendet; sie fasst das alte clamav_exclusions zusammen) wird sowohl von den YARA- als auch den ClamAV-Scannern berücksichtigt. „Zulassen“ in der Eingabeaufforderung und „Wiederherstellen“ in der Registerkarte „Quarantäne“ werden beide daran angehängt, sodass dieselbe Datei nicht erneut markiert wird.
• Erkannte und bestätigte echte Malware wird nach ~/.local/share/roamswitch/quarantine/ verschoben. Der Tresor ist 0700; Jedes Beispiel ist 0400 (schreibgeschützt, nicht ausführbar). Bei der Wiederherstellung kehrt die Datei zu 0644 zurück und wird an den Eigentümer des Zielverzeichnisses übertragen.
• Die Berechtigungsereignisschleife führt keine Dateisystem-E/A durch – die Konfiguration wird von einem dedizierten Hintergrundthread in einen Mutex<GuardConfig>-Snapshot gelesen; Hot-Path-Accessoren sperren und kopieren einfach. Dies ist eine Designinvariante: Das Blockieren auf FAN_OPEN_PERM würde die Maschine einfrieren.
• Wenn ClamAV vorhanden ist, werden neu heruntergeladene ausführbare Dateien (.sh, .deb, .elf, …) und gefährliche KI-Modelle (.pkl, .pt) anhand der lokalen Datenbank gescannt. ClamAV ist eine optionale Abhängigkeit; Die anderen Abwehrmechanismen funktionieren auch ohne. Bei der Installation ruft der tägliche Updater (§11) freshclam auf, damit die Signaturdatenbank aktuell bleibt.

Kernel Local Privilege Escalation (LPE) Preemption & Hardening

Wenn ein Angreifer oder eine Schadsoftware unprivilegierten Benutzern Zugang verschafft, verhindert die Tiefenverteidigung, dass Schwachstellen im Linux-Kernel ausgenutzt werden, um Root-Rechte zu erlangen.

• ___ RoamSwitch bewertet und erzwingt user.max_user_namespaces = 0 (oder kernel.unprivileged_userns_clone = 0) über einen One-Click-Hardening- oder Setup-Assistenten. Dies schließt die Angriffsfläche für unprivilegierte Prozesse ab, selbst bei ungepatchten Kernel-Zero-Days.
• Yama LSM-Speicherschutz – Durch die Durchsetzung von kernel.yama.ptrace_scope = 1 (oder 2) wird verhindert, dass nicht autorisierte Prozesse über ptrace eine Verbindung herstellen oder über /proc/$pid/mem den Speicher lesen, wodurch Browsersitzungen und private GPG/SSH-Schlüssel geschützt werden.
• Core Dump Suppression – Die Einstellung fs.suid_dumpable = 0 verhindert, dass abstürzende sensible Prozesse Klartext-Speicherauszüge auf die Festplatte schreiben.
• __

# eBPF-Laufzeit-Bedrohungserkennung & autonomer Abwehrfluss
[Bösartiger Prozess (LPE/Malware)]
    │ Illegale Syscall-Ausführung (Frag-Gap-Ausnutzungsversuch)
    ▼
[Linux-Kernel (eBPF-Sonde)]
    │ eBPF-Ringpuffer (kompaktes 2-MB-Design)
    ▼
[Falco (RoamSwitch Optimized)]
    │ Direkter UNIX-Socket im Arbeitsspeicher (/var/run/roamswitch/events.sock)
    ▼
[roamswitch-daemon (root)]
    ├─► ① Millisekunden-Einfrieren des angreifenden Prozesses: kill(pid, SIGSTOP) [Zustand: Ts]
    ├─► ② Vollständige Netzwerktrennung: nftables input/output drop [Air-Gap aktiviert]
    └─► ③ Desktop-Notfallwarnung: GTK3-Modal & libnotify-Benachrichtigung