Nach IPTables und NFTables soll nun ein drittes Paketfilternetzwerk namens BPFilter in den Linux-Kernel einziehen.
BPFilter könnte seine Vorgänger später sogar möglicherweise ersetzen, noch steht es aber ganz am Anfang seiner Entwicklung. Ein Posting auf der Kernel-Mailingliste stellt es als frühen Proof-of-Concept vor. Seine Grundidee sei es, IPTables-Queries im Userspace ins eigene BPF-Filter zu übersetzen, die dann an verschiedenen Stellen eingebaut werden könnten. Hilfsprogramme für die teils sehr komplexe Übersetzung der Regeln sollen sich wie klassische Kernelmodule als .ko-Files installieren und aufrufen lassen. Dadurch, dass sie aber im Userspace laufen, verringern sie die Angriffsfläche für Hacker, weil bei einem Fehler nur das Hilfsprogramm abstürzen würde, nicht aber der Kernel. Außerdem lassen sich die Hilfsprogramme so einfacher tresten und debuggen.
