Společnost Microsoft navrhla modul pro linuxové jádro k ověření integrity systému

Vývojáři společnosti Microsoft představili nedávno informace o zavedení mechanismu IPE (Prosazování zásad integrity), implementováno jako modul LSM (Linux Security Module) pro linuxové jádro.

Modul bude umožňuje definovat obecné zásady integrity pro celý systém, označující, které operace jsou platné a jak by měla být ověřena autenticita komponent. S IPE můžete určit, které spustitelné soubory lze spustit a ujistěte se, že tyto soubory jsou identické s verzí poskytovanou důvěryhodným zdrojem. Tento kód je otevřen pod licencí MIT.

Jádro Linux podporuje více LSM, mezi nejznámější patří SELinux (Linux se zvýšeným zabezpečením) a AppArmor. Microsoft přispívá na Linuxu jako technický základ pro různé iniciativy a tento nový projekt jej pojmenoval IPE (Prosazování zásad integrity).

Toto je navrženo k posílení integrity kódu pro linuxové jádro, aby bylo zajištěno, že „jakýkoli spuštěný kód (nebo soubory, které jsou čteny) jsou identické s verzí vytvořenou důvěryhodným zdrojem,“ uvedl Microsoft na GitHubu.

IPE si klade za cíl vytvořit plně ověřitelné systémy jehož integrita je ověřena od bootloaderu a jádra až po finální spustitelné soubory, konfiguraci a stahování.

V případě změny nebo výměny souboru IPE může blokovat operaci nebo zaznamenat narušení integrity. Navrhovaný mechanismus lze použít ve firmwaru pro vestavěná zařízení, kde veškerý software a nastavení shromažďuje a poskytuje zejména vlastník, například v datových centrech společnosti Microsoft se IPE používá v zařízeních pro brány firewall.

Ačkoli jádro Linux již má několik modulů pro ověření integrita jako IMA.

IPE konkrétně nabízí běhové ověření binárního kódu. Microsoft uvádí, že IPE se liší od ostatních LSM několika způsoby, které poskytují ověření integrity.

IPE také podporuje úspěšné audity. Pokud je povoleno, všechny události
které splňují zásady IPE a nejsou blokovány, vygenerují událost auditu.

Tento nový modul navržený společností Microsoft, není to stejné jako u jiných systémů ověřování integrity, jako je IMA. Zajímavé na IPE je to se liší v několika ohledech a je nezávislá na metadatech v souborovém systému jsou navíc všechny vlastnosti, které určují platnost operací, uloženy přímo v jádře.

Například IPE nezávisí na metadatech a atributech systému souborů, které IPE ověřuje. IPE také neimplementuje žádný mechanismus k ověření podpisových souborů IMA. Důvodem je, že jádro Linuxu již má moduly, jako je dm-verity.

Myslím to k ověření integrity obsahu souboru pomocí kryptografických hashů, jsou použity mechanismy dm-verity nebo fs-verity, které již v jádře existují.

Analogicky se SELinuxem jsou dva provozní režimy tolerantní a povinné. V prvním režimu se protokol problémů provádí pouze při provádění kontrol, které lze například použít pro předběžné testování prostředí.

„V ideálním případě není systém využívající IPE určen pro běžné použití v počítači a nepoužívá software ani nastavení třetích stran,“ uvedl vydavatel.

Kromě toho, LSM propagovaný společností Microsoft je určen pro konkrétní případy, jako vestavěné systémy, kde je prioritou zabezpečení a správci systému mají plnou kontrolu.

Vlastníci systému mohou vytvářet své vlastní zásady pro kontroly integrity a používat k ověření kódů vestavěné podpisy dm-verity.

Závěrem lze říci, že nový projekt přináší nový modul zabezpečení Linux, který ostatní moduly nemohou provést, aby chránily systém před spuštěním škodlivého kódu.

Konečně Pokud se chcete dozvědět více o podrobnostech tohoto nového modulu navržené vývojáři společnosti Microsoft, můžete zkontrolovat podrobnosti Na následujícím odkazu. Zdrojový kód tohoto modulu můžete zkontrolovat v následující odkaz.