Microsoft-Entwickler vorgestellt vor kurzem Informationen über die Einführung des IPE-Mechanismus (Durchsetzung der Integritätspolitik), als LSM-Modul implementiert (Linux Security Module) für den Linux-Kernel.
Das Modul wird Mit dieser Option können Sie eine allgemeine Integritätsrichtlinie für das gesamte System definierenGeben Sie an, welche Vorgänge gültig sind und wie die Authentizität der Komponenten überprüft werden soll. Mit IPE Sie können angeben, welche ausführbaren Dateien ausgeführt werden können und stellen Sie sicher, dass diese Dateien mit der von einer vertrauenswürdigen Quelle bereitgestellten Version identisch sind. Der Code ist unter der MIT-Lizenz geöffnet.
Kernel Linux unterstützt mehrere LSMs. Dazu gehören SELinux (Linux mit erweiterter Sicherheit) und AppArmor. Microsoft trägt unter Linux bei als technische Grundlage für verschiedene Initiativen und dieses neue Projekt hat es als IPE bezeichnet (Durchsetzung der Integritätspolitik).
Dies soll die Code-Integrität für den Linux-Kernel stärken und sicherstellen, dass "der gerade ausgeführte Code (oder die gelesenen Dateien) mit der von einer vertrauenswürdigen Quelle erstellten Version identisch sind", sagte Microsoft auf GitHub.
IPE zielt darauf ab, vollständig überprüfbare Systeme zu schaffen deren Integrität vom Bootloader und Kernel bis hin zu endgültigen ausführbaren Dateien, Konfigurationen und Downloads überprüft wird.
Im Falle einer Dateiänderung oder -ersetzung wird die IPE kann den Vorgang blockieren oder die Tatsache einer Integritätsverletzung aufzeichnen. Der vorgeschlagene Mechanismus kann in der Firmware für eingebettete Geräte verwendet werden, bei denen die gesamte Software und Einstellungen erfasst und insbesondere vom Eigentümer bereitgestellt werden. Beispielsweise wird IPE in Microsoft-Rechenzentren in Geräten für Firewalls verwendet.
Obwohl der Kernel von Linux verfügt bereits über mehrere Module zur Überprüfung Integrität als IMA.
IPE bietet speziell die Laufzeitüberprüfung von Binärcode an. Microsoft gibt an, dass sich IPE in mehreren Punkten von anderen LSMs unterscheidet, da sie eine Integritätsprüfung ermöglichen.
IPE unterstützt auch erfolgreiche Audits. Wenn aktiviert, alle Ereignisse
Wenn Sie die IPE-Richtlinie bestehen und nicht blockiert sind, wird ein Überwachungsereignis ausgegeben.
Dieses neue Modul von Microsoft vorgeschlagen, Es ist nicht dasselbe wie bei anderen Integritätsprüfungssystemen. wie IMA. Das Interessante an IPE ist das unterscheidet sich in mehrfacher Hinsicht und ist unabhängig von Metadaten Außerdem werden im Dateisystem alle Eigenschaften, die die Gültigkeit der Operationen bestimmen, direkt im Kernel gespeichert.
Beispielsweise hängt IPE nicht von den von IPE überprüften Metadaten und Attributen des Dateisystems ab. Außerdem implementiert IPE keinen Mechanismus zum Überprüfen von IMA-Signaturdateien. Dies liegt daran, dass der Linux-Kernel bereits Module wie dm-verity enthält.
Das heißt, dass um die Integrität des Dateiinhalts mithilfe von kryptografischen Hashes zu überprüfenwerden die im Kernel bereits vorhandenen dm-verity- oder fs-verity-Mechanismen verwendet.
In Analogie zu SELinux sind zwei Betriebsarten zulässig und obligatorisch. Im ersten Modus wird ein Problemprotokoll nur erstellt, wenn Überprüfungen durchgeführt werden, die beispielsweise für vorläufige Tests der Umgebung verwendet werden können.
"Idealerweise ist ein System mit IPE nicht für den allgemeinen Computergebrauch vorgesehen und verwendet keine Software oder Einstellungen von Drittanbietern", sagte der Herausgeber.
Ferner die Von Microsoft beworbenes LSM wurde für bestimmte Fälle entwickeltals eingebettete Systeme, bei denen Sicherheit Vorrang hat und Systemadministratoren die volle Kontrolle haben.
Systembesitzer können ihre eigenen Richtlinien für Integritätsprüfungen erstellen und integrierte dm-verity-Signaturen zur Authentifizierung von Codes verwenden.
Zusammenfassend bringt das neue Projekt ein neues Linux-Sicherheitsmodul mit sich, das andere Module nicht tun können, um das System vor der Ausführung von Schadcode zu schützen.
Schließlich Wenn Sie mehr über die Details dieses neuen Moduls erfahren möchten Von Microsoft-Entwicklern vorgeschlagen, können Sie die Details überprüfen im folgenden Link. Sie können den Quellcode dieses Moduls in überprüfen den folgenden Link.
Microsoft macht mir Angst ...
Microsoft möchte die Integrität des Linux-Systems überprüfen? LOL. Es muss ein Witz sein
Linux braucht kein mirdosoft.
Alle Ihre Arbeit ist sehr gut und ich verachte es nicht, die Linux-Welt schließt ihre Türen für niemanden und alles ist willkommen, wenn Sie in die gleiche Richtung rudern. Peeeeeeeero Ich mag es, mit meinem Linux-Ad-Nauseam herumzuspielen, Experimente durchzuführen, meine Kernel zu kompilieren, sie zu vereinfachen und nach Optimierungen zu suchen. Und ich hatte schon die heiligen Eier, die uefi, dass ich aus diesem Grund seltsame Konfigurationen im BIOS haben muss, als ob ich mehr Scheiße in das System mit einem sehr klaren Hintergrund stecken möchte.
Wenn sie Linux wollten, würden sie echtes Geld ausgeben, ohne zu erwarten, dass immer eine Kürzung vorgenommen wird, sie würden große Benutzerprogramme bereitstellen und sie würden in Projekten nass werden, um die Branche zu zwingen, voranzukommen, einen offiziellen und Open-Source-DirectX zu sehen oder Ressourcen für Projekte zuzuweisen wie Wayland und keine Flirts, bei denen es immer Kleingedrucktes gibt, um Linux-Funktionen zu kopieren und billig zu schnorren. Dass ich diesen Irrtum, Linux zu lieben, nicht glaube, ich habe so viele Lügen satt.