مایکروسافت ماژولی را برای هسته لینوکس پیشنهاد داد تا یکپارچگی سیستم را تأیید کند

توسعه دهندگان مایکروسافت رونمایی کردند اخیراً اطلاعاتی در مورد معرفی سازوکار IPE (اجرای سیاست یکپارچگی) ، به عنوان یک ماژول LSM پیاده سازی شده است (ماژول امنیتی Linux) برای هسته لینوکس.

ماژول به شما این امکان را می دهد که یک سیاست صداقت کلی برای کل سیستم تعریف کنید، نشان می دهد که کدام عملیات معتبر است و چگونه صحت اجزا باید تأیید شود. با IPE ، می توانید مشخص کنید کدام پرونده های اجرایی قابل اجرا هستند و مطمئن شوید که این فایلها با نسخه ارائه شده توسط یک منبع معتبر یکسان هستند. کد تحت مجوز MIT باز است.

هسته لینوکس از چندین LSM پشتیبانی می کند ، از جمله SELinux (لینوکس با امنیت پیشرفته) و AppArmor از جمله شناخته شده ترین ها. مایکروسافت در لینوکس مشارکت دارد به عنوان پایه فنی برای ابتکارات مختلف و این پروژه جدید آن را IPE نامگذاری کرده است (اجرای سیاست یکپارچگی).

مایکروسافت در GitHub گفت: این برای تقویت یکپارچگی کد برای هسته لینوکس طراحی شده است تا اطمینان حاصل کند که "هر کدی که در حال اجرا است (یا پرونده هایی که در حال خواندن هستند) با نسخه ایجاد شده توسط یک منبع معتبر یکسان هستند".

هدف IPE ایجاد سیستم های کاملاً قابل تأیید است یکپارچگی آنها از بوت لودر و هسته تا فایلهای اجرایی نهایی ، پیکربندی و بارها تأیید می شود.

در صورت تغییر یا جایگزینی پرونده ، IPE می تواند عملیات را مسدود کرده یا واقعیت نقض یکپارچگی را ثبت کند. مکانیسم پیشنهادی را می توان در سیستم عامل دستگاههای جاسازی شده ای که کلیه نرم افزارها و تنظیمات آنها جمع آوری شده و به ویژه توسط مالک ارائه می شود ، استفاده کرد ، به عنوان مثال ، در مراکز داده مایکروسافت ، IPE در تجهیزات دیوارهای آتش استفاده می شود.

اگرچه هسته لینوکس در حال حاضر چندین ماژول برای تأیید دارد صداقت به عنوان IMA.

IPE به طور خاص تأیید زمان اجرای کد باینری را ارائه می دهد. مایکروسافت اظهار داشت که IPE از سایر جهات با LSM های مختلف تفاوت دارد که تأیید صحت را ارائه می دهد.

IPE همچنین از ممیزی های موفق پشتیبانی می کند. وقتی فعال شود ، همه رویدادها
سیاست IPE را تصویب می کنند و مسدود نمی شوند ، یک رویداد ممیزی منتشر می کنند.

این ماژول جدید پیشنهاد شده توسط مایکروسافت ، این مانند سایر سیستم های تأیید صحت نیست ، مانند IMA. نکته جالب در مورد IPE این است که از چند جنبه متفاوت است و مستقل از فراداده است علاوه بر این ، کلیه خصوصیاتی که اعتبار عملیات را تعیین می کنند مستقیماً در هسته ذخیره می شوند.

به عنوان مثال ، IPE به فراداده سیستم فایل و ویژگی هایی که IPE تأیید می کند بستگی ندارد. همچنین ، IPE هیچ مکانیزمی را برای تأیید پرونده های امضای IMA اجرا نمی کند. به این دلیل که هسته لینوکس از قبل ماژول هایی مانند dm-verity برای خود در نظر گرفته است.

منظورم اینه برای بررسی صحت محتوای فایل با استفاده از هش های رمزنگاری، سازوکارهای dm-verity یا fs-verity که قبلاً در هسته وجود داشته اند مورد استفاده قرار می گیرند.

با تشبیه با SELinux ، دو حالت عملکرد مجاز و اجباری است. در حالت اول ، فقط هنگام انجام بررسی ها ، یک مشکل ورود به سیستم ایجاد می شود ، که به عنوان مثال می تواند برای آزمایش اولیه محیط استفاده شود.

ناشر گفت: "در حالت ایده آل ، سیستمی با استفاده از IPE برای استفاده عمومی از رایانه در نظر گرفته نشده و از نرم افزار یا تنظیمات شخص ثالث استفاده نمی کند."

علاوه بر این ، LSM تبلیغ شده توسط مایکروسافت برای موارد خاص طراحی شده است، به عنوان سیستم های جاسازی شده ، جایی که امنیت در اولویت است و مدیران سیستم کاملاً کنترل می کنند.

دارندگان سیستم می توانند سیاست های خاص خود را برای بررسی یکپارچگی ایجاد کرده و برای تأیید اعتبار کدها از امضاهای dm-verity داخلی استفاده کنند.

برای نتیجه گیری ، پروژه جدید یک ماژول امنیتی جدید Linux به ارمغان می آورد که سایر ماژول ها نمی توانند برای محافظت از سیستم در برابر اجرای کد مخرب ، از آن استفاده کنند.

سرانجام اگر می خواهید در مورد جزئیات این ماژول جدید بیشتر بدانید پیشنهاد شده توسط توسعه دهندگان مایکروسافت ، می توانید جزئیات را بررسی کنید در لینک زیر. می توانید کد منبع این ماژول را در بررسی کنید لینک زیر