Microsoft는 시스템의 무결성을 확인하기 위해 Linux 커널 용 모듈을 제안했습니다.

Microsoft 개발자 공개 최근 정보 IPE 메커니즘의 도입 (청렴 정책 시행), LSM 모듈로 구현 (Linux 보안 모듈) Linux 커널 용.

모듈은 전체 시스템에 대한 일반 무결성 정책을 정의 할 수 있습니다., 유효한 작업과 구성 요소의 진위 여부를 확인하는 방법을 나타냅니다. IPE를 사용하면 실행할 수있는 실행 파일을 지정할 수 있습니다. 이러한 파일이 신뢰할 수있는 소스에서 제공 한 버전과 동일한 지 확인하십시오. 코드는 MIT 라이센스에 따라 열려 있습니다.

핵심 Linux는 여러 LSM을 지원합니다. SELinux (보안이 강화 된 Linux) 및 AppArmor가 가장 잘 알려져 있습니다. Microsoft는 Linux에 기여 다양한 이니셔티브의 기술 기반으로 이 새로운 프로젝트는 IPE로 명명했습니다. (무결성 정책 시행).

이것은 리눅스 커널에 대한 코드의 무결성을 강화하여 "실행중인 코드 (또는 읽고있는 파일)가 신뢰할 수있는 소스에서 생성 된 버전과 동일"하도록 보장하기 위해 고안된 것이라고 Microsoft는 GitHub에서 밝혔다.

IPE는 완전히 검증 가능한 시스템을 만드는 것을 목표로합니다. 부트 로더 및 커널에서 최종 실행 파일, 구성 및 다운로드에 이르기까지 무결성이 확인됩니다.

파일 변경 또는 교체시 IPE는 작업을 차단하거나 무결성 위반 사실을 기록 할 수 있습니다. 제안 된 메커니즘은 모든 소프트웨어와 설정이 수집되고 특히 소유자가 제공하는 임베디드 장치 용 펌웨어에서 사용할 수 있습니다 (예 : Microsoft 데이터 센터에서 IPE는 방화벽 용 장비에 사용됨).

비록 커널 Linux에는 이미 검증을위한 여러 모듈이 있습니다. IMA로서의 무결성.

IPE는 특히 바이너리 코드의 런타임 검증을 제공합니다. Microsoft는 IPE가 무결성 확인을 제공하는 여러 가지면에서 다른 LSM과 다르다고 말합니다.

IPE는 또한 성공적인 감사를 지원합니다. 활성화되면 모든 이벤트
IPE 정책을 통과하고 차단되지 않은 경우 감사 이벤트를 생성합니다.

Microsoft에서 제안한이 새로운 모듈은 다른 무결성 검증 시스템과 동일하지 않습니다. IMA와 같은. IPE의 흥미로운 점은 여러 측면에서 다르며 메타 데이터와 무관합니다. 파일 시스템에서 작업의 유효성을 결정하는 모든 속성은 커널에 직접 저장됩니다.

예를 들어, IPE는 IPE가 확인하는 파일 시스템 메타 데이터 및 속성에 의존하지 않습니다. 또한 IPE는 IMA 서명 파일을 확인하는 메커니즘을 구현하지 않습니다. 이는 Linux 커널에 이미 dm-verity와 같은 모듈이 있기 때문입니다.

내 말은 암호화 해시를 사용하여 파일 콘텐츠의 무결성을 확인하려면, 커널에 이미 존재하는 dm-verity 또는 fs-verity 메커니즘이 사용됩니다.

SELinux와 유사하게 두 가지 작동 모드가 허용 및 필수입니다. 첫 번째 모드에서는 점검을 수행 할 때만 문제 로그가 작성됩니다. 예를 들어 환경의 예비 테스트에 사용할 수 있습니다.

"이상적으로, IPE를 사용하는 시스템은 일반적인 컴퓨터 사용을위한 것이 아니며 제 XNUMX자가 만든 설정이나 소프트웨어를 사용하지 않습니다."라고 게시자는 말했습니다.

또한, Microsoft에서 홍보하는 LSM은 특정 사례를 위해 설계되었습니다., 보안이 최우선이고 시스템 관리자가 모든 권한을 갖는 임베디드 시스템으로서.

시스템 소유자는 무결성 검사를위한 자체 정책을 생성하고 내장 된 dm-verity 서명을 사용하여 코드를 인증 할 수 있습니다.

결론적으로, 새로운 프로젝트는 악성 코드의 실행으로부터 시스템을 보호하기 위해 다른 모듈이 할 수없는 새로운 Linux 보안 모듈을 제공합니다.

최종적으로 이 새로운 모듈의 세부 사항에 대해 더 알고 싶다면 Microsoft 개발자가 제안한 내용을 확인할 수 있습니다. 다음 링크에서. 이 모듈의 소스 코드는 다음에서 확인할 수 있습니다. 다음 링크.