„Microsoft“ kūrėjai pristatė neseniai informacija apie IPE mechanizmo įvedimas (Vientisumo politikos vykdymas), įdiegtas kaip LSM modulis („Linux“ saugos modulis), skirtą „Linux“ branduoliui.
Modulis bus leidžia apibrėžti bendrą visos sistemos vientisumo politiką, nurodant, kurios operacijos galioja ir kaip turėtų būti tikrinamas komponentų autentiškumas. Su IPE, galite nurodyti, kuriuos vykdomuosius failus galima paleisti ir įsitikinkite, kad šie failai yra identiški patikimo šaltinio pateiktai versijai. Kodas atidarytas pagal MIT licenciją.
Branduolys „Linux“ palaiko kelis LSM, įskaitant „SELinux“ („Linux“ su sustiprintu saugumu) ir „AppArmor“ tarp geriausiai žinomų. „Microsoft“ prisideda prie „Linux“ kaip įvairių iniciatyvų techninis pagrindas ir šis naujas projektas jį pavadino IPE (Vientisumo politikos vykdymas).
Tai skirta sustiprinti „Linux“ branduolio kodo vientisumą, siekiant užtikrinti, kad „visi vykdomi kodai (arba failai, kurie yra skaitomi) yra identiški patikimo šaltinio sukurtai versijai“, - „Microsoft“ pranešė „GitHub“.
IPE siekiama sukurti visiškai patikrinamas sistemas kurių vientisumas tikrinamas nuo įkrovos programos ir branduolio iki galutinių vykdomųjų failų, konfigūracijos ir atsisiuntimų.
Pakeitus ar pakeitus failą, IPE gali užblokuoti operaciją arba užfiksuoti vientisumo pažeidimo faktą. Siūlomas mechanizmas gali būti naudojamas įmontuotųjų įrenginių programinėje įrangoje, kur visą programinę įrangą ir nustatymus renka ir teikia ypač savininkas, pavyzdžiui, „Microsoft“ duomenų centruose IPE naudojama užkardų įrangai.
Nors branduolys „Linux“ jau turi kelis patikrinimo modulius kaip IMA.
IPE specialiai siūlo dvejetainio kodo patikrą vykdymo metu. „Microsoft“ teigia, kad IPE skiriasi nuo kitų LSM keliais būdais, kuriais užtikrinamas vientisumas.
IPE taip pat palaiko sėkmingus auditus. Kai įgalinta, visi įvykiai
kurie perduoda IPE politiką ir nėra užblokuoti, skleidžia audito įvykį.
Šis naujas „Microsoft“ pasiūlytas modulis, tai nėra tas pats, kas kitose vientisumo tikrinimo sistemose, pavyzdžiui, IMA. IPE yra įdomus dalykas skiriasi keliais aspektais ir yra nepriklausoma nuo metaduomenų failų sistemoje, be to, visos ypatybės, lemiančios operacijų galiojimą, saugomos tiesiogiai branduolyje.
Pavyzdžiui, IPE nepriklauso nuo failų sistemos metaduomenų ir atributų, kuriuos IPE patikrina. Be to, IPE neįdiegia jokio IMA parašo failų tikrinimo mechanizmo. Taip yra todėl, kad „Linux“ branduolys jau turi jam skirtus modulius, tokius kaip „dm-verity“.
Aš turiu omenyje tai norint patikrinti failo turinio vientisumą naudojant kriptografinius maišus, naudojami branduolyje jau esantys dm-tikrumo arba fs-tikrumo mechanizmai.
Pagal analogiją su SELinux, du veikimo būdai yra leistini ir privalomi. Pirmuoju režimu problemų žurnalas sudaromas tik atliekant patikrinimus, kurie, pavyzdžiui, gali būti naudojami išankstiniam aplinkos testavimui.
„Idealiu atveju sistema, naudojanti IPE, nėra skirta bendram kompiuterio naudojimui ir nenaudoja trečiųjų šalių programinės įrangos ar nustatymų“, - teigė leidėjas.
Be to, „Microsoft“ reklamuojamas LSM yra skirtas konkretiems atvejams, kaip įterptosios sistemos, kur saugumas yra prioritetas ir sistemos administratoriai yra visiškai kontroliuojami.
Sistemos savininkai gali sukurti savo vientisumo tikrinimo politiką ir naudoti įmontuotus „dm-tikrumo“ parašus kodams patvirtinti.
Apibendrinant galima pasakyti, kad naujasis projektas pateikia naują „Linux“ saugos modulį, kurio kiti moduliai negali padaryti, kad apsaugotų sistemą nuo kenkėjiško kodo vykdymo.
Pagaliau Jei norite sužinoti daugiau apie šio naujo modulio detales pasiūlė „Microsoft“ kūrėjai, galite patikrinti išsamią informaciją Šioje nuorodoje. Galite patikrinti šio modulio šaltinio kodą šią nuorodą.
„Microsoft“ mane gąsdina ...
„Microsoft“ nori patikrinti „Linux“ sistemos vientisumą? DAUG JUOKO . Tai turi būti pokštas
„Linux“ nereikia „mirdosoft“.
Visas jūsų darbas yra labai geras ir aš jo neniekinu, „Linux“ pasaulis niekam neuždaro durų ir viskas yra sveikintina, jei irkluosite ta pačia kryptimi. Peeeeeeeero Man patinka skinti savo „Linux ad nauseam“, daryti eksperimentus, kaupti branduolius, juos apšviesti ir ieškoti optimizavimo. Ir aš jau turėjau šventus kiaušinius uefi, kad dėl to turiu turėti keistas konfigūracijas bios, tarsi norėčiau įdėti daugiau šūdų į sistemą su labai aiškiu fonu.
Jei jie norėtų, kad „Linux“ išleistų realius pinigus, nesitikėdami, kad visada juos sumažins, jie teikė dideles naudotojo programas ir sušlapo projektuose, kurie privertė industriją judėti į priekį, pamatyti oficialų ir atviro kodo „Directx“ arba skirti išteklių projektams kaip „flotilė“, o ne koketavimas, kur visada yra smulkus šriftas, kad būtų galima nukopijuoti „Linux“ funkcijas ir pigiai pajudėti. Kad netikiu mylėti tą klaidą „Linux“, man jau atsibodo tiek melo.