Microsoft izstrādātāji atklāja nesen informācija par IPE mehānisma ieviešana (Integritātes politikas izpilde), ieviests kā LSM modulis (Linux drošības modulis) Linux kodolam.
Modulis būs ļauj definēt vispārēju integritātes politiku visai sistēmai, norādot, kuras darbības ir derīgas un kā jāpārbauda komponentu autentiskums. Izmantojot IPE, jūs varat norādīt, kurus izpildāmos failus var palaist un pārliecinieties, ka šie faili ir identiski versijai, kuru nodrošina uzticams avots. Kods ir atvērts ar MIT licenci.
Kodols Linux atbalsta vairākus LSM, tostarp SELinux (Linux ar uzlabotu drošību) un AppArmor starp pazīstamākajiem. Microsoft sniedz ieguldījumu Linux kā dažādu iniciatīvu tehniskais pamats un šis jaunais projekts to nosauca par IPE (Integritātes politikas izpilde).
Tas ir paredzēts, lai stiprinātu kodola integritāti Linux kodolam, lai nodrošinātu, ka "jebkurš palaistais kods (vai lasāmie faili) ir identiski uzticama avota izveidotajai versijai", sacīja Microsoft vietnē GitHub.
IPE mērķis ir izveidot pilnībā pārbaudāmas sistēmas kuru integritāte tiek pārbaudīta no sāknēšanas un kodola līdz izpildāmajiem failiem, konfigurācijai un lejupielādēm.
Faila maiņas vai aizstāšanas gadījumā IPE var bloķēt darbību vai reģistrēt integritātes pārkāpuma faktu. Piedāvāto mehānismu var izmantot iegulto ierīču programmaparatūrā, kur visu programmatūru un iestatījumus savāc un nodrošina īpaši īpašnieks, piemēram, Microsoft datu centros IPE izmanto ugunsmūra iekārtās.
Kaut arī kodols Linux verifikācijai jau ir vairāki moduļi integritāte kā IMA.
IPE īpaši piedāvā binārā koda izpildlaika pārbaudi. Korporācija Microsoft norāda, ka IPE atšķiras no citiem LSM vairākos veidos, kā tie nodrošina integritātes pārbaudi.
IPE atbalsta arī veiksmīgas revīzijas. Ja tas ir iespējots, visi notikumi
kas iztur IPE politiku un nav bloķēti, radīs audita notikumu.
Šis jaunais Microsoft piedāvātais modulis tas nav tas pats, kas citas integritātes pārbaudes sistēmas, piemēram, IMA. Interesanta IPE lieta ir tā atšķiras vairākos aspektos un nav atkarīgs no metadatiem failu sistēmā, turklāt visas īpašības, kas nosaka darbību derīgumu, tiek glabātas tieši kodolā.
Piemēram, IPE nav atkarīgs no failu sistēmas metadatiem un atribūtiem, kurus IPE pārbauda. Arī IPE neievieš nekādu mehānismu IMA parakstu failu pārbaudei. Tas ir tāpēc, ka Linux kodolā tam jau ir moduļi, piemēram, dm-verity.
Es ar to domāju lai pārbaudītu faila satura integritāti, izmantojot kriptogrāfijas jaucējus, tiek izmantoti dm-verity vai fs-verity mehānismi, kas jau pastāv kodolā.
Pēc analoģijas ar SELinux divi darbības režīmi ir visatļautīgi un obligāti. Pirmajā režīmā problēmu žurnāls tiek veidots tikai, veicot pārbaudes, kuras, piemēram, var izmantot vides sākotnējiem testiem.
"Ideālā gadījumā sistēma, kas izmanto IPE, nav paredzēta vispārējai datora lietošanai un neizmanto trešo personu programmatūru vai iestatījumus," sacīja izdevējs.
Turklāt, Microsoft reklamētā LSM ir paredzēta īpašiem gadījumiem, kā iegultās sistēmas, kur drošība ir prioritāte un sistēmu administratori ir pilnībā kontrolēti.
Sistēmas īpašnieki var izveidot savas integritātes pārbaudes politikas un kodu iebūvēšanai izmantot iebūvētos dm-verity parakstus.
Noslēgumā jāsaka, ka jaunajā projektā tiek parādīts jauns Linux drošības modulis, ko citi moduļi nevar darīt, lai pasargātu sistēmu no ļaunprātīga koda izpildes.
Beidzot Ja vēlaties uzzināt vairāk par šī jaunā moduļa detaļām piedāvā Microsoft izstrādātāji, varat pārbaudīt informāciju Šajā saitē. Jūs varat pārbaudīt šī moduļa pirmkodu šo saiti.
Microsoft mani biedē ...
Microsoft vēlas pārbaudīt Linux sistēmas integritāti? LOL. Tam jābūt jokam
Linux nav nepieciešams mirdosoft.
Viss jūsu darbs ir ļoti labs, un es to nenoniecinu, Linux pasaule nevienam savas durvis neaizver, un viss ir apsveicami, ja airējat vienā virzienā. Peeeeeeeero Man patīk lāpīt ar savu Linux ad nauseam, veikt eksperimentus, apkopot savus kodolus, atvieglot tos un meklēt optimizācijas. Un man jau bija svētās olas uefi, ka tāpēc man ir jābūt dīvainām konfigurācijām bios, it kā laižot sistēmā vairāk sūdu ar ļoti skaidru fonu.
Ja viņi vēlētos Linux, viņi tērēs reālu naudu, negaidot, ka vienmēr samazināsies, viņi nodrošinās lielas lietotāju programmas, un viņi kļūs slapji projektos, lai piespiestu nozari virzīties uz priekšu, redzēt oficiālu un atvērta pirmkoda tiešo direktīvu vai piešķirt resursus projektiem piemēram, ceļazīme, nevis flirts, kur vienmēr ir smalks drukātais teksts, lai kopētu Linux funkcijas un lēti salabotu. Ka es neticu šai maldībai par Linux mīlēšanu, man ir apnicis tik daudz melu.