Spoločnosť Microsoft navrhla modul pre jadro Linuxu na overenie integrity systému

Vývojári spoločnosti Microsoft predstavili nedávno informácie o zavedenie mechanizmu IPE (Presadzovanie politiky integrity), implementovaný ako modul LSM (Linux Security Module) pre jadro Linuxu.

Modul bude umožňuje definovať všeobecnú politiku integrity pre celý systém, s uvedením, ktoré operácie sú platné a ako by sa mala overiť pravosť komponentov. S IPE môžete určiť, ktoré spustiteľné súbory je možné spustiť a uistite sa, že tieto súbory sú totožné s verziou poskytnutou dôveryhodným zdrojom. Tento kód je otvorený pod licenciou MIT.

Jadro Linux podporuje viac LSM, medzi najznámejšie patrí SELinux (Linux so zvýšeným zabezpečením) a AppArmor. Spoločnosť Microsoft prispieva do systému Linux ako technický základ pre rôzne iniciatívy a tento nový projekt ho pomenoval ako IPE (Presadzovanie politiky integrity).

Toto je určené na posilnenie integrity kódu pre jadro Linuxu, aby sa zabezpečilo, že „akýkoľvek spustený kód (alebo čítané súbory) sú totožné s verziou vytvorenou dôveryhodným zdrojom,“ uviedol Microsoft na GitHub.

Cieľom IPE je vytvoriť plne overiteľné systémy ktorých integrita je overená od bootloaderu a jadra po finálne spustiteľné súbory, konfiguráciu a sťahovanie.

V prípade zmeny alebo výmeny súboru sa zobrazí IPE môže blokovať operáciu alebo zaznamenať skutočnosť narušenia integrity. Navrhovaný mechanizmus je možné použiť vo firmvéri pre zabudované zariadenia, kde zhromažďuje všetok softvér a nastavenia a poskytuje ich najmä vlastník, napríklad v dátových centrách spoločnosti Microsoft sa IPE používa v zariadeniach pre brány firewall.

Aj keď jadro z Linux už má niekoľko modulov na overenie integrita ako IMA.

IPE konkrétne ponúka runtime overenie binárneho kódu. Microsoft uvádza, že IPE sa líši od ostatných LSM v niekoľkých ohľadoch tým, že poskytujú overenie integrity.

IPE podporuje aj úspešné audity. Ak je táto možnosť povolená, všetky udalosti
ktoré prechádzajú zásadami IPE a nie sú blokované, vydajú udalosť auditu.

Tento nový modul navrhnutý spoločnosťou Microsoft, nie je to to isté ako iné systémy overovania integrity, ako napríklad IMA. Zaujímavosťou IPE je to sa líši vo viacerých ohľadoch a je nezávislá od metadát v súborovom systéme sú okrem toho všetky vlastnosti, ktoré určujú platnosť operácií, uložené priamo v jadre.

Napríklad IPE nezávisí od metaúdajov a atribútov súborového systému, ktoré IPE overuje. IPE taktiež neimplementuje žiadny mechanizmus na overenie podpisových súborov IMA. Je to tak preto, lebo jadro Linuxu už pre to má moduly, napríklad dm-verity.

Myslím to na overenie integrity obsahu súboru pomocou kryptografických hashov, používajú sa mechanizmy dm-verity alebo fs-verity, ktoré už v jadre existujú.

Analogicky so SELinuxom sú dva prevádzkové režimy prípustné a povinné. V prvom režime sa protokol problémov vytvára iba pri vykonávaní kontrol, ktoré je možné napríklad použiť na predbežné testovanie prostredia.

„V ideálnom prípade systém využívajúci IPE nie je určený na bežné použitie v počítači a nepoužíva nastavenie ani softvér vytvorený treťou stranou,“ uviedol vydavateľ.

Okrem toho Program LSM propagovaný spoločnosťou Microsoft je navrhnutý pre konkrétne prípady, ako vstavané systémy, kde je bezpečnosť prioritou a správcovia systému majú úplnú kontrolu.

Vlastníci systému môžu vytvárať vlastné politiky kontroly integrity a na autentifikáciu kódov používať vstavané podpisy dm-verity.

Záverom je, že nový projekt prináša nový modul zabezpečenia systému Linux, ktorý iné moduly nemôžu urobiť, aby chránili systém pred spustením škodlivého kódu.

Konečne Ak sa chcete dozvedieť viac podrobností o tomto novom module navrhnuté vývojármi spoločnosti Microsoft, môžete skontrolovať podrobnosti Na nasledujúcom odkaze. Zdrojový kód tohto modulu si môžete skontrolovať v nasledujúci odkaz.