Microsoft je predlagal modul za jedro Linuxa za preverjanje celovitosti sistema

Predstavljeni Microsoftovi razvijalci nedavno informacije o uvedbo mehanizma IPE (Izvrševanje politike integritete), izveden kot modul LSM (Linux Security Module) za jedro Linuxa.

Modul bo vam omogoča, da določite splošno politiko integritete za celoten sistem, pri čemer se navede, katere operacije so veljavne in kako je treba preveriti pristnost komponent. Z IPE, lahko določite, katere izvršljive datoteke je mogoče zagnati in se prepričajte, da so te datoteke enake različici, ki jo nudi zaupanja vreden vir. Koda je odprta pod licenco MIT.

Jedro Linux podpira več LSM-jev, vključno s SELinuxom (Linux z izboljšano varnostjo) in AppArmor med najbolj znanimi. Microsoft prispeva k Linuxu kot tehnična podlaga za različne pobude in ta novi projekt ga je poimenoval IPE (Izvajanje politike integritete).

Namenjen je krepitvi integritete kode za jedro Linuxa, da se zagotovi, da je "vsaka koda, ki se izvaja (ali datoteke, ki se berejo), enaka različici, ki jo je ustvaril zaupanja vreden vir," je dejal Microsoft na GitHub.

Cilj IPE je ustvariti popolnoma preverljive sisteme katerih integriteta je preverjena od zagonskega nalagalnika in jedra do končnih izvršljivih datotek, konfiguracije in prenosov.

V primeru spremembe ali zamenjave datoteke, IPE lahko blokira operacijo ali zabeleži dejstvo kršitve integritete. Predlagani mehanizem se lahko uporablja v vdelani programski opremi za vdelane naprave, kjer vso programsko opremo in nastavitve zbira in zagotavlja zlasti lastnik, na primer v Microsoftovih podatkovnih centrih se IPE uporablja v opremi za požarne zidove.

Čeprav je jedro Linux ima že več modulov za preverjanje integriteta kot IMA.

IPE posebej ponuja preverjanje binarne kode med izvajanjem. Microsoft navaja, da se IPE od drugih LSM razlikuje na več načinov, saj zagotavljajo preverjanje integritete.

IPE podpira tudi uspešne revizije. Ko je omogočeno, vsi dogodki
ki sprejmejo politiko IPE in niso blokirani, bodo sprožili revizijski dogodek.

Ta novi modul, ki ga je predlagal Microsoft, ni enako kot drugi sistemi za preverjanje integritete, kot je IMA. Zanimivost IPE je ta se razlikuje v več pogledih in je neodvisen od metapodatkov v datotečnem sistemu, poleg tega pa so vse lastnosti, ki določajo veljavnost operacij, shranjene neposredno v jedru.

IPE na primer ni odvisen od metapodatkov datotečnega sistema in atributov, ki jih IPE preveri. Prav tako IPE ne izvaja nobenega mehanizma za preverjanje datotek s podpisi IMA. To pa zato, ker ima jedro Linuxa zanj že module, kot je dm-verity.

Mislim to za preverjanje celovitosti vsebine datoteke s pomočjo kriptografskih zgoščevalnih znakov, se uporabljajo mehanizmi dm-verity ali fs-verity, ki že obstajajo v jedru.

Po analogiji s SELinuxom sta dovoljena in obvezna dva načina delovanja. V prvem načinu se dnevnik težav naredi le pri izvajanju preverjanj, ki jih je na primer mogoče uporabiti za predhodno preizkušanje okolja.

"Idealno je, da sistem, ki uporablja IPE, ni namenjen splošni uporabi računalnika in ne uporablja nastavitev ali programske opreme, ki jo je ustvarila tretja oseba," je dejal založnik.

Poleg tega LSM, ki ga promovira Microsoft, je zasnovan za posebne primere, kot vgrajeni sistemi, kjer je varnost prednostna naloga in imajo skrbniki sistema popoln nadzor.

Lastniki sistemov lahko ustvarijo lastne pravilnike za preverjanje celovitosti in za preverjanje pristnosti kod uporabljajo vgrajene podpise dm-verity.

Za zaključek novi projekt prinaša nov varnostni modul Linux, ki ga drugi moduli ne morejo storiti za zaščito sistema pred izvajanjem zlonamerne kode.

Končno Če želite izvedeti več o podrobnostih tega novega modula predlagali Microsoftovi razvijalci, lahko preverite podrobnosti V naslednji povezavi. Izvorno kodo tega modula lahko preverite v naslednjo povezavo.