Microsoft เสนอโมดูลสำหรับเคอร์เนล Linux เพื่อตรวจสอบความสมบูรณ์ของระบบ

นักพัฒนา Microsoft เปิดตัว ข้อมูลล่าสุดเกี่ยวกับ การแนะนำกลไก IPE (การบังคับใช้นโยบายความซื่อสัตย์), ใช้เป็นโมดูล LSM (Linux Security Module) สำหรับเคอร์เนล Linux

โมดูลจะ ช่วยให้คุณกำหนดนโยบายความสมบูรณ์ทั่วไปสำหรับทั้งระบบระบุว่าการดำเนินการใดถูกต้องและควรตรวจสอบความถูกต้องของส่วนประกอบอย่างไร ด้วย IPE คุณสามารถระบุไฟล์ปฏิบัติการที่สามารถรันได้ และตรวจสอบให้แน่ใจว่าไฟล์เหล่านี้เหมือนกันกับเวอร์ชันที่มาจากแหล่งที่เชื่อถือได้ รหัสเปิดอยู่ภายใต้ใบอนุญาต MIT

เคอร์เนล Linux รองรับ LSM หลายตัว รวมถึง SELinux (Linux พร้อมความปลอดภัยขั้นสูง) และ AppArmor ซึ่งเป็นที่รู้จักกันดี Microsoft สนับสนุนบน Linux เป็นพื้นฐานทางเทคนิคสำหรับการริเริ่มต่างๆ และโครงการใหม่นี้ได้ตั้งชื่อเป็น IPE (การบังคับใช้นโยบายความซื่อสัตย์).

สิ่งนี้ได้รับการออกแบบมาเพื่อเสริมสร้างความสมบูรณ์ของโค้ดสำหรับเคอร์เนล Linux เพื่อให้แน่ใจว่า "โค้ดใด ๆ ที่ทำงานอยู่ (หรือไฟล์ที่กำลังอ่าน) จะเหมือนกับเวอร์ชันที่สร้างโดยแหล่งที่เชื่อถือได้" Microsoft กล่าวใน GitHub

IPE มีจุดมุ่งหมายเพื่อสร้างระบบที่ตรวจสอบได้อย่างสมบูรณ์ ซึ่งมีการตรวจสอบความสมบูรณ์ตั้งแต่ bootloader และเคอร์เนลไปจนถึงไฟล์ปฏิบัติการการกำหนดค่าและการดาวน์โหลดขั้นสุดท้าย

ในกรณีที่มีการเปลี่ยนแปลงหรือเปลี่ยนไฟล์ไฟล์ IPE สามารถปิดกั้นการดำเนินการหรือบันทึกข้อเท็จจริงของการละเมิดความสมบูรณ์ กลไกที่นำเสนอสามารถใช้ในเฟิร์มแวร์สำหรับอุปกรณ์ฝังตัวซึ่งซอฟต์แวร์และการตั้งค่าทั้งหมดถูกรวบรวมและจัดเตรียมโดยเจ้าของโดยเฉพาะเช่นในศูนย์ข้อมูลของ Microsoft IPE จะใช้ในอุปกรณ์สำหรับไฟร์วอลล์

แม้ว่าเคอร์เนลของ Linux มีโมดูลสำหรับการตรวจสอบอยู่แล้ว ความสมบูรณ์เหมือน IMA

IPE นำเสนอการตรวจสอบรันไทม์ของรหัสไบนารีโดยเฉพาะ Microsoft ระบุว่า IPE แตกต่างจาก LSM อื่น ๆ ในหลาย ๆ ด้านที่มีการตรวจสอบความสมบูรณ์

IPE ยังรองรับการตรวจสอบที่ประสบความสำเร็จ เมื่อเปิดใช้งานเหตุการณ์ทั้งหมด
ที่ผ่านนโยบาย IPE และไม่ถูกบล็อกจะปล่อยเหตุการณ์การตรวจสอบ

โมดูลใหม่นี้เสนอโดย Microsoft ไม่เหมือนกับระบบตรวจสอบความสมบูรณ์อื่น ๆ เช่น IMA สิ่งที่น่าสนใจเกี่ยวกับ IPE ก็คือ แตกต่างกันในหลายประการและไม่ขึ้นอยู่กับข้อมูลเมตา ในระบบไฟล์นอกจากนั้นคุณสมบัติทั้งหมดที่กำหนดความถูกต้องของการดำเนินการจะถูกเก็บไว้ในเคอร์เนลโดยตรง

ตัวอย่างเช่น IPE ไม่ขึ้นอยู่กับข้อมูลเมตาของระบบไฟล์และแอตทริบิวต์ที่ IPE ตรวจสอบ นอกจากนี้ IPE ไม่ได้ใช้กลไกใด ๆ ในการตรวจสอบไฟล์ลายเซ็น IMA เนื่องจากเคอร์เนล Linux มีโมดูลสำหรับมันอยู่แล้วเช่น dm-verity

นั่นคือ เพื่อตรวจสอบความสมบูรณ์ของเนื้อหาไฟล์โดยใช้แฮชการเข้ารหัสใช้กลไก dm-verity หรือ fs-verity ที่มีอยู่แล้วในเคอร์เนล

โดยการเปรียบเทียบกับ SELinux โหมดการทำงานสองโหมดได้รับอนุญาตและบังคับ ในโหมดแรกบันทึกปัญหาจะทำเฉพาะเมื่อทำการตรวจสอบเท่านั้นซึ่งตัวอย่างเช่นสามารถใช้สำหรับการทดสอบสภาพแวดล้อมเบื้องต้น

"ตามหลักการแล้วระบบที่ใช้ IPE ไม่ได้มีไว้สำหรับการใช้งานคอมพิวเตอร์ทั่วไปและไม่ใช้ซอฟต์แวร์หรือการตั้งค่าของบุคคลที่สาม" ผู้เผยแพร่กล่าว

นอกจากนี้แล้ว LSM ส่งเสริมโดย Microsoft ได้รับการออกแบบมาสำหรับกรณีเฉพาะในฐานะระบบฝังตัวที่ความปลอดภัยเป็นสิ่งสำคัญและผู้ดูแลระบบสามารถควบคุมได้อย่างเต็มที่

เจ้าของระบบสามารถสร้างนโยบายของตนเองสำหรับการตรวจสอบความสมบูรณ์และใช้ลายเซ็น dm-verity ในตัวเพื่อพิสูจน์ตัวตนรหัส

สรุปได้ว่าโครงการใหม่นี้นำเสนอโมดูลความปลอดภัย Linux ใหม่ที่โมดูลอื่นไม่สามารถทำได้เพื่อปกป้องระบบจากการเรียกใช้โค้ดที่เป็นอันตราย

ในที่สุด หากคุณต้องการทราบข้อมูลเพิ่มเติมเกี่ยวกับรายละเอียดของโมดูลใหม่นี้ เสนอโดยนักพัฒนาของ Microsoft คุณสามารถตรวจสอบรายละเอียดได้ ในลิงค์ต่อไปนี้. คุณสามารถตรวจสอบซอร์สโค้ดของโมดูลนี้ได้ใน ลิงค์ต่อไปนี้