Microsoft запропонувала модуль для ядра Linux для перевірки цілісності системи

Представлені розробники Microsoft нещодавно інформація про впровадження механізму IPE (Застосування політики доброчесності), реалізований як модуль LSM (Модуль безпеки Linux) для ядра Linux.

Модуль буде дозволяє визначити загальну політику цілісності для всієї системи, вказуючи, які операції є дійсними та як слід перевіряти справжність компонентів. З IPE, Ви можете вказати, які виконувані файли можна запускати і переконайтесь, що ці файли ідентичні версії, наданій надійним джерелом. Код відкритий за ліцензією MIT.

Ядро Linux підтримує кілька LSM, включаючи SELinux (Linux із підвищеною безпекою) та AppArmor серед найвідоміших. Microsoft робить внесок у Linux як технічна основа для різних ініціатив і цей новий проект назвав його IPE (Застосування політики доброчесності).

Це розроблено для посилення цілісності коду для ядра Linux, щоб гарантувати, що "будь-який запущений код (або файли, що читаються) ідентичні версії, створеній надійним джерелом", - заявила Microsoft на GitHub.

IPE прагне створити повністю перевіряються системи цілісність яких перевіряється від завантажувача та ядра до остаточних виконуваних файлів, конфігурації та завантажень.

У разі зміни або заміни файлу файл IPE може заблокувати операцію або зафіксувати факт порушення цілісності. Запропонований механізм може бути використаний у прошивці для вбудованих пристроїв, де все програмне забезпечення та налаштування збираються та надаються особливо власником, наприклад, у центрах обробки даних Microsoft, IPE використовується в обладнанні для брандмауерів.

Хоча ядро Linux вже має кілька модулів для перевірки цілісність як IMA.

IPE спеціально пропонує перевірку двійкового коду під час виконання. Microsoft заявляє, що IPE відрізняється від інших LSM декількома способами, оскільки вони забезпечують перевірку цілісності.

IPE також підтримує успішні аудити. Якщо увімкнено, усі події
які проходять політику IPE і не заблоковані, спричинять подію аудиту.

Цей новий модуль, запропонований Microsoft, це не те саме, що інші системи перевірки цілісності, такі як IMA. Найцікавіше в IPE полягає в тому, що відрізняється у кількох аспектах і не залежить від метаданих у файловій системі, крім того, що всі властивості, що визначають дійсність операцій, зберігаються безпосередньо в ядрі.

Наприклад, IPE не залежить від метаданих файлової системи та атрибутів, які перевіряє IPE. Крім того, IPE не реалізує жодного механізму для перевірки файлів підпису IMA. Це пов’язано з тим, що ядро ​​Linux вже має для нього такі модулі, як dm-verity.

Я маю на увазі це для перевірки цілісності вмісту файлу за допомогою криптографічних хешів, використовуються механізми dm-verity або fs-verity, які вже існують у ядрі.

За аналогією з SELinux, два режими роботи є дозвільним та обов’язковим. У першому режимі журнал проблем робиться лише при виконанні перевірок, які, наприклад, можуть бути використані для попереднього тестування середовища.

"В ідеалі система, що використовує IPE, не призначена для загального використання комп'ютером і не використовує налаштування або програмне забезпечення, створене третьою стороною", - сказав видавець.

Крім того, LSM, який просуває Microsoft, призначений для конкретних випадків, як вбудовані системи, де безпека є пріоритетом, а системні адміністратори мають повний контроль.

Власники системи можуть створювати власні політики для перевірки цілісності та використовувати вбудовані підписи dm-verity для автентифікації кодів.

На закінчення, новий проект пропонує новий модуль безпеки Linux, який інші модулі не можуть зробити, щоб захистити систему від виконання шкідливого коду.

В кінці кінців Якщо ви хочете дізнатись більше про деталі цього нового модуля запропонований розробниками Microsoft, ви можете перевірити деталі У наступному посиланні. Ви можете перевірити вихідний код цього модуля в за наступним посиланням.