Microsoft đề xuất một mô-đun cho nhân Linux để xác minh tính toàn vẹn của hệ thống

Các nhà phát triển của Microsoft đã tiết lộ thông tin gần đây về sự ra đời của cơ chế IPE (Thực thi chính sách liêm chính), được triển khai như một mô-đun LSM (Mô-đun bảo mật Linux) cho nhân Linux.

Mô-đun sẽ cho phép bạn xác định một chính sách toàn vẹn chung cho toàn bộ hệ thống, cho biết hoạt động nào là hợp lệ và cách xác minh tính xác thực của các thành phần. Với IPE, bạn có thể chỉ định tệp thực thi nào có thể chạy được và đảm bảo các tệp này giống với phiên bản được cung cấp bởi một nguồn đáng tin cậy. Mã được mở theo giấy phép MIT.

Kernel Linux hỗ trợ nhiều LSM, bao gồm SELinux (Linux với bảo mật nâng cao) và AppArmor trong số những ứng dụng được biết đến nhiều nhất. Microsoft đóng góp trên Linux làm cơ sở kỹ thuật cho các sáng kiến ​​khác nhau và dự án mới này đã đặt tên là IPE (Thực thi chính sách liêm chính).

Điều này được thiết kế để tăng cường tính toàn vẹn của mã cho nhân Linux, để đảm bảo rằng "bất kỳ mã nào đang chạy (hoặc các tệp đang được đọc) đều giống với phiên bản được tạo bởi một nguồn đáng tin cậy", Microsoft cho biết trên GitHub.

IPE nhằm mục đích tạo ra các hệ thống hoàn toàn có thể xác minh được có tính toàn vẹn được xác minh từ bộ nạp khởi động và hạt nhân đến các tệp thực thi cuối cùng, cấu hình và tải xuống.

Trong trường hợp thay đổi hoặc thay thế tệp, IPE có thể chặn hoạt động hoặc ghi lại thực tế vi phạm tính toàn vẹn. Cơ chế được đề xuất có thể được sử dụng trong chương trình cơ sở cho các thiết bị nhúng trong đó tất cả phần mềm và cài đặt được chủ sở hữu thu thập và cung cấp, đặc biệt là trong các trung tâm dữ liệu của Microsoft, IPE được sử dụng trong thiết bị cho tường lửa.

Mặc dù hạt nhân của Linux đã có một số mô-đun để xác minh tính toàn vẹn như IMA.

IPE đặc biệt cung cấp xác minh thời gian chạy mã nhị phân. Microsoft tuyên bố rằng IPE khác với các LSM khác ở một số điểm mà chúng cung cấp xác minh tính toàn vẹn.

IPE cũng hỗ trợ kiểm tra thành công. Khi được bật, tất cả các sự kiện
vượt qua chính sách IPE và không bị chặn sẽ tạo ra một sự kiện kiểm tra.

Mô-đun mới này do Microsoft đề xuất, nó không giống với các hệ thống xác minh tính toàn vẹn khác, chẳng hạn như IMA. Điều thú vị về IPE là khác nhau ở một số khía cạnh và độc lập với siêu dữ liệu trong hệ thống tệp, bên cạnh đó tất cả các thuộc tính xác định tính hợp lệ của các hoạt động được lưu trữ trực tiếp trong hạt nhân.

Ví dụ: IPE không phụ thuộc vào siêu dữ liệu hệ thống tệp và các thuộc tính mà IPE xác minh. Ngoài ra, IPE không triển khai bất kỳ cơ chế nào để xác minh tệp chữ ký IMA. Điều này là do nhân Linux đã có các mô-đun cho nó, chẳng hạn như dm-verity.

Ý tôi là để xác minh tính toàn vẹn của nội dung tệp bằng cách sử dụng hàm băm mật mã, các cơ chế dm-verity hoặc fs-verity đã tồn tại trong kernel sẽ được sử dụng.

Tương tự với SELinux, hai chế độ hoạt động là cho phép và bắt buộc. Trong chế độ đầu tiên, nhật ký sự cố chỉ được tạo khi thực hiện kiểm tra, ví dụ: có thể được sử dụng để kiểm tra sơ bộ môi trường.

"Lý tưởng nhất là một hệ thống sử dụng IPE không dành cho việc sử dụng máy tính thông thường và không sử dụng phần mềm hoặc cài đặt của bên thứ ba", nhà xuất bản cho biết.

Ngoài ra, LSM do Microsoft quảng bá được thiết kế cho các trường hợp cụ thể, là hệ thống nhúng, nơi ưu tiên bảo mật và quản trị viên hệ thống có toàn quyền kiểm soát.

Chủ sở hữu hệ thống có thể tạo các chính sách của riêng họ để kiểm tra tính toàn vẹn và sử dụng chữ ký dm-verity tích hợp sẵn để xác thực mã.

Để kết thúc, dự án mới mang đến một mô-đun bảo mật Linux mới mà các mô-đun khác không thể làm được để bảo vệ hệ thống khỏi sự thực thi của mã độc.

Cuối cùng Nếu bạn muốn biết thêm về chi tiết của mô-đun mới này do các nhà phát triển của Microsoft đề xuất, bạn có thể kiểm tra chi tiết Trong liên kết sau đây. Bạn có thể kiểm tra mã nguồn của mô-đun này trong liên kết sau.