微软为Linux内核提出了一个模块来验证系统的完整性

微软开发人员揭幕 最近有关的信息 引入IPE机制 （诚​​信政策执行）， 实现为LSM模块 （Linux安全模块）用于Linux内核。

该模块将 允许您为整个系统定义一般的完整性策略，指示哪些操作有效，以及如何验证组件的真实性。 有了IPE， 您可以指定可以运行的可执行文件 并确保这些文件与受信任来源提供的版本相同。 该代码在MIT许可下是开放的。

核心 Linux支持多个LSM， 包括最知名的SELinux（具有增强的安全性的Linux）和AppArmor。 微软为Linux做出贡献 作为各种计划的技术基础 这个新项目将其命名为IPE （完整性政策执行）。

微软在GitHub上说，这样做是为了增强Linux内核的代码完整性，以确保“无论运行的代码（或正在读取的文件）都与受信任的源创建的版本相同”。

IPE旨在创建完全可验证的系统 从引导加载程序和内核到最终的可执行文件，配置和下载，其完整性得到验证。

如果文件发生更改或替换， IPE可以阻止该操作或记录完整性违规的事实。 所建议的机制可用于嵌入式设备的固件中，在该固件中所有软件和设置均由所有者收集和提供，例如，在Microsoft数据中心中，IPE用于防火墙设备。

虽然内核 Linux已经有几个验证模块 作为IMA的诚信。

IPE专门提供二进制代码的运行时验证。 Microsoft声明IPE在提供完整性验证的许多方面与其他LSM有所不同。

IPE还支持成功的审核。 启用后，所有事件
那些通过IPE策略并且未被阻止的事件将发出审核事件。

微软提出的这个新模块， 它与其他完整性验证系统不同， 例如IMA。 IPE的有趣之处在于 在几个方面有所不同，并且独立于元数据 在文件系统中，除了所有确定操作有效性的属性外，其他所有属性都直接存储在内核中。

例如，IPE不依赖于IPE验证的文件系统元数据和属性。 此外，IPE并未实施任何机制来验证IMA签名文件。 这是因为Linux内核已经具有用于它的模块，例如dm-verity。

那是 使用加密哈希来验证文件内容的完整性，使用内核中已经存在的dm-verity或fs-verity机制。

类似于SELinux，两种操作模式是许可的和强制的。 在第一种模式下，仅在执行检查时才生成问题日志，例如可以将其用于环境的初步测试。

出版商说：“理想情况下，使用IPE的系统不适合一般计算机使用，也不使用第三方软件或设置。”

此外，该 Microsoft推广的LSM是针对特定情况而设计的，作为嵌入式系统，安全是当务之急，系统管理员可以完全控制。

系统所有者可以创建自己的完整性检查策略，并使用内置的dm-verity签名来验证代码。

总而言之，新项目带来了一个新的Linux安全模块，其他模块无法执行该安全模块来保护系统免受恶意代码的执行。

最后 如果您想了解更多有关此新模块的详细信息 由Microsoft开发人员提议，您可以查看详细信息 在下面的链接中。 您可以在以下位置查看此模块的源代码 以下链接。