微軟為Linux內核提出了一個模塊來驗證系統的完整性

微軟開發人員揭幕 最近有關的信息 引入IPE機制 （誠信政策執行）， 實現為LSM模塊 （Linux安全模塊）用於Linux內核。

該模塊將 允許您為整個系統定義一般的完整性策略，指示哪些操作有效以及如何驗證組件的真實性。 有了IPE， 您可以指定可以運行的可執行文件 並確保這些文件與受信任來源提供的版本相同。 該代碼在MIT許可下是開放的。

核心 Linux支持多個LSM， 包括最知名的SELinux（具有增強的安全性的Linux）和AppArmor。 微軟為Linux做出貢獻 作為各種計劃的技術基礎 這個新項目將其命名為IPE （完整性政策執行）。

微軟在GitHub上表示，這樣做的目的是增強Linux內核代碼的完整性，以確保“任何正在運行的代碼（或正在讀取的文件）與受信任源創建的版本相同”。

IPE旨在創建完全可驗證的系統 從引導加載程序和內核到最終的可執行文件，配置和下載，其完整性得到驗證。

如果文件發生更改或替換， IPE可以阻止該操作或記錄完整性違規的事實。 所提出的機制可用於嵌入式設備的固件中，在該固件中所有軟件和設置均由所有者收集和提供，例如，在Microsoft數據中心中，IPE用於防火牆設備中。

雖然內核 Linux已經有幾個驗證模塊 作為IMA的誠信。

IPE專門提供二進制代碼的運行時驗證。 Microsoft聲明IPE在提供完整性驗證的許多方面與其他LSM有所不同。

IPE還支持成功的審核。 啟用後，所有事件
那些通過IPE策略並且未被阻止的事件將發出審核事件。

微軟提出的這個新模塊， 它與其他完整性驗證系統不同， 例如IMA。 IPE的有趣之處在於 在幾個方面有所不同，並且獨立於元數據 在文件系統中，除了所有確定操作有效性的屬性外，其他所有屬性都直接存儲在內核中。

例如，IPE不依賴於IPE驗證的文件系統元數據和屬性。 此外，IPE並未實施任何機制來驗證IMA簽名文件。 這是因為Linux內核已經具有用於它的模塊，例如dm-verity。

我的意思是 使用加密哈希來驗證文件內容的完整性，使用內核中已經存在的dm-verity或fs-verity機制。

與SELinux類似，兩種操作模式是許可的和強制的。 在第一種模式下，僅在執行檢查時才生成問題日誌，例如可以將其用於環境的初步測試。

出版商說：“理想情況下，使用IPE的系統不適合一般計算機使用，也不使用第三方軟件或設置。”

另外， Microsoft推廣的LSM是針對特定情況而設計的，作為嵌入式系統，安全是當務之急，系統管理員可以完全控制。

系統所有者可以創建自己的完整性檢查策略，並使用內置的dm-verity簽名來驗證代碼。

總而言之，新項目帶來了一個新的Linux安全模塊，其他模塊無法執行該模塊來保護系統免受惡意代碼的執行。

終於 如果您想了解更多有關此新模塊的詳細信息 由Microsoft開發人員提議，您可以查看詳細信息 在下面的鏈接中。 您可以在以下位置查看此模塊的源代碼 以下鏈接。