Microsoft развива откритата система за изолация в песен Litebox.

Джеймс Морис (James Morris), мейнтенер подсистемы зашиты ядра Linux и возглавляющий в компании Microsoft команду «Linux Emerging Technologies», представи проект Litebox, позициониран като операционна система, фокусирана върху сигурността, под формата на библиотека (Library OS). Litebox може да се използва в програми или ядра като допълнителен изолационен слой, блокиращ достъпа до излишна функционалност на ядрата или API с цел намаляване на атакната повърхност. Кодът на проекта е написан на езика Rust и е с отворен код под лицензия MIT.

Идеята за «Library OS» е, че услугите на операционната система се вграждат директно в приложението вместо да извикват външно ядро на ОС чрез системни повиквания. В контекста на Litebox към приложенията се прикрепя изолиращ слой, предоставящ минимална платформа, която транслира запитвания към външния полнофункционален програмен интерфейс. В качеството на подобни външни интерфейси могат да действат ядрото Linux, защитени изолирани среди OP-TEE (Open Portable Trusted Execution Environment), среди Webassembly или стандартната библиотека RustStd.

Минималната платформа, формулирана чрез Litebox, е приложима за стартиране на приложения Linux, Windows и FreeBSD, вложени ядра Linux и LVBS (Linux Virtualization Based Security). В възможните области на приложение на Litebox се споменава осигуряване на стартиране на немодифицирани Linux-програми в Windows, изолиране на изпълнението на Linux-приложения на системи с ядро Linux, стартиране на програми върху AMD SEV SNP за криптиране на паметта, изпълнение на OP-TEE-програми в Linux и изолиране с използване на концепцията LVBS.

Проектът LVBS, представители на който участват в разработката на Litebox, развива методи за защита на компонентите на ядрото Linux, използващи възможностите на хипервизорите и хардуерната виртуализация. Например, с помощта на хипервизора могат да се изолират операции за контрол на автентичността на модулите, верификация, управление на достъпа до пароли, ключове, структури на ядрото и други критично важни ресурси. В случай на експлоатация на уязвимост и компрометиране на ядрото, атакуващият няма да може да получи достъп до подобни ресурси, тъй като техните обработчици се изпълняват извън текущото ниво на привилегии. Litebox се разглежда в контекста на проекта LVBS като «сигурно ядро», което защитава обикновеното ядро на гост системата чрез хардуерна виртуализация.

Източник: opennet.ru