Virksomheden har fremlagt et forslag til diskussion på mailinglisten for Linux-kerneudviklere om koden til LSM-modulet, der implementerer IPE (Integrity Policy Enforcement) mekanismen, som udvider de eksisterende systemer til mandatorisk adgangskontrol. I stedet for at være knyttet til etiketter og stier, træffes beslutningen om at tillade eller forbyde en operation baseret på de permanente egenskaber ved det systemkomponent, med hvilket operationen udføres. Modulet gør det muligt at definere en samlet integritetspolitik for hele systemet, der angiver, hvilke operationer der er tilladte, og hvordan komponenternes autenticitet skal verificeres.
IPE har til formål at skabe fuldt verificerbare systemer, hvis integritet er bekræftet fra den indledende bootloader og kernen til de endelige eksekverbare filer, konfigurationer og indlæste filer. For eksempel kan IPE angive, hvilke eksekverbare filer der må køres, baseret på en kontrol af deres overensstemmelse med en referenceversion ved hjælp af kryptografiske hashes leveret af systemet dm-verity. Hvis en fil ændres eller byttes, kan IPE blokere operationen eller logge en integritetskrænkelse.
Den foreslåede mekanisme kan anvendes i firmware til indlejrede enheder, hvor alt software og indstillinger specielt samles og leveres af ejeren. For eksempel anvendes IPE i Microsofts datacentre i hardware til firewalls. I modsætning til andre integritetskontrolsystemer, såsom IMA, adskiller IPE sig ved sin uafhængighed fra metadata i filsystemet — alle egenskaber, der definerer tilladeligheden af operationer, gemmes direkte i kernen.
Reglerne angives i tekstform ved brug af nøgle-værdi sæt. De grundlæggende nøgler er «op», der definerer den operation, som reglen gælder for (for eksempel vil op=EXECUTE gælde ved et forsøg på at udføre), og «action», der definerer handlingen (for eksempel «action=DENY» for at blokere). Reglerne knyttes til egenskaber leveret af eksterne undersystemer som dm-verity og fs-verity.
For eksempel vil reglerne op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce…0dec146938 action=DENY kun tillade opstart fra en verificeret partition, forbyde kørsel af filer fra partitioner uden underskrifter i dm-verity og selektivt forbyde udførelse af filer med hashet «401fce…0dec146938».
Det indledende sæt af opstartsregler defineres ved hjælp af indstillingen SECURITY_IPE_BOOT_POLICY og inkluderes i kernen, mens de øvrige regler tilføjes efter behov via filen /sys/kernel/security/ipe/new_policy. De overførte regler krypteres med et certifikat specificeret i SYSTEM_TRUSTED_KEYRING.
På generelle systemer anbefales det at anvende IPE i kombination med DIGLIM-mekanismen udviklet af Huawei. DIGLIM er implementeret ved hjælp af eBPF og gør det nemt at implementere integritetskontrol på filniveau i almindelige distributioner uden at kræve omarbejdning (det præsenteres som en variant af Secure Boot, der fungerer på anvendelsesniveau). Kernen i DIGLIM er vedligeholdelsen af et pulje af kontrolhasher for filer og metadata, og adgang til eksekverbare filer gives kun, hvis deres hash er til stede i puljen. Hashlisten kan opnås fra RPM-pakkehåndteringen eller genereres manuelt af brugeren.
Kilde: opennet.ru
