{"id":113980,"date":"2024-02-29T18:25:59","date_gmt":"2024-02-29T16:25:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux"},"modified":"2024-02-29T18:25:59","modified_gmt":"2024-02-29T16:25:59","slug":"microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","title":{"rendered":"Microsoft har tilbudt IPE-adgangsstyringssystemet til Linux-kernen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Virksomheden har fremlagt et forslag til diskussion p\u00e5 mailinglisten for Linux-kerneudviklere om koden til LSM-modulet, der implementerer IPE (Integrity Policy Enforcement) mekanismen, som udvider de eksisterende systemer til mandatorisk adgangskontrol. I stedet for at v\u00e6re knyttet til etiketter og stier, tr\u00e6ffes beslutningen om at tillade eller forbyde en operation baseret p\u00e5 de permanente egenskaber ved det systemkomponent, med hvilket operationen udf\u00f8res. Modulet g\u00f8r det muligt at definere en samlet integritetspolitik for hele systemet, der angiver, hvilke operationer der er tilladte, og hvordan komponenternes autenticitet skal verificeres. <\/p>\n
IPE har til form\u00e5l at skabe fuldt verificerbare systemer, hvis integritet er bekr\u00e6ftet fra den indledende bootloader og kernen til de endelige eksekverbare filer, konfigurationer og indl\u00e6ste filer. For eksempel kan IPE angive, hvilke eksekverbare filer der m\u00e5 k\u00f8res, baseret p\u00e5 en kontrol af deres overensstemmelse med en referenceversion ved hj\u00e6lp af kryptografiske hashes leveret af systemet dm-verity. Hvis en fil \u00e6ndres eller byttes, kan IPE blokere operationen eller logge en integritetskr\u00e6nkelse. <\/p>\n
Den foresl\u00e5ede mekanisme kan anvendes i firmware til indlejrede enheder, hvor al software og konfiguration er specielt samlet og leveret af ejeren, eksempelvis i Microsoft datacentre, anvendes IPE i udstyr til firewalls. I mods\u00e6tning til andre integritetskontrolsystemer, s\u00e5som IMA, adskiller IPE sig ved sin uafh\u00e6ngighed af metadata i filsystemet \u2014 alle egenskaber, der definerer operationernes tilladelighed, opbevares direkte i kernen. <\/p>\n
Reglerne defineres i tekstform ved hj\u00e6lp af n\u00f8gle-v\u00e6rdi s\u00e6t. De grundl\u00e6ggende n\u00f8gler er 'op', som definerer den operation, som reglen g\u00e6lder for (for eksempel, op=EXECUTE udl\u00f8ser ved et udf\u00f8relsesfors\u00f8g), og 'action', som definerer handlingen (for eksempel, 'action=DENY' for at blokere). Reglerne knyttes til de egenskaber, der leveres af eksterne undersystemer, s\u00e5som dm-verity og fs-verity. <\/p>\n
For eksempel, regler op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY tillader kun boot fra en verificeret partition, forbyder k\u00f8rsel af filer fra partitioner, der ikke har signaturer i dm-verity, samt selektivt forbyder udf\u00f8relsen af en fil med hash '401fce\u20260dec146938'. <\/p>\n
Det indledende s\u00e6t af opstartsregler defineres ved hj\u00e6lp af indstillingen SECURITY_IPE_BOOT_POLICY og inkluderes i kernen, mens de \u00f8vrige regler tilf\u00f8jes efter behov via filen \/sys\/kernel\/security\/ipe\/new_policy. De overf\u00f8rte regler krypteres med et certifikat specificeret i SYSTEM_TRUSTED_KEYRING. <\/p>\n
P\u00e5 generelle systemer anbefales det at anvende IPE i kombination med DIGLIM-mekanismen udviklet af Huawei. DIGLIM er implementeret ved hj\u00e6lp af eBPF og g\u00f8r det nemt at implementere integritetskontrol p\u00e5 filniveau i almindelige distributioner uden at kr\u00e6ve omarbejdning (det pr\u00e6senteres som en variant af Secure Boot, der fungerer p\u00e5 anvendelsesniveau). Kernen i DIGLIM er vedligeholdelsen af et pulje af kontrolhasher for filer og metadata, og adgang til eksekverbare filer gives kun, hvis deres hash er til stede i puljen. Hashlisten kan opn\u00e5s fra RPM-pakkeh\u00e5ndteringen eller genereres manuelt af brugeren. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"