Das Unternehmen hat einen LSM-Modulcode zur Diskussion in der Mailingliste f\u00fcr Linux-Kernel-Entwickler vorgeschlagen, der einen IPE-Mechanismus (Integrity Policy Enforcement) implementiert. Dieser erweitert bestehende Systeme des Mandatssystems zur Zugriffskontrolle. Anstelle von Bindungen an Labels und Pfade werden im IPE Entscheidungen zur Genehmigung oder Verweigerung von Operationen basierend auf den konstanten Eigenschaften der Systemkomponente getroffen, mit der die Operation ausgef\u00fchrt wird. Das Modul erm\u00f6glicht es, eine allgemeine Integrit\u00e4tsrichtlinie f\u00fcr das gesamte System zu definieren, die angibt, welche Operationen zul\u00e4ssig sind und wie die Authentizit\u00e4t der Komponenten \u00fcberpr\u00fcft werden sollte. <\/p>\n
IPE zielt darauf ab, vollst\u00e4ndig verifizierbare Systeme zu schaffen, deren Integrit\u00e4t von dem urspr\u00fcnglichen Bootloader und dem Kern bis hin zu den endg\u00fcltigen ausf\u00fchrbaren Dateien, Konfigurationen und geladenen Dateien best\u00e4tigt wird. Beispielsweise kann mit IPE angegeben werden, welche ausf\u00fchrbaren Dateien unter Ber\u00fccksichtigung ihrer \u00dcbereinstimmung mit der Referenzversion durch kryptographische Hashes, die vom System dm-verity bereitgestellt werden, ausgef\u00fchrt werden d\u00fcrfen. Im Falle einer \u00c4nderung oder Manipulation der Datei kann IPE die Operation blockieren oder den Versto\u00df gegen die Integrit\u00e4t protokollieren. <\/p>\n
Der vorgeschlagene Mechanismus kann in Firmware f\u00fcr eingebettete Ger\u00e4te eingesetzt werden, bei denen alle Software und Einstellungen speziell vom Eigent\u00fcmer zusammengestellt und bereitgestellt werden. Beispielsweise wird IPE in Microsoft-Rechenzentren in der Hardware f\u00fcr Firewalls verwendet. Im Gegensatz zu anderen Integrit\u00e4tspr\u00fcfsystemen wie IMA zeichnet sich IPE durch Unabh\u00e4ngigkeit von Metadaten im Dateisystem aus \u2013 alle Eigenschaften, die die Zul\u00e4ssigkeit von Operationen festlegen, werden direkt im Kern gespeichert. <\/p>\n
Die Regeln werden in Textform unter Verwendung von Schl\u00fcssel-Wert-Paaren festgelegt. Basis sind die Schl\u00fcssel \u201eop\u201c, der die Operation definiert, auf die die Regel angewendet wird (z. B. op=EXECUTE, was bei einem Ausf\u00fchrungsversuch wirkt), und \u201eaction\u201c, der die Aktion definiert (z. B. \u201eaction=DENY\u201c f\u00fcr eine Sperrung). Die Regeln werden an die Eigenschaften gebunden, die von externen Subsystemen wie dm-verity und fs-verity bereitgestellt werden. <\/p>\n
Zum Beispiel erlauben die Regeln op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY nur das Booten von einem verifizierten Abschnitt, verbieten das Ausf\u00fchren von Dateien aus Abschnitten, die keine dm-verity-Signaturen haben, und verbieten selektiv die Ausf\u00fchrung von Dateien mit dem Hash «401fce\u20260dec146938». <\/p>\n
Der anf\u00e4ngliche Satz von Boot-Regeln wird durch die Einstellung SECURITY_IPE_BOOT_POLICY festgelegt und ist Bestandteil des Kernel-Bau, w\u00e4hrend andere Regeln bei Bedarf \u00fcber die Datei \/sys\/kernel\/security\/ipe\/new_policy hinzugef\u00fcgt werden. Die \u00fcbermittelten Regeln werden unter Verwendung eines in SYSTEM_TRUSTED_KEYRING festgelegten Zertifikats verschl\u00fcsselt. <\/p>\n
Auf allgemeinen Systemen wird empfohlen, IPE zusammen mit dem von Huawei entwickelten DIGLIM-Mechanismus anzuwenden. DIGLIM wird \u00fcber eBPF implementiert und erm\u00f6glicht eine einfache Integrit\u00e4tskontrolle auf Dateiebene in g\u00e4ngigen Distributionen, ohne dass diese \u00fcberarbeitet werden m\u00fcssen (es wird als eine Variante von Secure Boot pr\u00e4sentiert, die auf Anwendungsebene funktioniert). Die Idee von DIGLIM besteht darin, einen Pool von Pr\u00fcfziffern f\u00fcr Dateien und Metadaten aufrechtzuerhalten und den Zugriff auf ausf\u00fchrbare Dateien nur zu gew\u00e4hren, wenn ihre Pr\u00fcfziffer im Pool enthalten ist. Die Liste der Pr\u00fcfziffern kann vom RPM-Paketmanager bezogen oder manuell vom Benutzer generiert werden. \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u0432\u044b\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u043d\u0430 \u043e\u0431\u0441\u0443\u0436\u0434\u0435\u043d\u0438\u0435 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 \u044f\u0434\u0440\u0430 Linux \u043a\u043e\u0434 LSM-\u043c\u043e\u0434\u0443\u043b\u044f \u0441 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 IPE (Integrity Policy Enforcement), \u0440\u0430\u0441\u0448\u0438\u0440\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043c\u0430\u043d\u0434\u0430\u0442\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c. \u0412\u043c\u0435\u0441\u0442\u043e \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0438 \u043a \u043c\u0435\u0442\u043a\u0430\u043c \u0438 \u043f\u0443\u0442\u044f\u043c \u0432 IPE \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u043e \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0438 \u0438\u043b\u0438 \u0437\u0430\u043f\u0440\u0435\u0442\u0435 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u044b\u0445 \u0441\u0432\u043e\u0439\u0441\u0442\u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430 \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u044f. \u041c\u043e\u0434\u0443\u043b\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u043e\u0431\u0449\u0443\u044e \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0443 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-113980","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Microsoft hat ein Zugangskontrollsystem IPE f\u00fcr den Linux-Kernel angeboten | ProHoster","description":"Das Unternehmen hat in der Mailingliste der Kernel-Entwickler den Code des LSM-Moduls mit der Implementierung des Mechanismus IPE (Integrity Policy Enforcement) zur Diskussion gestellt, der bestehende Systeme der mandatorischen Zugriffskontrolle erweitert.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Microsoft \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0438\u043b \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c IPE \u0434\u043b\u044f \u044f\u0434\u0440\u0430 Linux | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u0432\u044b\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u043d\u0430 \u043e\u0431\u0441\u0443\u0436\u0434\u0435\u043d\u0438\u0435 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 \u044f\u0434\u0440\u0430 Linux \u043a\u043e\u0434 LSM-\u043c\u043e\u0434\u0443\u043b\u044f \u0441 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 IPE (Integrity Policy Enforcement), \u0440\u0430\u0441\u0448\u0438\u0440\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043c\u0430\u043d\u0434\u0430\u0442\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-02-29T16:25:59+00:00","article:modified_time":"2024-02-29T16:25:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/113980","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=113980"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/113980\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=113980"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=113980"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=113980"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"