{"id":113980,"date":"2024-02-29T18:25:59","date_gmt":"2024-02-29T16:25:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux"},"modified":"2024-02-29T18:25:59","modified_gmt":"2024-02-29T16:25:59","slug":"microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","title":{"rendered":"Microsoft hat ein Zugangskontrollsystem IPE f\u00fcr den Linux-Kernel angeboten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Unternehmen hat im Entwickler-Newsletter des Linux-Kernels den Code eines LSM-Moduls zur Implementierung des IPE-Mechanismus (Integrity Policy Enforcement) zur Diskussion gestellt, der bestehende Systeme der mandatorischen Zugriffskontrolle erweitert. Anstelle von Labeln und Pfaden wird im IPE die Entscheidung \u00fcber die Erlaubnis oder Verweigerung einer Operation basierend auf konstanten Eigenschaften der Systemkomponente getroffen, mit der die Operation ausgef\u00fchrt wird. Das Modul erm\u00f6glicht die Festlegung einer allgemeinen Integrit\u00e4tspolitik f\u00fcr das gesamte System, die angibt, welche Operationen zul\u00e4ssig sind und wie die Authentizit\u00e4t der Komponenten verifiziert werden sollte. <\/p>\n
IPE zielt darauf ab, vollst\u00e4ndig verifizierbare Systeme zu schaffen, deren Integrit\u00e4t von dem urspr\u00fcnglichen Bootloader und Kernel bis hin zu den endg\u00fcltigen ausf\u00fchrbaren Dateien, Konfigurationen und geladenen Dateien best\u00e4tigt wird. Zum Beispiel kann mit IPE festgelegt werden, welche ausf\u00fchrbaren Dateien unter Ber\u00fccksichtigung der \u00dcberpr\u00fcfung ihrer \u00dcbereinstimmung mit der Referenzversion mithilfe der kryptografischen Hashes, die vom System dm-verity bereitgestellt werden, gestartet werden d\u00fcrfen. Im Falle einer \u00c4nderung oder Ersetzung einer Datei kann IPE die Operation blockieren oder das Ereignis eines Integrit\u00e4tsbruchs protokollieren. <\/p>\n
Der vorgeschlagene Mechanismus kann in der Firmware f\u00fcr eingebettete Ger\u00e4te angewendet werden, bei denen die gesamte Software und die Einstellungen speziell vom Eigent\u00fcmer zusammengestellt und bereitgestellt werden, beispielsweise wird IPE in Microsoft-Datenzentren in Hardware f\u00fcr Firewalls eingesetzt. Im Gegensatz zu anderen Integrit\u00e4tspr\u00fcfsystemen, wie z. B. IMA, zeichnet sich IPE durch die Unabh\u00e4ngigkeit von Metadaten im FS aus \u2013 alle Eigenschaften, die die Zul\u00e4ssigkeit von Operationen bestimmen, werden direkt im Kernel gespeichert. <\/p>\n
Die Regeln werden in Textform unter Verwendung von Schl\u00fcssel-Wert-Paaren festgelegt. Grundlegend sind die Schl\u00fcssel \u201eop\u201c, der die Operation definiert, auf die die Regel angewendet wird (z. B. op=EXECUTE wird bei dem Versuch, eine Ausf\u00fchrung zu starten, aktiviert), und \u201eaction\u201c, das die Handlung definiert (z. B. \u201eaction=DENY\u201c zur Blockierung). Die Regeln werden an die Eigenschaften gebunden, die von externen Teilsystemen wie dm-verity und fs-verity bereitgestellt werden. <\/p>\n
Zum Beispiel erlauben die Regeln op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY nur das Booten von einem verifizierten Partition, verbieten das Ausf\u00fchren von Dateien aus Partitionen, die keine Signaturen in dm-verity aufweisen, und verbieten selektiv die Ausf\u00fchrung von Dateien mit dem Hash \u201e401fce\u20260dec146938\u201c. <\/p>\n
Das Ausgangsset von Boot-Regeln wird mithilfe der Einstellung SECURITY_IPE_BOOT_POLICY definiert und ist Teil des Kernel-Builds, w\u00e4hrend weitere Regeln bei Bedarf \u00fcber die Datei \/sys\/kernel\/security\/ipe\/new_policy hinzugef\u00fcgt werden. Die \u00fcbermittelten Regeln werden mithilfe eines in SYSTEM_TRUSTED_KEYRING definierten Zertifikats verschl\u00fcsselt. <\/p>\n
In allgemeinen Systemen wird empfohlen, IPE in Verbindung mit dem von Huawei entwickelten DIGLIM-Mechanismus anzuwenden. DIGLIM wird mithilfe von eBPF implementiert und erm\u00f6glicht die einfache Durchsetzung der Integrit\u00e4t auf der Ebene einzelner Dateien in g\u00e4ngigen Distributionen, ohne dass \u00c4nderungen erforderlich sind (es wird als eine Art Secure Boot beschrieben, das auf Anwendungsebene arbeitet). Das Wesen von DIGLIM besteht darin, einen Pool von Pr\u00fcfziffern f\u00fcr Dateien und Metadaten zu f\u00fchren und den Zugriff auf ausf\u00fchrbare Dateien nur zu gew\u00e4hren, wenn deren Hash im Pool vorhanden ist. Die Liste der Hashes kann vom RPM-Paketmanager abgerufen oder manuell vom Benutzer generiert werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"