{"id":113980,"date":"2024-02-29T18:25:59","date_gmt":"2024-02-29T16:25:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux"},"modified":"2024-02-29T18:25:59","modified_gmt":"2024-02-29T16:25:59","slug":"microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","title":{"rendered":"Microsoft present\u00f3 el sistema de gesti\u00f3n de acceso IPE para el n\u00facleo de Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La empresa ha puesto a discusi\u00f3n en la lista de correo de los desarrolladores del n\u00facleo de Linux el c\u00f3digo del m\u00f3dulo LSM con la implementaci\u00f3n del mecanismo IPE (Integrity Policy Enforcement), que extiende los sistemas existentes de control de acceso mandatarios. En lugar de estar vinculado a etiquetas y rutas, en IPE la decisi\u00f3n de permitir o prohibir una operaci\u00f3n se basa en las propiedades permanentes del componente del sistema con el que se lleva a cabo la operaci\u00f3n. El m\u00f3dulo permite definir una pol\u00edtica general de aseguramiento de la integridad para todo el sistema, que indica qu\u00e9 operaciones son permitidas y c\u00f3mo se debe verificar la autenticidad de los componentes. <\/p>\n
IPE est\u00e1 dise\u00f1ado para crear sistemas completamente verificables, cuya integridad se confirma desde el cargador inicial y el n\u00facleo hasta los archivos ejecutables finales, configuraciones y archivos cargados. Por ejemplo, mediante IPE se puede especificar qu\u00e9 archivos ejecutables se pueden lanzar considerando la verificaci\u00f3n de su correspondencia con la versi\u00f3n de referencia mediante los hashes criptogr\u00e1ficos proporcionados por el sistema dm-verity. En caso de que un archivo sea modificado o reemplazado, IPE puede bloquear la operaci\u00f3n o registrar el hecho de la violaci\u00f3n de la integridad. <\/p>\n
El mecanismo propuesto puede aplicarse en el firmware de dispositivos embebidos, donde todo el software y la configuraci\u00f3n se recopilan y proporcionan espec\u00edficamente por el propietario. Por ejemplo, en los centros de datos de Microsoft, IPE se utiliza en el hardware de los firewalls. A diferencia de otros sistemas de verificaci\u00f3n de integridad, como IMA, IPE se distingue por su independencia de los metadatos en el sistema de archivos: todas las propiedades que definen la permisibilidad de las operaciones se almacenan directamente en el n\u00facleo. <\/p>\n
Las reglas se establecen en forma de texto utilizando conjuntos de clave-valor. Las claves b\u00e1sicas son 'op', que determina la operaci\u00f3n a la que se aplica la regla (por ejemplo, op=EXECUTE se activar\u00e1 al intentar ejecutar), y 'action', que determina la acci\u00f3n (por ejemplo, 'action=DENY' para bloquear). Las reglas se vinculan a propiedades proporcionadas por subsistemas externos, como dm-verity y fs-verity. <\/p>\n
Por ejemplo, las reglas op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY solo permitir\u00e1n el inicio desde la partici\u00f3n verificada, prohibir\u00e1n la ejecuci\u00f3n de archivos de particiones que no tengan firmas en dm-verity, y tambi\u00e9n prohibir\u00e1n selectivamente la ejecuci\u00f3n de un archivo con el hash '401fce\u20260dec146938'. <\/p>\n
El conjunto inicial de reglas de arranque se determina mediante la configuraci\u00f3n SECURITY_IPE_BOOT_POLICY y se incluye en la compilaci\u00f3n del kernel, mientras que las dem\u00e1s reglas se a\u00f1aden seg\u00fan sea necesario a trav\u00e9s del archivo \/sys\/kernel\/security\/ipe\/new_policy. Las reglas transmitidas se cifran utilizando un certificado definido en SYSTEM_TRUSTED_KEYRING. <\/p>\n
En sistemas de prop\u00f3sito general, se sugiere aplicar IPE en combinaci\u00f3n con el mecanismo DIGLIM, desarrollado por Huawei. DIGLIM se implementa mediante eBPF y permite implementar f\u00e1cilmente el control de integridad a nivel de archivos individuales en distribuciones comunes, sin necesidad de reworking (se presenta como una variante de Secure Boot que opera a nivel de aplicaci\u00f3n). La esencia de DIGLIM es mantener un conjunto de hashes de verificaci\u00f3n para archivos y metadatos, y proporcionar acceso a archivos ejecutables solo si su hash est\u00e1 presente en el conjunto. La lista de hashes puede obtenerse del gestor de paquetes RPM o ser generada manualmente por el usuario. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"