Microsoft pakkus Linuxi tuumale juurdepääsukontrolli süsteemi IPE

Ettevõte esitas arutamiseks Linuxi tuumade arendajate postitusloendis LSM-mooduli koodi, mis реализuje IPE (Integrity Policy Enforcement) mehhanismi, mis laiendab olemasolevaid mandatide haldamise süsteeme. IPE-s langetatakse otsus operatsiooni lubamise või keeldumise osas olemasolevate süsteemi komponendi püsivate omaduste põhjal, millega operatsioon toimub, mitte ei seostata seda etikettide ja teedega. Moodul võimaldab määrata kogu süsteemi integriteedi poliitika, mis näitab, millised operatsioonid on lubatud ja kuidas komponentide autentsust kontrollida.

IPE eesmärk on luua täielikult verifitseeritud süsteeme, mille integriteet on kinnitatud algsest laadimisseadmest ja tuumast kuni lõppfaile, konfiguratsioonide ja laadimisfailideni. Näiteks IPE abil saab määrata, milliseid täitefailide on lubatud käivitada, võttes arvesse nende vastavust viidete versioonidele, mida pakuvad süsteemid dm-verity. Faili muutmise või asendamise korral võib IPE operatsiooni blokeerida või logida integriteedi rikkumise fakti.

Pakutud mehhanismi saab rakendada sisseehitatud seadmete tarkvarades, kus kogu tarkvara ja seadistused kogutakse ja esitavad omanik, näiteks kasutavad Microsofti andakeskustes IPE tulemüüri seadmetes. Erinevalt muudest integriteedi kontrollimise süsteemidest, nagu IMA, erineb IPE metainformatsiooni sõltumatusega failisüsteemist — kõik omadused, mis määratlevad operatsioonide lubatavuse, on talletatud otse tuumas.

Reeglid määratletakse tekstivormis võtme-väärtuse kogude abil. Alusreegel on „op”, mis määrab operatsiooni, millele reegel kehtib (näiteks op=EXECUTE käivitatakse täitmise katse puhul), ja „action”, mis määrab toimingu (näiteks „action=DENY” blokeerimiseks). Reeglid seondatakse omadustega, mida pakuvad väli-alamsüsteemid, nagu dm-verity ja fs-verity.

Näiteks reeglid op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce…0dec146938 action=DENY lubavad laadida ainult tõestatud partitsioonilt, keelavad käivitada faile partitsioonidelt, mis ei ole dm-verity allkirjastatud, ning valikuliselt keelavad faili käivitamise, mille räsimärk on „401fce…0dec146938”.

Algne laadimisreeglite komplekt määratakse SECURITY_IPE_BOOT_POLICY seadistamisega ja lisatakse südamiku koostisse, samas kui teised reeglid lisatakse vajadusel faili /sys/kernel/security/ipe/new_policy kaudu. Edastatavad reeglid krüpteeritakse SYSTEM_TRUSTED_KEYRINGis määratud sertifikaadiga.

Üldkasutusega süsteemides soovitatakse kasutada IPE-d koos Huawei arendatava DIGLIM mehhanismiga. DIGLIM on rakendatud eBPF-i kaudu ja võimaldab hõlpsasti rakendada terviklikkuse kontrolli eraldi failide tasemel tavalistes distributsioonides, ilma et neid tuleks ümber töödelda (tutvustatakse kui Secure Boot'i varianti, mis töötab rakenduslikul tasemel). DIGLIMi olemus seisneb kontrolli räsimärkide hoidmise süsteemi säilitamises failide ja metaandmete jaoks ning juurdepääsu andmises käivitatavatele failidele ainult siis, kui nende räsimärk on olemas kontrollide hulgas. Räsimärkide nimekirja saab saada RPM paketihaldurilt või genereerida kasutaja poolt käsitsi.

Allikas: opennet.ru