{"id":113980,"date":"2024-02-29T18:25:59","date_gmt":"2024-02-29T16:25:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux"},"modified":"2024-02-29T18:25:59","modified_gmt":"2024-02-29T16:25:59","slug":"microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","title":{"rendered":"Microsoft pakkus Linuxi kernelile juurdep\u00e4\u00e4suhalduss\u00fcsteemi IPE.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Ettev\u00f5te esitas Linuxi tuumade arendajate postitusloendis arutamiseks LSM-moduuli koodi, mis rakendab IPE (Integrity Policy Enforcement) mehhanismi, laiendades olemasolevaid mandaadi juurdep\u00e4\u00e4suhalduss\u00fcsteeme. Selle asemel, et tugineda siltidele ja teedele, p\u00f5hineb IPE otsus operatsiooni lubamise v\u00f5i keeldumise kohta s\u00fcsteemi komponendi p\u00fcsivatel omadustel, millega operatsioon viiakse l\u00e4bi. Moodul v\u00f5imaldab m\u00e4\u00e4rata kogu s\u00fcsteemi integreerimise poliitika, mis n\u00e4itab, millised operatsioonid on lubatud ja milliseid viise tuleks komponentide autentimise kontrollimiseks kasutada. <\/p>\n
IPE eesm\u00e4rk on luua t\u00e4iesti kontrollitavaid s\u00fcsteeme, mille terviklikkust t\u00f5endatakse algsest k\u00e4ivitajast ja p\u00f5hituumast kuni l\u00f5ppk\u00e4idavate failide, seadistuste ja laadimisfailideni. N\u00e4iteks saab IPE abil m\u00e4\u00e4rata, milliseid k\u00e4idufailide on lubatud k\u00e4ivitada, j\u00e4rgides nende vastavuse kontrollimist n\u00e4idistootega, kasutades s\u00fcsteemi dm-verity poolt pakutavaid kr\u00fcptograafilisi r\u00e4si. Faili muutumise v\u00f5i valeandmise korral v\u00f5ib IPE operatsiooni blokeerida v\u00f5i registreerida terviklikkuse rikkumise. <\/p>\n
Pakutud mehhanismi saab rakendada sisseehitatud seadmete p\u00fcsivara jaoks, kus kogu tarkvara ja seadistused koguvad ja edastavad omanikud, n\u00e4iteks Microsofti andekeskustes kasutatakse IPE tulem\u00fc\u00fcride seadmetes. Erinevalt muudest terviklikkuse kontrollimise s\u00fcsteemidest, nagu IMA, eristub IPE s\u00f5ltumatuse t\u00f5ttu failis\u00fcsteemi metainformatsioonist - k\u00f5ik operatsioonide lubatavuse m\u00e4\u00e4ratlemiseks vajalikud omadused salvestatakse otse s\u00fcdamikku. <\/p>\n
Reeglid on m\u00e4\u00e4ratud tekstivormingus, kasutades v\u00f5tme-v\u00e4\u00e4rtuse komplekte. P\u00f5hilised v\u00f5tmed on 'op', mis m\u00e4\u00e4rab reegli rakendamise operatsiooni (n\u00e4iteks op=EXECUTE aktiveerub, kui proovite t\u00e4ita), ja 'action', mis m\u00e4\u00e4rab tegevuse (n\u00e4iteks 'action=DENY' blokeerimiseks). Reeglid seondatakse v\u00e4liste alams\u00fcsteemide pakutud omadustega, nagu dm-verity ja fs-verity. <\/p>\n
N\u00e4iteks reeglid op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY lubavad ainult k\u00e4ivitada verifitseeritud jaolt, keelavad k\u00e4ivitamise dm-verity allkirju mitteomavatelt jaotustelt ning valikuliselt keelavad faili, millel on r\u00e4sihashsumma '401fce\u20260dec146938', t\u00e4itmise. <\/p>\n
Algne k\u00e4ivitusreeglite komplekt m\u00e4\u00e4ratakse CONFIG_SECURITY_IPE_BOOT_POLICY seadistamise abil ja on osa tuumakoost, samas kui \u00fclej\u00e4\u00e4nud reeglid lisatakse vajadusel faili \/sys\/kernel\/security\/ipe\/new_policy kaudu. Edastatud reeglid kr\u00fcpteeritakse kasutades SYSTEM_TRUSTED_KEYRING'is m\u00e4\u00e4ratud sertifikaati. <\/p>\n
\u00dcldkasutusele m\u00f5eldud s\u00fcsteemides soovitatakse kasutada IPE-d koos Huawei arendatava DIGLIM mehhanismiga. DIGLIM on rakendatud eBPF abil ja v\u00f5imaldab h\u00f5lpsalt rakendada failide terviklikkuse kontrolli tavalistes distributsioonides ilma nende \u00fcmber t\u00f6\u00f6tlemiseta (on esitatud kui loodud Secure Booti variandina, mis t\u00f6\u00f6tab rakenduslikul tasemel). DIGLIMi olemus seisneb kontrollide k\u00e4put\u00e4ie kontrollsumma hoidmise ning metaandmete jaoks ja lubab juurdep\u00e4\u00e4su t\u00e4itmise failidele ainult juhul, kui selle kontrollsumma on k\u00e4put\u00e4ies. Kontrollsummade nimekirja v\u00f5ib saada RPM pakihaldurilt v\u00f5i kasutada kasutaja poolt k\u00e4sitsi genereeritud loendit. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"