L'entreprise a soumis \u00e0 discussion sur la liste de diffusion des d\u00e9veloppeurs du noyau Linux le code d'un module LSM impl\u00e9mentant le m\u00e9canisme IPE (Integrity Policy Enforcement), qui \u00e9tend les syst\u00e8mes de contr\u00f4le d'acc\u00e8s obligatoire existants. Au lieu d'\u00eatre li\u00e9 aux labels et aux chemins, dans IPE, la d\u00e9cision de permettre ou d'interdire une op\u00e9ration est prise sur la base des propri\u00e9t\u00e9s permanentes du composant syst\u00e8me avec lequel l'op\u00e9ration est effectu\u00e9e. Le module permet de d\u00e9finir une politique g\u00e9n\u00e9rale de protection de l'int\u00e9grit\u00e9 pour l'ensemble du syst\u00e8me, sp\u00e9cifiant quelles op\u00e9rations sont autoris\u00e9es et comment v\u00e9rifier l'authenticit\u00e9 des composants. <\/p>\n
IPE vise \u00e0 cr\u00e9er des syst\u00e8mes enti\u00e8rement v\u00e9rifiables, dont l'int\u00e9grit\u00e9 est confirm\u00e9e depuis le chargeur initial et le noyau jusqu'aux fichiers ex\u00e9cutables finaux, \u00e0 la configuration et aux fichiers charg\u00e9s. Par exemple, avec IPE, il est possible de sp\u00e9cifier quels fichiers ex\u00e9cutables peuvent \u00eatre lanc\u00e9s, en v\u00e9rifiant leur conformit\u00e9 avec une version de r\u00e9f\u00e9rence \u00e0 l'aide de hachages cryptographiques fournis par le syst\u00e8me dm-verity. En cas de modification ou de substitution d'un fichier, IPE peut bloquer l'op\u00e9ration ou consigner le fait de la violation d'int\u00e9grit\u00e9. <\/p>\n
Le m\u00e9canisme propos\u00e9 peut \u00eatre appliqu\u00e9 dans les firmwares pour les appareils embarqu\u00e9s, o\u00f9 tout le logiciel et les param\u00e8tres sont sp\u00e9cialement compil\u00e9s et fournis par le propri\u00e9taire, par exemple, dans les centres de donn\u00e9es de Microsoft, l'IPE est utilis\u00e9 dans le mat\u00e9riel des pare-feux. Contrairement \u00e0 d'autres syst\u00e8mes de v\u00e9rification d'int\u00e9grit\u00e9, tels que l'IMA, l'IPE se distingue par son ind\u00e9pendance par rapport aux m\u00e9tadonn\u00e9es dans le FS \u2014 toutes les propri\u00e9t\u00e9s qui d\u00e9finissent la validit\u00e9 des op\u00e9rations sont stock\u00e9es directement dans le noyau. <\/p>\n
Les r\u00e8gles sont d\u00e9finies sous forme de texte \u00e0 l'aide de paires cl\u00e9-valeur. Les cl\u00e9s de base sont \u00ab op \u00bb, qui d\u00e9finit l'op\u00e9ration \u00e0 laquelle la r\u00e8gle s'applique (par exemple, op=EXECUTE se d\u00e9clenchera lors d'une tentative d'ex\u00e9cution), et \u00ab action \u00bb, qui d\u00e9finit l'action (par exemple, \u00ab action=DENY \u00bb pour bloquer). Les r\u00e8gles sont li\u00e9es \u00e0 des propri\u00e9t\u00e9s fournies par des sous-syst\u00e8mes externes, tels que dm-verity et fs-verity. <\/p>\n
Par exemple, les r\u00e8gles op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY permettront uniquement le d\u00e9marrage \u00e0 partir d'une partition v\u00e9rifi\u00e9e, emp\u00eacheront l'ex\u00e9cution de fichiers provenant de partitions sans signatures dans dm-verity, et interdiront s\u00e9lectivement l'ex\u00e9cution d'un fichier avec le hachage \u00ab 401fce\u20260dec146938 \u00bb. <\/p>\n
L'ensemble initial des r\u00e8gles de d\u00e9marrage est d\u00e9fini \u00e0 l'aide de la configuration SECURITY_IPE_BOOT_POLICY et est inclus dans la compilation du noyau, tandis que les autres r\u00e8gles sont ajout\u00e9es au besoin via le fichier \/sys\/kernel\/security\/ipe\/new_policy. Les r\u00e8gles transmises sont chiffr\u00e9es \u00e0 l'aide du certificat d\u00e9fini dans SYSTEM_TRUSTED_KEYRING. <\/p>\n
Sur les syst\u00e8mes \u00e0 usage g\u00e9n\u00e9ral, il est recommand\u00e9 d'appliquer IPE en conjonction avec le m\u00e9canisme DIGLIM, d\u00e9velopp\u00e9 par Huawei. DIGLIM est mis en \u0153uvre via eBPF et permet de r\u00e9aliser facilement un contr\u00f4le d'int\u00e9grit\u00e9 au niveau des fichiers individuels dans des distributions ordinaires, sans n\u00e9cessiter leur retravail (pr\u00e9sent\u00e9 comme une variante de Secure Boot fonctionnant au niveau de l'application). L'id\u00e9e de DIGLIM est de maintenir un pool de hachages de v\u00e9rification pour les fichiers et les m\u00e9tadonn\u00e9es, et de fournir l'acc\u00e8s aux fichiers ex\u00e9cutables uniquement si son hachage est pr\u00e9sent dans le pool. La liste des hachages peut \u00eatre obtenue du gestionnaire de paquets RPM ou g\u00e9n\u00e9r\u00e9e manuellement par l'utilisateur. \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u0432\u044b\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u043d\u0430 \u043e\u0431\u0441\u0443\u0436\u0434\u0435\u043d\u0438\u0435 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 \u044f\u0434\u0440\u0430 Linux \u043a\u043e\u0434 LSM-\u043c\u043e\u0434\u0443\u043b\u044f \u0441 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 IPE (Integrity Policy Enforcement), \u0440\u0430\u0441\u0448\u0438\u0440\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043c\u0430\u043d\u0434\u0430\u0442\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c. \u0412\u043c\u0435\u0441\u0442\u043e \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0438 \u043a \u043c\u0435\u0442\u043a\u0430\u043c \u0438 \u043f\u0443\u0442\u044f\u043c \u0432 IPE \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u043e \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0438 \u0438\u043b\u0438 \u0437\u0430\u043f\u0440\u0435\u0442\u0435 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u044b\u0445 \u0441\u0432\u043e\u0439\u0441\u0442\u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430 \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u044f. \u041c\u043e\u0434\u0443\u043b\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u043e\u0431\u0449\u0443\u044e \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0443 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-113980","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Microsoft a propos\u00e9 un syst\u00e8me de gestion d'acc\u00e8s IPE pour le noyau Linux | ProHoster","description":"La soci\u00e9t\u00e9 a propos\u00e9 au d\u00e9bat dans la liste de diffusion des d\u00e9veloppeurs du noyau Linux le code du module LSM avec la mise en \u0153uvre du m\u00e9canisme IPE (Integrity Policy Enforcement), qui \u00e9tend les syst\u00e8mes existants de gestion d'acc\u00e8s mandat\u00e9e.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Microsoft \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0438\u043b \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c IPE \u0434\u043b\u044f \u044f\u0434\u0440\u0430 Linux | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u0432\u044b\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u043d\u0430 \u043e\u0431\u0441\u0443\u0436\u0434\u0435\u043d\u0438\u0435 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 \u044f\u0434\u0440\u0430 Linux \u043a\u043e\u0434 LSM-\u043c\u043e\u0434\u0443\u043b\u044f \u0441 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 IPE (Integrity Policy Enforcement), \u0440\u0430\u0441\u0448\u0438\u0440\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043c\u0430\u043d\u0434\u0430\u0442\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-02-29T16:25:59+00:00","article:modified_time":"2024-02-29T16:25:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/113980","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=113980"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/113980\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=113980"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=113980"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=113980"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"