{"id":113980,"date":"2024-02-29T18:25:59","date_gmt":"2024-02-29T16:25:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux"},"modified":"2024-02-29T18:25:59","modified_gmt":"2024-02-29T16:25:59","slug":"microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","title":{"rendered":"Microsoft je ponudio sustav upravljanja pristupom IPE za Linux kernel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Tvrtka je na raspravu na mailing listi za Linux kernel developere objavila kod LSM (Linux Security Module) modula s implementacijom mehanizma IPE (Integrity Policy Enforcement) koji pro\u0161iruje postoje\u0107e sustave mandatnog upravljanja pristupom. Umjesto vezivanja na oznake i putanje, odluka o dopu\u0161tenju ili zabrani operacije donosi se na temelju stalnih svojstava sustavnog komponenta s kojim se operacija izvr\u0161ava. Modul omogu\u0107uje definiranje op\u0107e politike osiguranja cjelovitosti za cijeli sustav, koja ukazuje koje su operacije dopu\u0161tene i na koji na\u010din treba verificirati autenti\u010dnost komponenti. <\/p>\n
IPE je usmjeren na stvaranje potpuno verificiranih sustava, \u010dija je cjelovitost potvr\u0111ena od po\u010detnog bootloadera i jezgre do kona\u010dnih izvr\u0161nih datoteka, konfiguracija i u\u010ditanih datoteka. Na primjer, pomo\u0107u IPE-a mo\u017ee se odrediti koje izvr\u0161ne datoteke je dopu\u0161teno pokretati uz provjeru njihove uskla\u0111enosti s referentnom verzijom pomo\u0107u kriptografskih hash-a, koji pru\u017ea sustav dm-verity. U slu\u010daju promjene ili zamjene datoteke, IPE mo\u017ee blokirati operaciju ili zabilje\u017eiti \u010dinjenicu o kr\u0161enju cjelovitosti. <\/p>\n
Predlo\u017eeni mehanizam mo\u017ee se primjenjivati u firmware-ima za ugra\u0111ene ure\u0111aje, gdje se sav softver i postavke posebno sastavljaju i osiguravaju od strane vlasnika, na primjer, u Microsoftovim podatkovnim centrima IPE se koristi u opremi za vatrozid. Za razliku od drugih sustava za provjeru cjelovitosti, poput IMA, IPE se razlikuje neovisno\u0161\u0107u od metapodataka u FS-u \u2014 sve osobine koje definiraju dopu\u0161tenost operacija pohranjuju se izravno u jezgri. <\/p>\n
Pravila se definiraju u tekstualnom obliku koriste\u0107i skupove klju\u010d-vrijednost. Osnovni klju\u010d je \u201eop\u201c, koji definira operaciju na koju se pravilo primjenjuje (na primjer, op=EXECUTE aktivirat \u0107e se prilikom poku\u0161aja izvr\u0161avanja), i \u201eaction\u201c, koji definira radnju (na primjer, \u201eaction=DENY\u201c za blokiranje). Pravila su povezana s osobinama koje osiguravaju vanjski podsustavi, kao \u0161to su dm-verity i fs-verity. <\/p>\n
Na primjer, pravila op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY dozvoljavaju samo podizanje sustava s verificirane particije, zabranjuju pokretanje datoteka s particija koje nemaju potpise u dm-verity, kao i selektivno zabranjuju izvr\u0161avanje datoteke s hash-om \u201e401fce\u20260dec146938\u201c. <\/p>\n
Po\u010detni set pravila za pokretanje definira se putem postavke SECURITY_IPE_BOOT_POLICY i uklju\u010duje se u sastav kernel izrade, dok se ostala pravila dodaju po potrebi kroz datoteku \/sys\/kernel\/security\/ipe\/new_policy. Proslije\u0111ena pravila su \u0161ifrirana kori\u0161tenjem certifikata definiranog u SYSTEM_TRUSTED_KEYRING. <\/p>\n
Na sustavima op\u0107e namjene preporu\u010duje se primjena IPE-a zajedno s mehanizmom DIGLIM, koji razvija kompanija Huawei. DIGLIM je implementiran putem eBPF-a i omogu\u0107ava jednostavno provo\u0111enje nadzora integriteta na razini pojedina\u010dnih datoteka u obi\u010dnim distribucijama, bez potrebe za njihovom preradom (predstavlja se kao opcija Secure Boot-a, koja radi na razini aplikacija). Bit DIGLIM-a le\u017ei u odr\u017eavanju skupa provjeravaju\u0107ih he\u0161eva za datoteke i metapodatke, te omogu\u0107avanju pristupa izvr\u0161nim datotekama samo ako je njihov he\u0161 prisutan u skupu. Popis he\u0161eva mo\u017ee biti dobiven od RPM upravitelja paketa ili ru\u010dno generiran od strane korisnika. \n Izvor: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"