A vállalat a Linux kernel fejlesztői levelezőlistáján megvitatásra bocsátotta az IPE (Integrity Policy Enforcement) mechanizmus megvalósításával kapcsolatos LSM-modul kódját, amely kiterjeszti a meglévő kötelező hozzáférés-vezérlési rendszereket. Az IPE esetében a művelet engedélyezéséről vagy megakadályozásáról a végrehajtott művelethez kapcsolódó rendszerkomponens állandó tulajdonságai alapján döntenek, nem pedig címkék és elérési útvonaleg alapján. A modul lehetővé teszi, hogy egy átfogó integritási irányelveket határozzunk meg az egész rendszer számára, jelölve, hogy mely műveletek megengedettek és hogyan kell ellenőrizni a komponensek hitelességét.
Az IPE célja teljesen verifikálható rendszerek létrehozása, amelyek integritását az induló betöltőtől és a kerneltől kezdve az utolsó végrehajtható fájlokig, konfigurációkig és betöltött fájlokig megerősítik. Például az IPE segítségével megadható, hogy mely végrehajtható fájlok indítása engedélyezett, figyelembe véve azok megfelelőségét a referenciaverzióval kapcsolatban, a dm-verity rendszer által megadott kriptográfiai hash-ek segítségével. Fájl módosítása vagy cseréje esetén az IPE blokkolhatja a műveletet vagy naplózhatja a sérülés tényét.
A javasolt mechanizmus beágyazott eszközök firmware-jében alkalmazható, ahol minden szoftver és beállítás kifejezetten a tulajdonos által van összegyűjtve és biztosítva. Például a Microsoft adatközpontjaiban az IPE az átvátó tűzfalak felszerelésében használatos. Más integritás-ellenőrző rendszerektől, mint például az IMA, az IPE abban különbözik, hogy független a fájlrendszer metaadataitól – minden olyan tulajdonságot, amely a műveletek engedélyezhetőségét meghatározza, közvetlenül a kernelben tárolnak.
A szabályok szöveges formában kerülnek megadásra kulcs-érték párok használatával. Az alapvető egy kulcs az „op”, amely meghatározza a műveletet, amelyre a szabály vonatkozik (például az op=EXECUTE hatással lesz a végrehajtási kísérletekre), és az „action”, amely a műveletet határozza meg (például „action=DENY” a blokkolásra). A szabályok összekapcsolódnak a külső alrendszerek, mint például a dm-verity és az fs-verity által biztosított tulajdonságokkal.
Például a szabályok op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce…0dec146938 action=DENY csak a hitelesített partícióról való indítást engedélyezik, megakadályozva a dm-verity aláírás nélküli partíciókról származó fájlok futtatását, valamint esetlegesen megtiltja egy "401fce…0dec146938" hashű fájl végrehajtását.
A kezdeti indítási szabályok készletét a SECURITY_IPE_BOOT_POLICY beállítás használatával határozzák meg, és a kernel összesítési részét képezik, míg a többi szabály szükség szerint a \/sys\/kernel\/security\/ipe\/new_policy fájlon keresztül kerül hozzáadásra. Az átadott szabályok titkosítva vannak a SYSTEM_TRUSTED_KEYRING-ben meghatározott tanúsítvány segítségével.
Általános célú rendszereken ajánlott az IPE alkalmazása a Huawei által fejlesztett DIGLIM mechanizmussal kombinálva. A DIGLIM eBPF segítségével valósul meg, és egyszerűsíti az integritás ellenőrzését egyes fájlok szintjén a hagyományos disztribúciókban anélkül, hogy át kellene dolgozni őket (mint alternatíva a Secure Boot-ra, működve az alkalmazási szinten). A DIGLIM lényege a fájlok és metadaták ellenőrző hash-készletének fenntartása és a végrehajtható fájlokhoz való hozzáférés biztosítása csak akkor, ha annak hash-e megtalálható a készletben. A hash-ek listája a RPM csomagkezelőtől kapható, vagy a felhasználó manuálisan is generálhatja.
Forrás: opennet.ru
