{"id":113980,"date":"2024-02-29T18:25:59","date_gmt":"2024-02-29T16:25:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux"},"modified":"2024-02-29T18:25:59","modified_gmt":"2024-02-29T16:25:59","slug":"microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","title":{"rendered":"Microsoft ha proposto un sistema di gestione dell'accesso IPE per il kernel Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'azienda ha presentato alla mailing list degli sviluppatori del kernel Linux il codice del modulo LSM che implementa il meccanismo IPE (Integrity Policy Enforcement), il quale espande i sistemi esistenti di controllo degli accessi basati su mandato. Invece di essere legato a etichette e percorsi, in IPE la decisione di autorizzare o negare un'operazione viene presa sulla base delle propriet\u00e0 permanenti del componente di sistema con cui viene eseguita l'operazione. Il modulo consente di definire una politica generale di integrit\u00e0 per l'intero sistema, indicando quali operazioni sono consentite e in che modo dovrebbe essere verificata l'autenticit\u00e0 dei componenti. <\/p>\n
IPE mira a creare sistemi completamente verificabili, la cui integrit\u00e0 \u00e8 confermata dal bootloader iniziale e dal kernel fino ai file eseguibili finali, alle configurazioni e ai file caricati. Ad esempio, grazie a IPE \u00e8 possibile specificare quali file eseguibili possono essere eseguiti, tenendo conto della verifica della loro corrispondenza con la versione di riferimento utilizzando hash crittografici forniti dal sistema dm-verity. In caso di modifica o sostituzione di un file, IPE pu\u00f2 bloccare l'operazione o registrare il fatto di una violazione dell'integrit\u00e0. <\/p>\n
Il meccanismo proposto pu\u00f2 essere applicato nei firmware per dispositivi embedded, in cui tutto il software e le impostazioni sono appositamente assemblati e forniti dal proprietario, ad esempio, nei data center Microsoft IPE utilizzato nell'hardware per firewall. A differenza di altri sistemi di verifica dell'integrit\u00e0, come IMA, IPE si distingue per l'indipendenza dai metadati nel FS \u2014 tutte le propriet\u00e0 che definiscono la validit\u00e0 delle operazioni sono memorizzate direttamente nel kernel. <\/p>\n
Le regole sono definite in forma testuale utilizzando set di coppie chiave-valore. Le chiavi di base includono 'op', che determina l'operazione a cui si applica la regola (ad esempio, op=EXECUTE verr\u00e0 attivata in caso di tentativo di esecuzione), e 'action', che definisce l'azione (ad esempio, 'action=DENY' per bloccare). Le regole sono legate a propriet\u00e0 fornite da sottosistemi esterni, come dm-verity e fs-verity. <\/p>\n
Ad esempio, le regole op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY consentiranno solo l'avvio da una partizione verificata, impediranno l'esecuzione di file da partizioni senza firme in dm-verity e, selettivamente, bloccheranno l'esecuzione di un file con l'hash '401fce\u20260dec146938'. <\/p>\n
L'insieme iniziale delle regole di boot \u00e8 definito tramite la configurazione SECURITY_IPE_BOOT_POLICY e viene incluso nella build del kernel, mentre le ulteriori regole possono essere aggiunte secondo necessit\u00e0 attraverso il file \/sys\/kernel\/security\/ipe\/new_policy. Le regole trasmesse sono criptate utilizzando un certificato definito in SYSTEM_TRUSTED_KEYRING. <\/p>\n
Nei sistemi di uso generale, si propone di applicare IPE in combinazione con il meccanismo DIGLIM, sviluppato da Huawei. DIGLIM \u00e8 implementato utilizzando eBPF e consente di realizzare facilmente un controllo dell'integrit\u00e0 a livello di file singoli in normali distribuzioni, senza richiederne una riqualificazione (presentato come un'alternativa a Secure Boot, operante a livello applicativo). L'essenza di DIGLIM \u00e8 mantenere un pool di hash di verifica per file e metadati, e fornire accesso ai file eseguibili solo se il loro hash \u00e8 presente nel pool. L'elenco degli hash pu\u00f2 essere ottenuto dal gestore di pacchetti RPM o generato manualmente dall'utente. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"