{"id":113980,"date":"2024-02-29T18:25:59","date_gmt":"2024-02-29T16:25:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux"},"modified":"2024-02-29T18:25:59","modified_gmt":"2024-02-29T16:25:59","slug":"microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","title":{"rendered":"Microsoft ha proposto un sistema di gestione degli accessi IPE per il kernel Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'azienda ha presentato in discussione nella mailing list degli sviluppatori del kernel Linux il codice del modulo LSM con l'implementazione del meccanismo IPE (Integrity Policy Enforcement), che estende i sistemi esistenti di gestione degli accessi obbligatoria. Invece di essere legato a etichette e percorsi, in IPE la decisione di consentire o vietare un'operazione viene presa sulla base delle propriet\u00e0 permanenti del componente di sistema con cui viene eseguita l'operazione. Il modulo consente di definire una politica generale di integrit\u00e0 per l'intero sistema, indicando quali operazioni sono ammissibili e come verificare l'autenticit\u00e0 dei componenti. <\/p>\n
IPE mira a creare sistemi completamente verificabili, la cui integrit\u00e0 \u00e8 confermata dal boot loader iniziale e dal kernel fino ai file eseguibili finali, alle configurazioni e ai file caricati. Ad esempio, tramite IPE \u00e8 possibile specificare quali file eseguibili possono essere eseguiti, tenendo conto della verifica della loro corrispondenza con la versione di riferimento tramite gli hash crittografici forniti dal sistema dm-verity. In caso di modifica o sostituzione di un file, IPE pu\u00f2 bloccare l'operazione o registrare il fatto della violazione dell'integrit\u00e0. <\/p>\n
Il meccanismo proposto pu\u00f2 essere applicato nei firmware per dispositivi embedded, dove tutto il software e le impostazioni vengono appositamente raccolti e forniti dal proprietario, ad esempio nei data center Microsoft IPE utilizzato nell'hardware per i firewall. A differenza di altri sistemi di verifica dell'integrit\u00e0, come IMA, l'IPE si distingue per l'indipendenza dai metadati del FS \u2014 tutte le propriet\u00e0 che definiscono la validit\u00e0 delle operazioni sono memorizzate direttamente nel kernel. <\/p>\n
Le regole sono definite in forma testuale utilizzando set di chiave-valore. I principali sono la chiave \u00abop\u00bb, che definisce l'operazione alla quale si applica la regola (ad esempio, op=EXECUTE si attiva al tentativo di esecuzione), e \u00abaction\u00bb, che determina l'azione (ad esempio, \u00abaction=DENY\u00bb per il blocco). Le regole sono associate alle propriet\u00e0 fornite da sottosistemi esterni, come dm-verity e fs-verity. <\/p>\n
Ad esempio, le regole op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY consentiranno solo l'avvio da una partizione verificata, vietando l'esecuzione di file da partizioni prive di firme in dm-verity e, inoltre, vietando selettivamente l'esecuzione di file con l'hash \u00ab401fce\u20260dec146938\u00bb. <\/p>\n
L'insieme iniziale delle regole di avvio \u00e8 definito tramite la configurazione SECURITY_IPE_BOOT_POLICY ed \u00e8 incluso nella compilazione del kernel, mentre le ulteriori regole vengono aggiunte secondo necessit\u00e0 tramite il file \/sys\/kernel\/security\/ipe\/new_policy. Le regole trasmesse sono crittografate utilizzando un certificato specificato nel SYSTEM_TRUSTED_KEYRING. <\/p>\n
Nei sistemi di uso generale, si suggerisce di applicare IPE in combinazione con il meccanismo DIGLIM, sviluppato da Huawei. DIGLIM \u00e8 implementato tramite eBPF e consente di realizzare facilmente il controllo dell'integrit\u00e0 a livello di singoli file nelle distribuzioni standard, senza richiedere una loro riprogettazione (presentato come una variante di Secure Boot operante a livello applicativo). Il concetto di DIGLIM consiste nel mantenere un pool di hash di controllo per file e metadati, e fornire accesso a file eseguibili solo se il loro hash \u00e8 presente nel pool. L'elenco degli hash pu\u00f2 essere ottenuto dal gestore pacchetti RPM o generato manualmente dall'utente. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"