Het bedrijf heeft een LSM-module met de implementatie van het IPE (Integrity Policy Enforcement) mechanisme ter bespreking aangeboden op de mailinglijst van Linux kernel ontwikkelaars. In tegenstelling tot de binding aan labels en paden, wordt in IPE de beslissing om een operatie toe te staan of te verbieden genomen op basis van constante eigenschappen van de systeemcomponent waarmee de operatie wordt uitgevoerd. De module stelt in staat om een algemene integriteitsbeleid voor het hele systeem vast te stellen, dat aangeeft welke operaties zijn toegestaan en op welke manier de authenticiteit van de componenten moet worden geverifi\u00eberd. <\/p>\n
IPE is gericht op het cre\u00ebren van volledig verifieerbare systemen, waarvan de integriteit wordt bevestigd vanaf de initi\u00eble bootloader en kernel tot de eind-executables, configuraties en geladen bestanden. Bijvoorbeeld, met behulp van IPE kan worden aangegeven welke uitvoerbare bestanden zijn toegestaan, rekening houdend met hun naleving van de referentieversie via cryptografische hashes geleverd door het systeem dm-verity. In het geval van wijziging of vervalsing van een bestand kan IPE de operatie blokkeren of journaliseren dat de integriteit is geschonden. <\/p>\n
Het voorgestelde mechanisme kan worden toegepast in firmware voor ingebedde apparaten, waarin alle software en instellingen speciaal worden verzameld en geleverd door de eigenaar. Bijvoorbeeld, in de datacenters van Microsoft wordt IPE gebruikt in apparatuur voor firewalls. In tegenstelling tot andere integriteitscontrolesystemen, zoals IMA, is IPE onafhankelijk van metadata in het bestandssysteem \u2014 alle eigenschappen die de geldigheid van operaties bepalen, worden rechtstreeks in de kernel opgeslagen. <\/p>\n
De regels worden in tekstvorm vastgesteld met behulp van sleutel-waarde paren. De basiskeys zijn 'op', die de operatie definieert waaraan de regel wordt toegepast (bijvoorbeeld, op=EXECUTE wordt geactiveerd bij een poging tot uitvoering), en 'action', die de actie definieert (bijvoorbeeld, 'action=DENY' voor blokkering). De regels zijn gekoppeld aan de eigenschappen die worden geleverd door externe subsystemen, zoals dm-verity en fs-verity. <\/p>\n
Bijvoorbeeld, de regels op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY zullen alleen de opstarten van een geverifieerde partitie toestaan, de uitvoering van bestanden van partities zonder handtekeningen in dm-verity blokkeren, en selectief de uitvoering van een bestand met de hash '401fce\u20260dec146938' verbieden. <\/p>\n
De initi\u00eble set van opstartregels wordt gedefinieerd met behulp van de instelling SECURITY_IPE_BOOT_POLICY en is opgenomen in de kernel-build, terwijl de overige regels indien nodig worden toegevoegd via het bestand \/sys\/kernel\/security\/ipe\/new_policy. De doorgegeven regels worden versleuteld met behulp van het certificaat dat is gedefinieerd in SYSTEM_TRUSTED_KEYRING. <\/p>\n
Op algemene systemen wordt aanbevolen om IPE te combineren met het DIGLIM-mechanisme, dat wordt ontwikkeld door Huawei. DIGLIM is ge\u00efmplementeerd met behulp van eBPF en maakt het gemakkelijk om integriteitscontrole op het niveau van afzonderlijke bestanden uit te voeren in reguliere distributies, zonder dat ze opnieuw moeten worden ontworpen (het wordt gepresenteerd als een variant van Secure Boot die op applicatieniveau werkt). De essentie van DIGLIM is het onderhouden van een pool van controle-hashes voor bestanden en metadata, en het bieden van toegang tot uitvoerbare bestanden alleen als de hash ervan aanwezig is in de pool. De lijst met hashes kan worden verkregen van de RPM-pakketbeheerder of handmatig door de gebruiker worden gegenereerd. \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u0432\u044b\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u043d\u0430 \u043e\u0431\u0441\u0443\u0436\u0434\u0435\u043d\u0438\u0435 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 \u044f\u0434\u0440\u0430 Linux \u043a\u043e\u0434 LSM-\u043c\u043e\u0434\u0443\u043b\u044f \u0441 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 IPE (Integrity Policy Enforcement), \u0440\u0430\u0441\u0448\u0438\u0440\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043c\u0430\u043d\u0434\u0430\u0442\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c. \u0412\u043c\u0435\u0441\u0442\u043e \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0438 \u043a \u043c\u0435\u0442\u043a\u0430\u043c \u0438 \u043f\u0443\u0442\u044f\u043c \u0432 IPE \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u043e \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0438 \u0438\u043b\u0438 \u0437\u0430\u043f\u0440\u0435\u0442\u0435 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u044b\u0445 \u0441\u0432\u043e\u0439\u0441\u0442\u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430 \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u044f. \u041c\u043e\u0434\u0443\u043b\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u043e\u0431\u0449\u0443\u044e \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0443 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-113980","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Microsoft heeft een IPE-toegangsbeheersysteem voor de Linux-kernel aangeboden | ProHoster","description":"Het bedrijf heeft een LSM-modulecode voor het IPE (Integrity Policy Enforcement) mechanisme ter discussie gesteld in de mailinglijst van de Linux kernel-ontwikkelaars, waarmee de bestaande mandatorische toegangscontrole systemen worden uitgebreid.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Microsoft \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0438\u043b \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c IPE \u0434\u043b\u044f \u044f\u0434\u0440\u0430 Linux | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u0432\u044b\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u043d\u0430 \u043e\u0431\u0441\u0443\u0436\u0434\u0435\u043d\u0438\u0435 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 \u044f\u0434\u0440\u0430 Linux \u043a\u043e\u0434 LSM-\u043c\u043e\u0434\u0443\u043b\u044f \u0441 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 IPE (Integrity Policy Enforcement), \u0440\u0430\u0441\u0448\u0438\u0440\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043c\u0430\u043d\u0434\u0430\u0442\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c.","og:url":"https:\/\/prohoster.info\/nl\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-02-29T16:25:59+00:00","article:modified_time":"2024-02-29T16:25:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/113980","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=113980"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/113980\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=113980"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=113980"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=113980"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"