Firma przedstawi\u0142a do dyskusji na li\u015bcie mailingowej programist\u00f3w j\u0105dra Linux kod modu\u0142u LSM z implementacj\u0105 mechanizmu IPE (Integrity Policy Enforcement), rozszerzaj\u0105cego istniej\u0105ce systemy zarz\u0105dzania dost\u0119pem na podstawie uprawnie\u0144. Zamiast powi\u0105zania z etykietami i \u015bcie\u017ckami, w IPE decyzja o zezwoleniu lub zakazie operacji podejmowana jest na podstawie sta\u0142ych w\u0142a\u015bciwo\u015bci komponentu systemowego, z kt\u00f3rym operacja jest wykonywana. Modu\u0142 umo\u017cliwia okre\u015blenie og\u00f3lnej polityki zapewnienia integralno\u015bci dla ca\u0142ego systemu, wskazuj\u0105c, jakie operacje s\u0105 dozwolone i w jaki spos\u00f3b nale\u017cy weryfikowa\u0107 autentyczno\u015b\u0107 komponent\u00f3w. <\/p>\n
IPE ma na celu stworzenie w pe\u0142ni weryfikowalnych system\u00f3w, kt\u00f3rych integralno\u015b\u0107 jest potwierdzona od pocz\u0105tkowego bootloadera i j\u0105dra do ko\u0144cowych plik\u00f3w wykonywalnych, konfiguracji i plik\u00f3w \u0142aduj\u0105cych. Na przyk\u0142ad, za pomoc\u0105 IPE mo\u017cna wskaza\u0107, kt\u00f3re pliki wykonywalne mo\u017cna uruchamia\u0107, z uwzgl\u0119dnieniem weryfikacji ich zgodno\u015bci z wzorcow\u0105 wersj\u0105, przy u\u017cyciu kryptograficznych skr\u00f3t\u00f3w dostarczanych przez system dm-verity. W przypadku zmiany lub podmiany pliku, IPE mo\u017ce zablokowa\u0107 operacj\u0119 lub zarejestrowa\u0107 fakt naruszenia integralno\u015bci. <\/p>\n
Proponowany mechanizm mo\u017ce by\u0107 stosowany w oprogramowaniu wbudowanym dla urz\u0105dze\u0144, w kt\u00f3rych ca\u0142e oprogramowanie i ustawienia s\u0105 specjalnie zbierane i udost\u0119pniane przez w\u0142a\u015bciciela. Na przyk\u0142ad, w centrze danych Microsoft IPE u\u017cywa si\u0119 go w sprz\u0119cie dla zap\u00f3r sieciowych. W por\u00f3wnaniu do innych system\u00f3w weryfikacji integralno\u015bci, takich jak IMA, IPE odznacza si\u0119 niezale\u017cno\u015bci\u0105 od metadanych w systemie plik\u00f3w \u2014 wszystkie w\u0142a\u015bciwo\u015bci definiuj\u0105ce dopuszczalno\u015b\u0107 operacji s\u0105 przechowywane bezpo\u015brednio w j\u0105drze. <\/p>\n
Regu\u0142y s\u0105 definiowane w formie tekstowej z wykorzystaniem zestaw\u00f3w klucz-warto\u015b\u0107. Podstawowe klucze to \u201eop\u201d, kt\u00f3ry okre\u015bla operacj\u0119, do kt\u00f3rej stosowana jest regu\u0142a (na przyk\u0142ad, op=EXECUTE uruchomi si\u0119 przy pr\u00f3bie wykonania), oraz \u201eaction\u201d, kt\u00f3ry definiuje dzia\u0142anie (na przyk\u0142ad \u201eaction=DENY\u201d w celu zablokowania). Regu\u0142y s\u0105 powi\u0105zane z w\u0142a\u015bciwo\u015bciami dostarczanymi przez zewn\u0119trzne podsystemy, takie jak dm-verity i fs-verity. <\/p>\n
Na przyk\u0142ad: regu\u0142y op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY zezwol\u0105 jedynie na uruchamianie z zweryfikowanej partycji, zablokuj\u0105 uruchamianie plik\u00f3w z partycji, kt\u00f3re nie maj\u0105 podpis\u00f3w w dm-verity, a tak\u017ce selektywnie zablokuj\u0105 wykonanie pliku z hashem \u201e401fce\u20260dec146938\u201d. <\/p>\n
Pocz\u0105tkowy zestaw zasad rozruchowych jest okre\u015blany za pomoc\u0105 ustawienia SECURITY_IPE_BOOT_POLICY i jest zawierany w sk\u0142adzie j\u0105dra, a pozosta\u0142e zasady s\u0105 dodawane w razie potrzeby przez plik \/sys\/kernel\/security\/ipe\/new_policy. Przekazywane zasady s\u0105 szyfrowane przy u\u017cyciu certyfikatu okre\u015blonego w SYSTEM_TRUSTED_KEYRING. <\/p>\n
Na systemach og\u00f3lnego przeznaczenia zaleca si\u0119 stosowanie IPE w po\u0142\u0105czeniu z mechanizmem DIGLIM, rozwijanym przez firm\u0119 Huawei. DIGLIM jest realizowany za pomoc\u0105 eBPF i pozwala \u0142atwo wdro\u017cy\u0107 kontrol\u0119 integralno\u015bci na poziomie pojedynczych plik\u00f3w w standardowych dystrybucjach, nie wymagaj\u0105c ich przer\u00f3bki (przedstawiane jako opcja Secure Boot, dzia\u0142aj\u0105ca na poziomie aplikacji). Istota DIGLIM polega na utrzymywaniu puli weryfikacyjnych hashy dla plik\u00f3w i metadanych oraz udost\u0119pnianiu dost\u0119pu do plik\u00f3w wykonywalnych tylko wtedy, gdy ich hash znajduje si\u0119 w puli. Lista hashy mo\u017ce by\u0107 uzyskana od mened\u017cera pakiet\u00f3w RPM lub r\u0119cznie wygenerowana przez u\u017cytkownika. \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u0432\u044b\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u043d\u0430 \u043e\u0431\u0441\u0443\u0436\u0434\u0435\u043d\u0438\u0435 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 \u044f\u0434\u0440\u0430 Linux \u043a\u043e\u0434 LSM-\u043c\u043e\u0434\u0443\u043b\u044f \u0441 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 IPE (Integrity Policy Enforcement), \u0440\u0430\u0441\u0448\u0438\u0440\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043c\u0430\u043d\u0434\u0430\u0442\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c. \u0412\u043c\u0435\u0441\u0442\u043e \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0438 \u043a \u043c\u0435\u0442\u043a\u0430\u043c \u0438 \u043f\u0443\u0442\u044f\u043c \u0432 IPE \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u043e \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0438 \u0438\u043b\u0438 \u0437\u0430\u043f\u0440\u0435\u0442\u0435 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u044b\u0445 \u0441\u0432\u043e\u0439\u0441\u0442\u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430 \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u044f. \u041c\u043e\u0434\u0443\u043b\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u043e\u0431\u0449\u0443\u044e \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0443 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-113980","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Microsoft zaproponowa\u0142 system zarz\u0105dzania dost\u0119pem IPE dla j\u0105dra Linux | ProHoster","description":"Firma zaprezentowa\u0142a do dyskusji na li\u015bcie mailingowej deweloper\u00f3w j\u0105dra Linux kod modu\u0142u LSM z realizacj\u0105 mechanizmu IPE (Integrity Policy Enforcement), rozszerzaj\u0105cego istniej\u0105ce systemy mandatowego zarz\u0105dzania dost\u0119pem.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Microsoft \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0438\u043b \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c IPE \u0434\u043b\u044f \u044f\u0434\u0440\u0430 Linux | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u0432\u044b\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u043d\u0430 \u043e\u0431\u0441\u0443\u0436\u0434\u0435\u043d\u0438\u0435 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 \u044f\u0434\u0440\u0430 Linux \u043a\u043e\u0434 LSM-\u043c\u043e\u0434\u0443\u043b\u044f \u0441 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 IPE (Integrity Policy Enforcement), \u0440\u0430\u0441\u0448\u0438\u0440\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043c\u0430\u043d\u0434\u0430\u0442\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-02-29T16:25:59+00:00","article:modified_time":"2024-02-29T16:25:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/113980","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=113980"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/113980\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=113980"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=113980"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=113980"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"