A empresa apresentou \u00e0 discuss\u00e3o na lista de e-mails dos desenvolvedores do n\u00facleo do Linux o c\u00f3digo do m\u00f3dulo LSM com a implementa\u00e7\u00e3o do mecanismo IPE (Integrity Policy Enforcement), que amplia os sistemas existentes de controle de acesso mandat\u00f3rio. Em vez de estar vinculado a r\u00f3tulos e caminhos, no IPE a decis\u00e3o de permitir ou proibir uma opera\u00e7\u00e3o \u00e9 tomada com base em propriedades permanentes do componente do sistema com o qual a opera\u00e7\u00e3o \u00e9 realizada. O m\u00f3dulo permite definir uma pol\u00edtica geral de integridade para todo o sistema, indicando quais opera\u00e7\u00f5es s\u00e3o permitidas e de que maneira a autenticidade dos componentes deve ser verificada. <\/p>\n
O IPE visa criar sistemas totalmente verific\u00e1veis, cuja integridade \u00e9 confirmada desde o carregador inicial e o n\u00facleo at\u00e9 os arquivos execut\u00e1veis finais, configura\u00e7\u00f5es e arquivos carregados. Por exemplo, atrav\u00e9s do IPE \u00e9 poss\u00edvel indicar quais arquivos execut\u00e1veis podem ser iniciados, levando em conta a verifica\u00e7\u00e3o da conformidade com a vers\u00e3o de refer\u00eancia usando hashes criptogr\u00e1ficos fornecidos pelo sistema dm-verity. Em caso de altera\u00e7\u00e3o ou substitui\u00e7\u00e3o de um arquivo, o IPE pode bloquear a opera\u00e7\u00e3o ou registrar a viola\u00e7\u00e3o da integridade. <\/p>\n
O mecanismo proposto pode ser aplicado em firmwares para dispositivos incorporados, onde todo o software e as configura\u00e7\u00f5es s\u00e3o especificamente compilados e fornecidos pelo propriet\u00e1rio, como em data centers da Microsoft, onde o IPE \u00e9 utilizado em equipamentos de firewall. Diferentemente de outros sistemas de verifica\u00e7\u00e3o de integridade, como o IMA, o IPE se distingue pela independ\u00eancia de metadados no sistema de arquivos \u2014 todas as propriedades que determinam a admissibilidade das opera\u00e7\u00f5es s\u00e3o armazenadas diretamente no n\u00facleo. <\/p>\n
As regras s\u00e3o definidas em forma de texto usando conjuntos de chave-valor. As principais s\u00e3o a chave \u00abop\u00bb, que define a opera\u00e7\u00e3o \u00e0 qual a regra se aplica (por exemplo, op=EXECUTE acionar\u00e1 quando houver uma tentativa de execu\u00e7\u00e3o), e \u00abaction\u00bb, que define a a\u00e7\u00e3o (por exemplo, \u00abaction=DENY\u00bb para bloquear). As regras s\u00e3o vinculadas a propriedades fornecidas por subsistemas externos, como dm-verity e fs-verity. <\/p>\n
Por exemplo, as regras op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY permitir\u00e3o apenas a inicializa\u00e7\u00e3o a partir de uma parti\u00e7\u00e3o verificada, proibir\u00e3o a execu\u00e7\u00e3o de arquivos de parti\u00e7\u00f5es que n\u00e3o possuem assinaturas em dm-verity, al\u00e9m de proibir seletivamente a execu\u00e7\u00e3o de um arquivo com o hash \u00ab401fce\u20260dec146938\u00bb. <\/p>\n
O conjunto inicial de regras de inicializa\u00e7\u00e3o \u00e9 definido atrav\u00e9s da configura\u00e7\u00e3o SECURITY_IPE_BOOT_POLICY e faz parte da compila\u00e7\u00e3o do n\u00facleo, enquanto outras regras s\u00e3o adicionadas conforme necess\u00e1rio atrav\u00e9s do arquivo \/sys\/kernel\/security\/ipe\/new_policy. As regras transmitidas s\u00e3o criptografadas usando um certificado definido em SYSTEM_TRUSTED_KEYRING. <\/p>\n