{"id":113980,"date":"2024-02-29T18:25:59","date_gmt":"2024-02-29T16:25:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux"},"modified":"2024-02-29T18:25:59","modified_gmt":"2024-02-29T16:25:59","slug":"microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","title":{"rendered":"Microsoft je predlagal sistem za upravljanje dostopa IPE za jedro Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Podjetje je predlo\u017eilo razpravo na mailing listi razvijalcev jedra Linux o kodi LSM-modula z implementacijo mehanizma IPE (Integrity Policy Enforcement), ki \u0161iri obstoje\u010de sisteme mandatnega upravljanja dostopa. Namesto vezanja na oznake in poti v IPE odlo\u010ditev o dovoljenju ali prepovedi operacije temelji na stalnih lastnostih sistemskega komponente, s katerim se izvaja operacija. Modul omogo\u010da dolo\u010ditev skupne politike zagotavljanja celovitosti za celoten sistem, ki dolo\u010da, katere operacije so dovoljene in kako je treba preveriti avtenti\u010dnost komponent. <\/p>\n
IPE je usmerjen k ustvarjanju popolnoma preverljivih sistemov, katerih celovitost je potrjena od za\u010detnega zaganjalnika in jedra do kon\u010dnih izvr\u0161ljivih datotek, konfiguracij in nalagalnih datotek. Na primer, s pomo\u010djo IPE je mogo\u010de dolo\u010diti, katere izvr\u0161ljive datoteke je dovoljeno zagnati ob upo\u0161tevanju preverjanja njihove skladnosti z referen\u010dno razli\u010dico s pomo\u010djo kriptografskih hash-ev, ki jih zagotavlja sistem dm-verity. V primeru spremembe ali nadomestitve datoteke lahko IPE blokira operacijo ali zabele\u017ei dejstvo kr\u0161itve celovitosti. <\/p>\n
Predlagani mehanizem se lahko uporablja v programski opremi za vgrajene naprave, kjer je vsa programska oprema in nastavitve posebej sestavljena in zagotovljena s strani lastnika. Na primer, v podatkovnih centrih Microsofta se IPE uporablja v opremi za po\u017earne zidove. Za druge sisteme preverjanja celovitosti, kot je IMA, se IPE razlikuje po neodvisnosti od metapodatkov v FS \u2014 vse lastnosti, ki dolo\u010dajo dovoljenost operacij, so shranjene neposredno v jedru. <\/p>\n
Pravila so dolo\u010dena v besedilni obliki z uporabo nizov klju\u010d-vrednost. Osnovna klju\u010dna vrednost je \u201eop\u201c, ki dolo\u010da operacijo, na katero se pravilo nana\u0161a (na primer, op=EXECUTE se spro\u017ei ob poskusu izvajanja), in \u201eaction\u201c, ki dolo\u010da dejanje (na primer, \u201eaction=DENY\u201c za blokado). Pravila so povezana z lastnostmi, ki jih zagotavljajo zunanje podkomponente, kot sta dm-verity in fs-verity. <\/p>\n
Na primer, pravila op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY dovolijo le zagon iz overjenega razdelka, prepovedujejo zagon datotek iz razdelkov, ki nimajo podpisov v dm-verity, ter selektivno prepovedujejo izvajanje datoteke s hash-om \u201e401fce\u20260dec146938\u201c. <\/p>\n
Za\u010detni nabor pravil za nalaganje je dolo\u010den z nastavitvijo SECURITY_IPE_BOOT_POLICY in je vklju\u010den v sestavo jedra, ostala pravila pa se dodajajo po potrebi prek datoteke \/sys\/kernel\/security\/ipe\/new_policy. Posredovana pravila so \u0161ifrirana z uporabo certifikata, dolo\u010denega v SYSTEM_TRUSTED_KEYRING. <\/p>\n
Na sistemih splo\u0161ne rabe je priporo\u010dljivo uporabljati IPE v kombinaciji z mehanizmom DIGLIM, ki ga razvija podjetje Huawei. DIGLIM je implementiran z eBPF in omogo\u010da enostavno izvajanje nadzora celovitosti na ravni posameznih datotek v obi\u010dajnih distribucijah, brez potrebe po njihovem predelovanju (predstavljeno kot razli\u010dica Secure Boot, ki deluje na aplikacijski ravni). Osnova DIGLIM je vzdr\u017eevanje sklada preverjenih he\u0161ev za datoteke in metapodatke ter omogo\u010danje dostopa do izvr\u0161ljivih datotek le, \u010de je njihov he\u0161 prisoten v sklopu. Seznam he\u0161ev se lahko pridobi od upravitelja paketov RPM ali ga lahko ro\u010dno ustvari uporabnik. \n Izvor: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"