{"id":113980,"date":"2024-02-29T18:25:59","date_gmt":"2024-02-29T16:25:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux"},"modified":"2024-02-29T18:25:59","modified_gmt":"2024-02-29T16:25:59","slug":"microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/microsoft-predlozhil-sistemu-upravleniya-dostupom-ipe-dlya-yadra-linux","title":{"rendered":"Microsoft har f\u00f6reslagit en \u00e5tkomsthanteringssystem IPE f\u00f6r Linux-k\u00e4rnan","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
F\u00f6retaget har lagt fram koden f\u00f6r LSM-modulen med implementeringen av mekanismen IPE (Integrity Policy Enforcement) f\u00f6r diskussion i utvecklarlistan f\u00f6r Linux-k\u00e4rnan. Ist\u00e4llet f\u00f6r att binda till etiketter och s\u00f6kv\u00e4gar, baseras beslutet att till\u00e5ta eller f\u00f6rbjuda en operation inom IPE p\u00e5 de best\u00e4ndiga egenskaperna hos det systemkomponent som operationen utf\u00f6rs p\u00e5. Modulen m\u00f6jligg\u00f6r att definiera en \u00f6vergripande integritetspolicy f\u00f6r hela systemet, vilket anger vilka operationer som \u00e4r till\u00e5tna och hur \u00e4kthet hos komponenter b\u00f6r verifieras. <\/p>\n
IPE syftar till att skapa helt verifierbara system vars integritet bekr\u00e4ftas fr\u00e5n den initiala bootloadern och k\u00e4rnan till de slutliga k\u00f6rbara filerna, konfigurationerna och de laddade filerna. Till exempel kan man med hj\u00e4lp av IPE ange vilka k\u00f6rbara filer som f\u00e5r startas, med h\u00e4nsyn till deras \u00f6verensst\u00e4mmelse med referensversionen, med hj\u00e4lp av kryptografiska hashv\u00e4rden som tillhandah\u00e5lls av systemet dm-verity. Om en fil \u00e4ndras eller ers\u00e4tts kan IPE blockera operationen eller logga faktumet av integritetsbrott. <\/p>\n
Den f\u00f6reslagna mekanismen kan till\u00e4mpas i firmware f\u00f6r inbyggda enheter, d\u00e4r all programvara och inst\u00e4llningar noggrant sammanst\u00e4lls och tillhandah\u00e5lls av \u00e4garen, till exempel anv\u00e4nds IPE i Microsofts datacenter i utrustning f\u00f6r brandv\u00e4ggar. Till skillnad fr\u00e5n andra integritetskontrollsystem, s\u00e5som IMA, k\u00e4nnetecknas IPE av oberoende av metadata i filsystemet \u2012 alla egenskaper som definierar till\u00e5tna operationer lagras direkt i k\u00e4rnan. <\/p>\n
Regler anges i textformat med anv\u00e4ndning av nyckel-v\u00e4rde-par. De grundl\u00e4ggande nycklarna \u00e4r \"op\", som definierar operationen som regeln g\u00e4ller f\u00f6r (till exempel, op=EXECUTE kommer att aktiveras vid f\u00f6rs\u00f6k att k\u00f6ra), och \"action\", som definierar \u00e5tg\u00e4rden (till exempel \"action=DENY\" f\u00f6r blockering). Regler knyts till egenskaper som tillhandah\u00e5lls av externa subsystem, s\u00e5som dm-verity och fs-verity. <\/p>\n
Till exempel kommer reglerna op=EXECUTE boot_verified=TRUE action=ALLOW op=EXECUTE dmverity_signature=FALSE action=DENY op=EXECUTE fsverity_digest=sha256:401fce\u20260dec146938 action=DENY att endast till\u00e5ta start fr\u00e5n en verifierad partition, f\u00f6rbjuda k\u00f6rning av filer fr\u00e5n partitioner som inte har signaturer i dm-verity, samt selektivt f\u00f6rbjuda utf\u00f6rande av en fil med hash \"401fce\u20260dec146938\". <\/p>\n
Den initiala upps\u00e4ttningen av inladdningsregler definieras med inst\u00e4llningen SECURITY_IPE_BOOT_POLICY och inkluderas i k\u00e4rnans byggnad, medan \u00f6vriga regler l\u00e4ggs till efter behov via filen \\\/sys\\\/kernel\\\/security\\\/ipe\\\/new_policy. De \u00f6verf\u00f6rda reglerna krypteras med hj\u00e4lp av ett certifikat som anges i SYSTEM_TRUSTED_KEYRING. <\/p>\n
P\u00e5 allm\u00e4nna system rekommenderas det att anv\u00e4nda IPE i kombination med DIGLIM-mekanismen, utvecklad av Huawei. DIGLIM implementeras med eBPF och m\u00f6jligg\u00f6r enkelt integritetskontroll p\u00e5 niv\u00e5 av individuella filer i vanliga distributioner, utan att kr\u00e4va deras omskrivning (presenteras som en variant av Secure Boot som fungerar p\u00e5 applikationsniv\u00e5). K\u00e4rnan i DIGLIM \u00e4r att uppr\u00e4tth\u00e5lla en pool av verifieringshashar f\u00f6r filer och metadata och ge tillg\u00e5ng till k\u00f6rbara filer endast om deras hash finns i poolen. Hashlistan kan h\u00e4mtas fr\u00e5n RPM-pakethanteraren eller manuellt genereras av anv\u00e4ndaren. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"