Microsoft предложил модуль ядра Linux для проверки целостности системы

7 апреля 2020 года

Разработчики из компании Microsoft представили механизм проверки целостности IPE (Integrity Policy Enforcement), реализованный в виде LSM-модуля (Linux Security Module) для ядра Linux. Модуль позволяет определить общую политику обеспечения целостности для всей системы, указывающую какие операции допустимы и каким способом следует верифицировать подлинность компонентов. При помощи IPE можно указать какие исполняемые файлы разрешено запускать и гарантировать, что эти файлы идентичны версии, предоставленной проверенным источником. Код открыт под лицензией MIT.

IPE нацелен на создание полностью верифицируемых систем, целостность которых подтверждена от начального загрузчика и ядра до конечных исполняемых файлов, конфигурации и загружаемых файлов. В случае изменения или подмены файла IPE может блокировать операцию или журналировать факт нарушения целостности. Предложенный механизм может применяться в прошивках для встраиваемых устройств, в которых всё программное обеспечение и настройки специально собираются и предоставляются владельцем, например, в датацентрах Microsoft IPE применяется в оборудовании для межсетевых экранов.

От других систем проверки целостности, таких как IMA, IPE отличается независимостью от метаданных в ФС - все свойства, определяющие допустимость операций, хранятся непосредственно в ядре. Для верификации целостности содержимого файлов по криптографическим хэшам применяются уже существующие в ядре механизмы dm-verity или fs-verity. По аналогии с SELinux поддерживается два режима работы "permissive" и "enforce". В первом режиме лишь ведётся лог проблем при выполнении проверок, что, например, может использоваться для предварительного тестирования окружения.

Источники

править
 
 
Creative Commons
Эта статья содержит материалы из статьи «Microsoft предложил модуль ядра Linux для проверки целостности системы», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
 
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.