Microsoft opublikował szczegóły dotyczące nowego projektu o nazwie Integrity Policy Enforcement (IPE), nad którym pracował dla jądra Linuxa.
IPE to Linux Security Module (LSM), które są opcjonalnymi dodatkami dla jądra Linuksa, zaprojektowanymi w celu włączenia dodatkowych funkcji bezpieczeństwa. Na stronie z dokumentacją Microsoft wyjaśnił, w jaki sposób IPE próbuje rozwiązać problem integralności kodu, mówiąc:
"IPE jest Modułem Bezpieczeństwa Linuksa, który pozwala na konfigurowalną politykę egzekwowania wymogów integralności na całym systemie. Próbuje on rozwiązać problem integralności kodu: że każdy wykonywany kod (lub odczytywane pliki), są identyczne z wersją, która została zbudowana przez zaufane źródło. Krótko mówiąc, IPE pomaga właścicielowi systemu upewnić się, że tylko autoryzowany przez niego kod jest dopuszczony do wykonania.
- Microsoft Teams jest teraz dostępny dla Linuksa
- WireGuard VPN dodany do Linuksa 5.6
- Microsoft udostępnia wszystkim Azure Sphere
W systemach Linux z włączonym IPE, administratorzy systemu mogą stworzyć listę binariów, które mogą wykonywać i dodawać atrybuty weryfikacyjne, które kernel musi sprawdzić dla każdego binarium przed zezwoleniem na jego uruchomienie. Jeśli binarny został zmieniony przez napastnika, IPE ma możliwość zablokowania wykonania złośliwego kodu.
Egzekwowanie Polityki Integrity
Według Microsoftu, IPE nie jest przeznaczony do obliczeń ogólnego przeznaczenia, ponieważ został zaprojektowany do bardzo szczególnych przypadków użycia, w których bezpieczeństwo jest najważniejsze i administratorzy muszą mieć pełną kontrolę nad tym, jaki kod działa w ich systemach.
Niektóre przykłady systemów, które mogłyby skorzystać z nowego oprogramowania giganta LSM, to systemy wbudowane, takie jak sieciowe urządzenia zaporowe działające w centrum danych oraz serwery Linux, które działają w ścisłych i niezmiennych konfiguracjach i aplikacjach.
Microsoft opublikował specyfikacje nowego modułu IPE, ale jest on obecnie w stanie RFC lub prośby o komentarze. Prawdopodobnie minie trochę czasu zanim IPE dostarczy prawdziwe jądro Linuksa.
Jądro Linuksa zawiera już LSM dla integralności kodu zwany Integrity Measurement Architecture (IMA). Jednak Microsoft mówi, że IPE różni się od IMA, ponieważ "nie ma żadnej zależności od metadanych systemu plików" i ponieważ atrybuty IPE "są właściwościami deterministycznymi, które istnieją wyłącznie w jądrze".
