微軟為解決Linux代碼完整性問題推出IPE

微軟發(fā)布了有關(guān)該公司一直致力的 Linux 內(nèi)核新項(xiàng)目的詳細(xì)信息。該項(xiàng)目名為Integrity Policy Enforcement（IPE），是Linux 安全模塊（Linux Security Module，LSM），它允許可配置的策略在整個(gè)系統(tǒng)上強(qiáng)制執(zhí)行完整性要求。

IPE是微軟為解決 Linux 的代碼完整性問題而進(jìn)行的嘗試。分為兩個(gè)主要部分：由 LSM 提供的可配置策略（“IPE Core”），以及由內(nèi)核提供的用于評(píng)估文件的確定性屬性（“IPE Properties”）。目前，IPE尚處于RFC（request for comments）狀態(tài)。

在啟用了 IPE 的 Linux 系統(tǒng)上，系統(tǒng)管理員可以創(chuàng)建允許執(zhí)行的二進(jìn)制文件列表，然后添加內(nèi)核在運(yùn)行每個(gè)二進(jìn)制文件之前需要檢查的驗(yàn)證屬性。如果攻擊者更改了二進(jìn)制文件，IPE還可以阻止惡意代碼的執(zhí)行。

微軟方面表示，IPE 設(shè)計(jì)用于具有特定目的的設(shè)備，例如嵌入式系統(tǒng)（e.g. 數(shù)據(jù)中心中的網(wǎng)絡(luò)防火墻設(shè)備），其中所有軟件和配置均由管理員構(gòu)建和提供。理想情況下，利用 IPE 的系統(tǒng)不適用于通用計(jì)算，也不使用第三方構(gòu)建的任何軟件或配置。

IPE 支持兩種操作模式：permissive 模式（類似于 SELinux 的 permissive模式）和 enforce 模式。其中，enforce 模式是默認(rèn)模式。Permissive模式執(zhí)行與 enforce 模式相同的檢查，并記錄 policy violations情況，但其不會(huì)強(qiáng)制執(zhí)行策略，這使得用戶可以在 enforce 策略之前對(duì)其進(jìn)行測(cè)試。

此外，微軟稱，與 Linux 內(nèi)核中已有的用于代碼完整性的 LSM（例如IMA）不同的是，IPE 不依賴于文件系統(tǒng)元數(shù)據(jù)，并且因?yàn)?IPE 屬性是僅存在于內(nèi)核中的確定性屬性，所以它不需要像 IMA 一樣需要 IMA 簽名的其他代碼。