80°

微软宣布启动IPE,解决Linux代码完整性问题

微软对Linux的支持仍在继续,该公司的最新项目表明,它试图提高系统的安全性和完整性。这家Windows制造商已经推出了一个名为“完整性策略执行Integrity Policy Enforcement(IPE)”的Linux安全模块(LSM)。

内核附加组件使管理员可以选择配置策略,以在整个系统上强制执行完整性要求。可以创建允许运行的二进制文件列表,并指定在允许执行之前需要检查的属性。

Microsoft在设计IPE时并未考虑通用Linux系统。而是专门用于具有特定目的的设备,例如由所有者构建,配置和管理的嵌入式系统-Microsoft提供了数据中心中的网络防火墙设备的示例。想法是系统中不应存在未知数,以帮助进一步增强安全性。

在IPE文档中,Microsoft说:

理想情况下,利用IPE的系统不打算用于通用计算,也不使用第三方构建的任何软件或配置。理想的利用IPE的系统具有可变和不变的组件,但是,所有二进制可执行代码都是不变的。

该公司指出,为了获得最佳安全性,必须验证内核和根文件系统,这一点很重要。 Microsoft指出了IPE的一些限制:

IPE无法验证匿名可执行存储器的完整性,例如gcc闭包和libffi或JIT代码创建的蹦床。不幸的是,由于这是动态生成的代码,因此IPE无法从该代码的构建位置到运行位置检测到该代码没有被篡改。结果,IPE无法为动态生成的代码解决此问题。

当通过<解释器> <文件>调用这些脚本时,IPE无法验证解释语言程序的完整性。这是因为解释器执行这些文件的方式,脚本本身并不是通过IPE的某个钩子作为可执行代码进行评估的。解释器可以通过尝试将文件映射到可执行内存(+X)来了解IPE的用法,方法是在打开文件并适当地响应错误代码之后。这也适用于包含的文件或高值文件,例如关键系统组件的配置文件。计划在IPE中解决这一具体差距。

您可以在Github上的“Integrity Policy Enforcement (IPE)”页面上找到更多信息。

原文链接:https://www.linuxidc.com/Linux/2020-04/162843.htm

全部评论: 0

    我有话说: