Microsoft เปิดตัวคุณสมบัติความสมบูรณ์ของโค้ดใหม่สำหรับ Linux

Microsoft เปิดตัวคุณสมบัติความสมบูรณ์ของโค้ดใหม่สำหรับ Linux

Microsoft ได้เปิดเผยรายละเอียดเกี่ยวกับโครงการใหม่ที่เรียกว่า Integrity Policy Enforcement (IPE) ที่กำลังดำเนินการสำหรับเคอร์เนล Linux IPE คือ Linux Security Module (LSM) ซึ่งเป็นโปรแกรมเสริมเสริมสำหรับเคอร์เนล Linux ที่ออกแบบมาเพื่อเปิดใช้งานคุณสมบัติความปลอดภัยเพิ่มเติม ในหน้าเอกสารประกอบ Microsoft อธิบายว่า IPE พยายามแก้ไขปัญหาความสมบูรณ์ของโค้ดอย่างไร โดยกล่าวว่า: “IPE คือโมดูลความปลอดภัยของ Linux ซึ่งอนุญาตให้มีนโยบายที่กำหนดค่าได้เพื่อบังคับใช้ข้อกำหนดด้านความสมบูรณ์ทั่วทั้งระบบ พยายามแก้ไขปัญหาความสมบูรณ์ของโค้ด: โค้ดใด ๆ ที่กำลังดำเนินการ (หรือไฟล์ที่กำลังอ่าน) เหมือนกันกับเวอร์ชันที่สร้างโดยแหล่งที่เชื่อถือได้ พูดง่ายๆ ก็คือ IPE ช่วยให้เจ้าของระบบมั่นใจได้ว่ามีเพียงโค้ดที่พวกเขาได้รับอนุญาตเท่านั้นที่สามารถรันได้ บนระบบ Linux ที่เปิดใช้งาน IPE ผู้ดูแลระบบสามารถสร้างรายการไบนารีที่สามารถเรียกใช้และเพิ่มคุณสมบัติการตรวจสอบที่เคอร์เนลต้องตรวจสอบแต่ละไบนารีก่อนที่จะอนุญาตให้รัน หากผู้โจมตีได้แก้ไขไบนารี IPE จะสามารถบล็อกการทำงานของโค้ดที่เป็นอันตรายได้

การประยุกต์ใช้นโยบายความซื่อสัตย์

ตามข้อมูลของ Microsoft IPE ไม่ได้มีไว้สำหรับการประมวลผลทั่วไป เนื่องจากได้รับการออกแบบมาสำหรับการใช้งานเฉพาะเจาะจงซึ่งความปลอดภัยมีความสำคัญสูงสุด และผู้ดูแลระบบจะต้องควบคุมโค้ดที่ทำงานบนระบบของตนได้อย่างสมบูรณ์ ตัวอย่างของระบบที่อาจได้รับประโยชน์จากการใช้ LSM ใหม่ของยักษ์ใหญ่ซอฟต์แวร์ ได้แก่ ระบบฝังตัว เช่น อุปกรณ์ไฟร์วอลล์เครือข่ายที่ทำงานในศูนย์ข้อมูล และเซิร์ฟเวอร์ Linux ที่ทำงานด้วยการกำหนดค่าและแอปพลิเคชันที่เข้มงวดและไม่เปลี่ยนรูป Microsoft ได้เผยแพร่ข้อกำหนดสำหรับโมดูล IPE ใหม่ แต่ขณะนี้อยู่ใน RFC หรือขอความคิดเห็น อาจต้องใช้เวลาสักระยะก่อนที่ IPE จะจัดส่งพร้อมกับเคอร์เนล Linux เคอร์เนล Linux มี LSM สำหรับความสมบูรณ์ของโค้ดที่เรียกว่า Integrity Measuring Architecture (IMA) อยู่แล้ว อย่างไรก็ตาม Microsoft อ้างว่า IPE แตกต่างจาก IMA เนื่องจาก "ไม่ได้ขึ้นอยู่กับข้อมูลเมตาของระบบไฟล์" และเนื่องจากคุณลักษณะของ IPE "เป็นคุณสมบัติที่กำหนดขึ้นซึ่งมีอยู่ในเคอร์เนลเท่านั้น" ผ่านทาง ZDNet