微软推出 IPE,试图解决 Linux 代码完整性问题

 约 3 分钟

clipboard.png

技术编辑:徐九丨发自 北京
SegmentFault 思否报道丨公众号:SegmentFault


微软为什么要为与其旗下 windows 竞争的操作系统提供解决方案?乍看起来难以理解,但由于微软的多操作系统云基础架构,使其已成为 Linux 的重要贡献者。

考虑到这些客户,微软在本周宣布了一种解决 Linux 代码完整性问题的方法。

完整性策略执行(Integrity Policy Enforcement,简称 IPE)是一个 Linux 安全模块,可以有选择地增强用户的安全性。根据 GitHub 上的文档,该模块允许管理员为先前已授权执行的代码配置相关策略。

尽管 Linux 内核有几种现有的完整性验证方法,但微软表示这些方法“缺乏一种运行时验证手段,即二进制文件是从这些位置获取的”。

使用 IPE,服务器管理员能够防止二进制重写、恶意二进制执行和链接程序劫持之类的攻击。这些都是不容忽视的问题,因为它们几乎不需要付出任何努力,却会产生巨大的影响。不过,值得注意的是,这个解决方案并不适用于我们普通用户。

对此,微软给出的解释为:“ IPE 设计用于具有特定用途的设备,例如嵌入式系统(例如数据中心中的网络防火墙设备),其中所有软件和配置都是由所有者构建和提供的。” “理想情况下,利用 IPE 的系统并非旨在用于通用计算,并且不会利用第三方构建的任何软件或配置。”

即便如此,IPE 可能要花费数周的时间才能广泛使用。该模块当前处于“请求注释(RFC)”状态,必须等待反馈才能使用。

此前,Linux 内核已经包含用于代码完整性的 LSM,称为完整性度量体系结构(IMA)。微软表示,IPE 与 IMA 不同,因为“它不依赖于文件系统元数据”,并且因为 IPE 属性“是仅存在于内核中的确定性属性”,这意味着 IPE 不需要像 IMA 一样需要 IMA 签名的其他代码。

相关资料:

《Microsoft announces IPE, a new code integrity feature for Linux》
[《Microsoft Announces IPE, an Attempt to Solve Linux’s Code Integrity
Problem》][2] IPE 官网:https://microsoft.github.io/ipe/ IMA
介绍:https://sourceforge.net/p/lin...

clipboard.png

阅读 752

推荐阅读

SegmentFault 思否对开发者行业的洞见、观察与报道

16829 人关注
109 篇文章
专栏主页
目录