Netzwerk: Microsoft baut eigenes Linux Security Module
Mit IPE soll der Linux-Kernel durch Code-Integrity besser abgesichert werden, etwa auf Firewall-Geräten im Rechenzentrum.
Geht es nach den Entwicklern von Microsoft, bekommt der Linux-Kernel künftig ein weiteres sogenanntes Linux Security Module (LSM). Den Code zu dem Projekt mit dem Namen Integrity Policy Enforcement (IPE) haben die Entwickler bereits auf der Mailingliste der Linux-Kernel-Entwickler veröffentlicht. Dokumentation zu IPE stellen die Entwickler von Microsoft ebenso zur Verfügung.
Bei den LSM handelt es sich um eine im Kernel bestehende Technik, die Linux erweitern kann. Bekannte LSM sind etwa Selinux oder Apparmor, die von den meisten Linux-Distributionen eingesetzt werden. Hinzu kommen die zuletzt eingepflegten Lockdown-Patches. Diese Reihe könnte künftig also um IPE von Microsoft erweitert werden.
Laut der Ankündigung versuche IPE, "das Problem der Code-Integrität zu lösen. Also dass jeder ausgeführter Code (oder gelesene Dateien) identisch mit der Version ist, die von einer vertrauenswürdigen Quelle erstellt wurde. Einfach ausgedrückt hilft IPE dem Besitzer eines Systems sicherzustellen, dass nur von ihm autorisierter Code ausgeführt werden darf."
Gedacht ist das Modul speziell für den Einsatz auf Embedded-Geräten mit einem spezifischen Einsatzzweck. Als Beispiel nennt Microsoft etwa Firewall-Geräte, die in Rechenzentren genutzt werden. Auf typischen Serversystemen soll IPE hingegen explizit nicht eingesetzt werden. Die Sicherheit von IPE basiert darüber hinaus auf der Annahme, dass die Plattform-Firmware den genutzten Kernel verifiziert sowie optional auch das Root-Dateisystem.
IPE soll sich von bisherigen LSM dadurch unterscheiden, dass es nicht von den Metadaten des Dateisystems abhängt. Die Eigenschaften, die IPE überprüfe, seien darüber hinaus ausschließlich Eigenschaften, die bereits im Linux-Kernel selbst hinterlegt seien. Zur Prüfung der Dateiintegrität nutze IPE etwa dm-verity oder fsverity. Weitere Details liefert die Dokumentation.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
