Microsoft a publié des détails sur un nouveau projet appelé Integrity Policy Enforcement (IPE) sur lequel il travaillait pour le noyau Linux.
IPE est un module de sécurité Linux (LSM) qui sont des modules complémentaires optionnels pour le noyau Linux conçus pour activer des fonctionnalités de sécurité supplémentaires. Dans sa page de documentation, Microsoft a expliqué comment IPE tente de résoudre le problème de l'intégrité du code, en disant:
«IPE est un module de sécurité Linux, qui permet une politique configurable pour appliquer les exigences d'intégrité sur l'ensemble du système. Il tente de résoudre le problème d'intégrité du code: que tout code en cours d'exécution (ou fichiers en cours de lecture), est identique à la version qui a été créée par une source de confiance. En termes simples, IPE aide le propriétaire d'un système à garantir que seul le code qu'il a autorisé est autorisé à s'exécuter.
Sur les systèmes Linux avec IPE activé, les administrateurs système peuvent créer une liste de binaires autorisés à exécuter et ajouter des attributs de vérification que le noyau doit vérifier pour chaque binaire avant de l'autoriser à s'exécuter. Si un binaire a été modifié par un attaquant, IPE a la possibilité de bloquer l'exécution du code malveillant.
Sommaire
Application de la politique d'intégrité
Quelques exemples de systèmes qui pourraient bénéficier de l'utilisation du nouveau LSM du géant du logiciel incluent des systèmes embarqués tels que des périphériques de pare-feu réseau fonctionnant dans un centre de données et des serveurs Linux qui exécutent des configurations et des applications strictes et immuables.
Microsoft a publié les spécifications du nouveau module IPE mais il est actuellement dans un état RFC ou demande de commentaires. Il faudra probablement un certain temps avant que IPE ne soit livré avec le noyau Linux proprement dit.
Le noyau Linux comprend déjà un LSM pour l'intégrité du code appelé Integrity Measurement Architecture (IMA). Cependant, Microsoft affirme que l'IPE diffère de l'IMA car «il ne dépend pas des métadonnées du système de fichiers» et parce que les attributs IPE «sont des propriétés déterministes qui existent uniquement dans le noyau».
Via ZDNet
