Deze week maakte Microsoft de details bekend van een nieuw project voor de Linux-kernel waar het bedrijf aan werkt. Het nieuwe project: Integrity Policy Enforcement (IPE), is ontwikkeld voor onveranderlijke en embedded systemen, bijvoorbeeld firewall-apparaten in een datacenter.
Integrity Policy Enforcement (of IPE) is een Linux security module (LSM). LSM’s zijn optionele uitbreidingen voor de Linux-kern die aanvullende beveiligingsfuncties bieden. Met IPE wil Microsoft het code integrity-probleem voor Linux oplossen.
Op Linux-systemen waar IPE is ingeschakeld, kunnen systeembeheerders een lijst met binaries maken die toegang hebben om verificatie-attibuten uit te voeren en toe te voegen aan de Linux-kernel. De kernel controleert elke binary voordat het deze uitvoert. Mochten de binaries zijn aangepast door een aanvaller, dan blokkeert IPE de uitvoering van kwaadaardige code.
Niet voor algemene doeleinden
IPE is niet bedoeld voor algemene doeleinden. Het IPE LSM is ontwikkeld voor hele specifieke gebruikssituaties waarbij beveiliging cruciaal is en beheerders de volledige controle moeten hebben over wat er wel en niet op hun systemen draait.
Mogelijke toepassingen van IPE zijn bijvoorbeeld geïntegreerde systemen, zoals firewall-apparaten die draaien in een datacenter of Linux-servers die strikte en onveranderlijke configuraties en applicaties draaien.
Evenals SELinux ondersteunt IPE twee manieren van bediening: ‘permissive’ en ‘enforce’. De permissive-modus voert dezelfde checks uit als de enforce-modus en houdt schendingen van het beleid bij, maar dwingt het beleid niet af. In deze modus kunnen gebruikers hun beleidsinstellingen uittesten voordat ze de instellingen afdwingen.
RFC-status
Microsoft bracht deze week de specificaties voor de nieuwe IPE-module uit. IPE is momenteel in een RFC-status (request for comments). Het gaat nog enige tijd duren voordat IPE daadwerkelijk wordt geleverd met de Linux-kernel.
Momenteel bevat de Linux-kernel al een andere LSM voor code integrity: Integrity Measurement Architecture (IMA). IPE onderscheidt zich van IMA doordat het onafhankelijk is van de metadata van een bestandssysteem. Daarnaast werkt IPE zonder dat er extra code nodig is, terwijl IMA gebruik maakt van IMA signatures.