Η Microsoft έδωσε στη δημοσιότητα περισσότερες λεπτομέρειες για ένα νέο πρόγραμμα που δουλεύει η εταιρεία για τον πυρήνα του Linux.
Το νέο project ονομάζεται Integrity Policy Enforcement ή απλά IPE από το επιβολή πολιτικής ακεραιότητας. Το project ουσιαστικά είναι ένα module ασφαλείας του Linux (LSM από το Linux security module). Τα LSM είναι προαιρετικά πρόσθετα για τον πυρήνα του Linux που επιτρέπουν πρόσθετα χαρακτηριστικά ασφαλείας.
Σύμφωνα με τη σελίδα τεκμηρίωσης που δημοσιεύθηκε τη Δευτέρα, το IPE είναι η προσπάθεια της Microsoft να επιλύσει το πρόβλημα ακεραιότητας του κώδικα για το Linux, ένα λειτουργικό σύστημα που η εταιρεία χρησιμοποιεί ευρέως στην cloud υπηρεσία της Azure.
Στα συστήματα Linux που το IPE είναι ενεργοποιημένο, οι διαχειριστές θα μπορούν να δημιουργήσουν μια λίστα binaries που θα τους επιτρέπει να εκτελέσουν και να προσθέσουν τα χαρακτηριστικά επαλήθευσης. Έτσι ο πυρήνας θα ελέγχει κάθε binary πριν του επιτρέψει να εκτελεστεί. Εάν τα binaries έχουν τροποποιηθεί από κάποιον εισβολέα, το IPE θα μπορεί να εμποδίσει την εκτέλεση του κακόβουλου κώδικα.
Η Microsoft αναφέρει ότι το IPE δεν προορίζεται για υπολογιστές που χρησιμοποιούνται στο σπίτι. Το IPE LSM σχεδιάστηκε για πολύ συγκεκριμένες περιπτώσεις χρήσης όπου η ασφάλεια είναι πρωταρχικής σημασίας και οι διαχειριστές πρέπει να έχουν τον πλήρη έλεγχο του τι τρέχει στα συστήματά τους.
Η Microsoft δημοσίευσε σήμερα τις προδιαγραφές για το νέο IPE module. Το IPE βρίσκεται αυτή τη στιγμή σε κατάσταση RFC (διαθέσιμο για σχόλια από το request for comments), και όπως φαίνεται θα χρόνος πριν αποσταλεί για προσθήκη στον πυρήνα του Linux.
Ο πυρήνας του Linux συμπεριλαμβάνει ήδη ένα LSM για την ακεραιότητα κώδικα, που ονομάζεται Αρχιτεκτονική μέτρησης ακεραιότητας (από το Integrity Measurement Architecture ή απλά IMA). Η Microsoft δήλωσε ότι το IPE διαφέρει από το IMA επειδή “δεν εξαρτιέται από τα μεταδεδομένα του συστήματος αρχείων” και επειδή τα χαρακτηριστικά του IPE “έχουν καθοριστικές ιδιότητες που υπάρχουν αποκλειστικά στον πυρήνα”, κάτι που σημαίνει ότι το IPE δεν χρειάζεται επιπρόσθετο κώδικα όπως χρειάζεται το IMA, τις IMA υπογραφές.
