Ders 3.53: IMA ölçüm günlüğü
Linux'un Bütünlük Ölçüm Mimarisi (IMA), çekirdek bir programı ya da kitaplığı çalıştırmadan önce özetini alır ve özeti yalnızca büyüyen bir günlüğe ekler. Günlük TPM'e bağlıdır; bu yüzden değişiklik görünmeden yeniden yazılamaz. Bir betiği değiştirip çalıştıran ve aslını geri koyan bir saldırgan dosyayı temiz bırakır ama günlüğü bırakmaz. Laboratuvarda Northwind'in bordro sunucusundaki yedekleme işi dokunulmamış görünüyor. IMA politikasını ve kör noktalarını okuyor, aynı betik için iki farklı özet buluyor, artık diskte olmayan bir program buluyor ve günlüğü TPM'e karşı denetliyorsun.
18 dk
Bu derste öğreneceklerin
- IMA'nın neyi ölçtüğünü ve günlüğün nerede durduğunu açıklamak
- Bir IMA politikasını okumak ve neyi ölçmediğini görmek
- Ölçülen özetleri diskteki dosyalarla karşılaştırmak
- Bir izin listesinin dışında çalıştırılmış dosyaları bulmak
- PCR 10'un günlüğü nasıl koruduğunu açıklamak
Temel terimler
- IMA
- Bütünlük Ölçüm Mimarisi: çekirdek dosyaların özetini kullanmadan önce alır ve özetleri günlüğe yazar.
- Ölçüm günlüğü
- /sys/kernel/security/ima/ascii_runtime_measurements: ölçülen her dosya için bir satır, yalnızca eklenir.
- IMA politikası
- Neyin ölçüleceğinin kuralları; ima_policy=tcb çalıştırılan programları, çalıştırılabilir eşlemeleri ve root'un okuduğu dosyaları ölçer.
- PCR 10
- IMA'nın her ölçümle genişlettiği TPM yazmacı.
- Genişletme
- Bir PCR'yi değiştirmenin tek yolu: yeni değer = özet(eski değer + ölçüm).
- Değerlendirme
- IMA'nın zorlayan kipi: bir dosyayı yalnızca özeti ya da imzası saklanan iyi değerle eşleşirse çalıştır.
← Zarar görmüş bir LUKS başlığını kurtarmak · Tüm dersler · Fidye yazılımı nasıl işler →