openEuler 20.09版本新增IMA摘要列表支持

**feature description：**

IMA，全称 Integrity Measurement Architecture（完整性度量架构），是内核中的一个子系统，能够基于自定义策略对通过 execve()、mmap() 和 open() 系统调用访问的文件进行度量，度量结果可被用于**本地/远程证明**，或者和已有的参考值比较以**控制对文件的访问**，两种场景都可通过日志进行审计。

根据 IMA wiki 的定义，内核完整性子系统的功能可以被分为三部分：

- 度量（measure）：检测对文件的意外或恶意修改，无论远程还是本地。
- 评估（appraise）：度量文件并与一个存储在扩展属性中的 good value 作比较，控制本地文件完整性。
- 审计（audit）：将度量结果写到系统日志中，用于审计。

IMA 摘要列表扩展是对原生 IMA 机制的增强，该扩展的任务是将用于参考的文件摘要上传至内核中，在被 IMA 度量和评估模块调用时，检索内核中的摘要列表并返回结果。EulerOS 使用该机制代替社区原生的 IMA 机制实现应用程序的安全启动：

- 对于度量场景，现在在内核中维护一个用于参考的摘要列表，只在文件改变时才写 TPM 中的 PCR（当前尚未支持）。
- 对于评估场景，现在直接使用已上传至内核的摘要值而非文件签名做访问校验，避免了每次访问文件时都执行验签，只在启动前统一执行验签，每次访问文件只进行哈希值比对。

该扩展保证了系统中运行的任何程序都来自软件的发行商而未被篡改，增强了现网环境的安全性，降低了部署的复杂性，提升了开启完整性校验机制时的性能。

**tacking issue：**

https://gitee.com/src-openeuler/rpm/issues/I1RB2Q
https://gitee.com/src-openeuler/openEuler-rpm-config/issues/I1RCA4
https://gitee.com/src-openeuler/cpio/issues/I1RC9Z
https://gitee.com/src-openeuler/dracut/issues/I1RCB5

**tacking PR：**

https://gitee.com/openeuler/digest-list-tools/pulls/1
https://gitee.com/openeuler/digest-list-tools/pulls/2
https://gitee.com/openeuler/attest-tools/pulls/1
https://gitee.com/openeuler/attest-tools/pulls/2

https://gitee.com/src-openeuler/pesign-obs-integration/pulls/1
https://gitee.com/src-openeuler/tss2/pulls/1
https://gitee.com/src-openeuler/attest-tools/pulls/1
https://gitee.com/src-openeuler/rpm/pulls/30
https://gitee.com/src-openeuler/openEuler-rpm-config/pulls/20
https://gitee.com/src-openeuler/dracut/pulls/13
https://gitee.com/src-openeuler/cpio/pulls/2
https://gitee.com/src-openeuler/cpio/pulls/4
https://gitee.com/src-openeuler/ima-evm-utils/pulls/9
https://gitee.com/src-openeuler/digest-list-tools/pulls/3
https://gitee.com/src-openeuler/digest-list-tools/pulls/4
https://gitee.com/src-openeuler/digest-list-tools/pulls/5

openEuler/release-management
关闭

内容风险标识

评论 (1)

openEuler/release-management关闭 .gitee-modal { width: 500px !important; }

内容风险标识