diff --git "a/docs/zh/docs/Administration/\345\206\205\346\240\270\345\256\214\346\225\264\346\200\247\345\272\246\351\207\217\357\274\210IMA\357\274\211.md" "b/docs/zh/docs/Administration/\345\206\205\346\240\270\345\256\214\346\225\264\346\200\247\345\272\246\351\207\217\357\274\210IMA\357\274\211.md" index 08d12c5d40834d1a064228c3508cb4d6a4e9ed40..52f1449960d95861c53cf7ed5473660914efc973 100644 --- "a/docs/zh/docs/Administration/\345\206\205\346\240\270\345\256\214\346\225\264\346\200\247\345\272\246\351\207\217\357\274\210IMA\357\274\211.md" +++ "b/docs/zh/docs/Administration/\345\206\205\346\240\270\345\256\214\346\225\264\346\200\247\345\272\246\351\207\217\357\274\210IMA\357\274\211.md" @@ -4,7 +4,7 @@ ### IMA介绍 -IMA，全称 Integrity Measurement Architecture（完整性度量架构），是内核中的一个子系统，能够基于自定义策略对通过`execve()`、`mmap()`和`open()`等系统调用访问的文件进行度量，度量结果可被用于**本地/远程证明**，或者和已有的参考值比较以**控制对文件的访问**。 +IMA，全称 Integrity Measurement Architecture（完整性度量架构），是内核中的一个子系统，能够基于自定义策略对通过`execve()`、`mmap()`和`open()`等系统调用访问的文件进行度量，度量结果可被用于本地/远程证明，或者和已有的参考值比较以控制对文件的访问。 IMA的运行模式主要包含以下两种： @@ -25,29 +25,29 @@ IMA Digest Lists（IMA摘要列表）是openEuler对内核原生完整性保护 IMA度量模式下，每次触发度量都需要访问TPM芯片，TPM属于低速芯片，通常采用几十MHz时钟频率的SPI协议与CPU通信，导致系统调用性能下降： -![](./figures/ima_tpm.png) +![ima_tpm](./figures/ima_tpm.png) **非对称运算导致文件访问性能下降：** IMA评估模式下，需要使用签名机制保护不可变文件，每次触发文件校验都需要进行签名验证，而非对称运算相对复杂 ，同样导致系统调用性能下降： -![](./figures/ima_sig_verify.png) +![ima_sig_verify](./figures/ima_sig_verify.png) **复杂的部署方式导致效率和安全性下降：** IMA评估模式下，需要通过fix模式进行部署，即系统首先需要进入fix模式进行IMA/EVM扩展属性标记，然后再切换为校验模式启动。同时在受保护的文件升级时，需要重启进入fix模式，完成文件和扩展属性更新。一方面降低了部署效率，另一方面需要在运行环境中访问密钥，降低了安全性： -![](./figures/ima_priv_key.png) +![ima_priv_key](./figures/ima_priv_key.png) IMA摘要列表旨在通过一个哈希列表文件管理一系列文件的基准摘要值，即将若干文件（如一个软件包中的所有可执行文件）的基准摘要值汇总到单个文件中进行管理。基准摘要值可包含文件内容摘要（对应IMA模式）和文件扩展属性摘要（对应EVM模式），这个文件就是IMA摘要列表文件。 -![](./figures/ima_digest_list_pkg.png) +![ima_digest_list_pkg](./figures/ima_digest_list_pkg.png) 开启IMA摘要列表功能后，内核维护一个哈希白名单池，用于存放导入的IMA摘要列表文件中的摘要值，并通过securityfs对外提供IMA摘要列表文件的导入/删除/查询等接口。 在度量模式下，导入内核的摘要列表文件需要进行度量和TPM扩展才可添加至白名单池，后续如果度量的目标文件的摘要值和白名单池匹配，则不进行额外的度量日志记录以及TPM扩展；在评估模式下，导入内核的摘要列表文件需要通过签名验证才可添加至白名单池，后续将访问的目标文件的摘要值和白名单池中的摘要值进行匹配即可判断评估结果。 -![](./figures/ima_digest_list_flow.png) +![ima_digest_list_flow](./figures/ima_digest_list_flow.png) 相比Linux原生IMA/EVM机制，IMA摘要列表扩展从安全性、性能、易用性三个方面进行了改良，以实现更好的落地效果： @@ -226,7 +226,7 @@ ima_appraise=log-evm ima_appraise_digest_list=digest ima_policy="appraise_exec_t ima_appraise=enforce-evm ima_appraise_digest_list=digest ima_policy="appraise_exec_tcb|appraise_exec_immutable" initramtmpfs evm=x509 evm=complete ``` -> ![](./public_sys-resources/icon-note.gif) **说明：** +> ![icon-note.gif](./public_sys-resources/icon-note.gif) **说明：** > > 以上四种参数都可以单独配置使用，但只有基于摘要列表的度量和评估模式可以组合使用，即2)和3)搭配或2)和4)搭配。