Chapitre 22. Renforcer la sécurité avec le sous-système d'intégrité du noyau
Vous pouvez améliorer la protection de votre système en utilisant les composants du sous-système d'intégrité du noyau. En savoir plus sur les composants concernés et leur configuration.
Vous pouvez utiliser les fonctionnalités avec des signatures cryptographiques uniquement pour les produits Red Hat car le système de trousseau de clés du noyau inclut uniquement les certificats pour les clés de signature Red Hat. L'utilisation d'autres fonctions de hachage entraîne une inviolabilité incomplète.
22.1. Le sous-système d'intégrité du noyau
Le sous-système d'intégrité est la partie du noyau qui maintient l'intégrité globale des données du système. Ce sous-système permet de conserver l'état d'un système tel qu'il était au moment de sa construction. En utilisant ce sous-système, vous pouvez empêcher toute modification indésirable de fichiers système spécifiques.
Le sous-système d'intégrité du noyau se compose de deux éléments principaux :
- Architecture de mesure de l'intégrité (IMA)
- L'IMA mesure le contenu des fichiers à chaque fois qu'ils sont exécutés ou ouverts en les hachant ou en les signant à l'aide de clés cryptographiques. Les clés sont stockées dans le sous-système du trousseau du noyau.
- L'IMA place les valeurs mesurées dans l'espace mémoire du noyau. Cela empêche les utilisateurs du système de modifier les valeurs mesurées.
- L'IMA permet aux parties locales et distantes de vérifier les valeurs mesurées.
- IMA permet de valider localement le contenu actuel des fichiers par rapport aux valeurs précédemment stockées dans la liste de mesures de la mémoire du noyau. Cette extension interdit toute opération sur un fichier spécifique si les mesures actuelles et précédentes ne correspondent pas.
- Module de vérification étendu (EVM)
- L'EVM protège les attributs étendus des fichiers (également connus sous le nom de xattr) qui sont liés à la sécurité du système, tels que les mesures IMA et les attributs SELinux. L'EVM procède au hachage cryptographique des valeurs correspondantes ou les signe à l'aide de clés cryptographiques. Les clés sont stockées dans le sous-système du trousseau de clés du noyau.
Le sous-système d'intégrité du noyau peut utiliser le Trusted Platform Module (TPM) pour renforcer encore la sécurité du système.
Un TPM est un composant matériel, micrologiciel ou virtuel avec des clés cryptographiques intégrées, qui est construit conformément à la spécification TPM du Trusted Computing Group (TCG) pour les fonctions cryptographiques importantes. Les TPM sont généralement construits comme du matériel dédié attaché à la carte mère de la plateforme. En fournissant des fonctions cryptographiques à partir d'une zone protégée et inviolable de la puce matérielle, les TPM sont protégés contre les attaques logicielles. Les MPT présentent les caractéristiques suivantes :
- Générateur de nombres aléatoires
- Générateur et stockage sécurisé de clés cryptographiques
- Générateur de hachage
- Attestation à distance
Ressources supplémentaires
