第 8 章使用内核完整性子系统提高安全性

8.1. 内核完整性子系统
复制链接

完整性子系统是负责维护系统数据完整性的内核的一部分。此子系统有助于防止用户对特定系统文件进行不必要的修改，从而使系统处于初始状态。

内核完整性子系统由两个主要组件组成：

完整性测量架构(IMA)

扩展验证模块(EVM)

IMA 和 EVM 还包含大量额外功能扩展。例如：

IMA-Appraisal

EVM 数字签名

允许通过存储在内核密钥环中的加密密钥使用数字签名。EVM Digital Signatures 确保包含内容哈希(security.ima)的文件的 xattr 值的来源和完整性。

注意

功能扩展相互补充，但您可以独立配置和使用它们。

内核完整性子系统可以使用 Trusted Platform 模块(TPM)来进一步增强系统安全性。TPM 是受信任的计算组(TCG)中有关重要加密功能的规范。TPM 通常作为专用硬件实施，附加到平台的主板，并通过为硬件芯片受保护且受篡改区域提供加密功能来防止基于软件的攻击。TPM 的一些功能有：

返回顶部