47
Để ký vào file thực thi, đa số các định hướng code signing trên linux đều thực hiện phân tích cấu trúc file thực thi và tiến hành bổ sung thông tin ký vào chính file này và công đoạn ký thường được thực hiện ở Usermode.
Để tránh các nguy cơ tấn công, khai thác từ usermode, việc kiểm tra và xác minh chữ ký nên được thực hiện ở Kernelmode.
Giai đoạn xác minh chữ ký hợp lệ thường được xử lý trong lộ trình nạp một file vào bộ nhớ, tính từ thời điểm lời gọi hệ thống (syscall) được kích hoạt từ usermode đến thời điểm các dữ liệu nhị phân của file trên ổ cứng được ánh xạ vào bộ nhớ (thực hiện trong kernelmode).
48
Hình 19 Mô hình sign-and-verify
Luận văn nghiên cứu cơ chế bảo mật mã thực thi trên linux nhằm mục tiêu đưa ra giải pháp bảo vệ mã thực thi trên các hệ điều hành linux. Thông qua nghiên cứu cấu trúc định dạng object file (ELF Format) và nghiên cứu luồng thực thi ứng dụng trên hệ điều hành linux (cơ chế fork-and-exec), luận văn định hướng giải pháp tích hợp như sau:
Sử dụng mô hình ký trên usermode và xác minh chữ ký dưới kernelmode: Ký trên usermode được cung cấp môi trường hỗ trợ thân thiện hơn (bao gồm nhiều
49
thư viện và công cụ hỗ trợ) nên việc phát triển công cụ ký trên usermode thuận lợi hơn nhiều. Do tầm quan trọng của việc xác minh chữ ký, xác minh chữ ký được thực hiện dưới kernelmode vì tất cả các yêu cầu thực thi cuối cùng cũng chuyển thành các tương tác xử lý cấp phát tài nguyên dưới kernelmode, chưa kể đến nếu thực hiện việc xác minh chữ ký trên usermode tiềm ẩn nguy cơ tấn công và có thể bị khai thác.
Tương tự như các giải pháp code signing khác, thông tin chữ ký bao gồm một chuỗi băm toàn bộ nội dung file thực thi và được lưu trong chính file thực thi tương ứng.
Tích hợp module xác minh chữ ký trực tiếp vào linux kernel: Để phòng ngừa các rủi ro tấn công, giả mạo quản trị viên (user root), rootkit… có thể vô hiệu hóa các chức năng này, module xác minh chữ ký được tích hợp trực tiếp vào kernel. Do đó, khi cập nhật bản linux kernel này, người dùng có thể sử dụng tính năng code signing tương ứng.
Xác minh chữ ký sẽ được thực hiện tại các node xử lý thực thi trong linux kernel.
50
CHƯƠNG 3 - TÍCH HỢP CODE SIGNING VÀO NHÂN LINUX