Datei-Integrität mit optionalem TCPA
Das Sicherheitsmodul »Enforcer« will die Manipulation von Systemdateien verhindern und kann dazu den TCPA-Chip verwenden.
Das Prinzip ist nicht neu: Von sicherheitskritischen Dateien werden sichere Prüfsummen (Hashes), z.B. SHA1 oder MD5 berechnet. Während herkömmliche Systeme nur gelegentlich die Dateien mit ihren Prüfsummen vergleichen, tut Enforcer dies bei jedem Dateizugriff. Wird eine Änderung der Datei festgestellt, so kann eine oder mehrere der folgenden Aktionen ausgelöst werden, für jede Datei individuell konfigurierbar: Kernel Panic, Eintrag ins Systemlog oder Verweigern des Zugriffs.
In der aktuellen Version 0.2 hat Enforcer noch etliche Probleme, beispielsweise beim Speicherverbrauch und bei der Performance (die Entwickler geben Einbußen von 10-50 Prozent an, je nachdem, wie oft auf geschützte Dateien zugegriffen wird). Zudem stimmt das Zusammenspiel mit dem LSM-Capability-Modul nicht. Werden beide zusammen eingesetzt, hat jeder Benutzer die Zugriffsrechte von Root. An eine Korrektur wird gearbeitet.
Enforcer ist ein Linux Security Modul. Die LSM-Architektur wird Bestandteil des Kernels 2.6 sein, wo sie per Konfigurationsoption verwendet oder nicht verwendet wird.
Die herausragende Eigenschaft von Enforcer ist, daß es den umstrittenen TCPA-Chip verwenden kann, um noch größere Sicherheit zu erreichen. Dazu bedienen sich die Autoren von Enforcer einer selbst entwickelten TCPA-Bibliothek, die unabhängig von der von IBM bereit gestellten Bibliothek entwickelt wird und umfassender werden soll. Das Kernel-Modul für TCPA wurde allerdings von IBM übernommen. Ein an TCPA angepaßtes LILO soll die Sicherheit bereits vom Booten an gewährleisten.
Enforcer steht unter der GPL zum freien Download bereit, allerdings momentan noch in einer frühen Alpha-Version. Eine detaillierte Beschreibung der Funktionsweise ist dem Technical Report TR2003-471 des Darthmouth College zu entnehmen. (Dank an Konrad Förstner und Reiner Schischke.)
