IMA - История изменений

Mikhailnov: /* Установка на системе с IMA */

2026-06-25T21:19:31Z

Установка на системе с IMA

← Предыдущая версия		Версия от 00:19, 26 июня 2026
Строка 601:		Строка 601:
	При установке или обновлении пакета плагин <code>rpm-plugin-ima</code> автоматически проставляет IMA-подписи из пакета как расширенные атрибуты <code>security.ima</code> на файлы. Открытый ключ разработчика (<code>company-cert.der</code>) при этом попадает в <code>/etc/keys/ima/</code>.		При установке или обновлении пакета плагин <code>rpm-plugin-ima</code> автоматически проставляет IMA-подписи из пакета как расширенные атрибуты <code>security.ima</code> на файлы. Открытый ключ разработчика (<code>company-cert.der</code>) при этом попадает в <code>/etc/keys/ima/</code>.

	2. '''Перезагрузить ОС.''' Ключ из <code>/etc/keys/ima/</code> импортируется в ключевую систему ядра только при загрузке. До перезагрузки подписанные файлы не смогут пройти проверку IMA и их запуск будет запрещён.		2. '''Перезагрузить ОС.''' Ключ из <code>/etc/keys/ima/</code> импортируется в ключевую систему ядра только при загрузке. До перезагрузки подписанные файлы не смогут пройти проверку IMA, и их запуск будет запрещён.


	[[Категория:Сервер]]		[[Категория:Сервер]]

Mikhailnov в 21:12, 25 июня 2026

2026-06-25T21:12:25Z

← Предыдущая версия		Версия от 00:12, 26 июня 2026
Строка 554:		Строка 554:

	=== Подписывание RPM-пакета ===		=== Подписывание RPM-пакета ===

			Для работы <code>rpmsign</code> установите пакет <code>rpm-sign</code>:

			sudo dnf install rpm-sign

	Включите открытый ключ в состав пакета, чтобы он установился в <code>/etc/keys/ima/</code>. В секции <code>%install</code> spec-файла:		Включите открытый ключ в состав пакета, чтобы он установился в <code>/etc/keys/ima/</code>. В секции <code>%install</code> spec-файла:
Строка 568:		Строка 572:
	gpg --batch --passphrase '' --quick-generate-key "Company RPM Sign" rsa2048 sign 0		gpg --batch --passphrase '' --quick-generate-key "Company RPM Sign" rsa2048 sign 0

	~~Подпишите собранный~~ пакет:		'''Если пакет уже подписан GPG''' и нужно добавить ещё и IMA-подписи, сначала удалите старую GPG-подпись:

			rpmsign --delsign company-app-1.0.x86_64.rpm

			Затем подпишите пакет — и GPG, и IMA за один проход:

	rpmsign --define "_gpg_name Company RPM Sign" \		rpmsign --define "_gpg_name Company RPM Sign" \
Строка 574:		Строка 582:
	--fskpath=company-private.pem \		--fskpath=company-private.pem \
	company-app-1.0.x86_64.rpm		company-app-1.0.x86_64.rpm

			Если же пакет ещё не подписан, шаг <code>--delsign</code> пропускается.

	Проверьте, что IMA-подписи встали в пакет:		Проверьте, что IMA-подписи встали в пакет:
Строка 579:		Строка 589:
	rpm -qp --qf "[%{filenames}: %{filesignatures}\n]" company-app-1.0.x86_64.rpm \| head		rpm -qp --qf "[%{filenames}: %{filesignatures}\n]" company-app-1.0.x86_64.rpm \| head

	Подписи есть у обычных файлов; у симлинков и каталогов их быть не может.		Подписи есть у обычных файлов; у симлинков и каталогов их быть не может. При необходимости IMA-подписи можно удалить отдельно от GPG-подписи командой <code>rpmsign --delfilesign</code>.

	=== Установка на системе с IMA ===		=== Установка на системе с IMA ===

Mikhailnov в 21:08, 25 июня 2026

2026-06-25T21:08:24Z

← Предыдущая версия		Версия от 00:08, 26 июня 2026
Строка 537:		Строка 537:

	rm -fv cat.copy		rm -fv cat.copy

			== Подготовка стороннего ПО для работы с IMA ==

			Разработчикам стороннего ПО, которое должно работать на Росе со включенной замкнутой программной средой, необходимо встроить IMA-подписи в свои RPM-пакеты и предоставить пользователям открытый ключ.

			=== Создание ключевой пары ===

			Создайте закрытый RSA-ключ и самоподписанный сертификат:

			openssl genrsa -out company-private.pem 2048
			openssl req -new -x509 -key company-private.pem -out company-cert.pem -days 3650 -subj "/CN=Company IMA signing key/"
			openssl x509 -outform der -in company-cert.pem -out company-cert.der

			* <code>company-private.pem</code> — закрытый ключ, которым подписываются файлы. Храните его в секрете.
			* <code>company-cert.der</code> — открытый ключ (сертификат) в формате DER. Рекомендуется встроить его прямо в RPM-пакет (см. ниже), чтобы он автоматически устанавливался в <code>/etc/keys/ima/</code>.

			=== Подписывание RPM-пакета ===

			Включите открытый ключ в состав пакета, чтобы он установился в <code>/etc/keys/ima/</code>. В секции <code>%install</code> spec-файла:

			mkdir -p %{buildroot}/etc/keys/ima
			install -m644 company-cert.der %{buildroot}/etc/keys/ima/company-cert.der

			и в <code>%files</code>:

			/etc/keys/ima/company-cert.der

			<code>rpmsign</code> при вызове с флагом <code>--signfiles</code> подписывает каждый файл в пакете IMA-подписью. Одновременно ставится и GPG-подпись заголовка пакета, для неё потребуется GPG-ключ (если он уже есть — используйте существующий):

			gpg --batch --passphrase '' --quick-generate-key "Company RPM Sign" rsa2048 sign 0

			Подпишите собранный пакет:

			rpmsign --define "_gpg_name Company RPM Sign" \
			--addsign --signfiles \
			--fskpath=company-private.pem \
			company-app-1.0.x86_64.rpm

			Проверьте, что IMA-подписи встали в пакет:

			rpm -qp --qf "[%{filenames}: %{filesignatures}\n]" company-app-1.0.x86_64.rpm \| head

			Подписи есть у обычных файлов; у симлинков и каталогов их быть не может.

			=== Установка на системе с IMA ===

			Пользователю на машине с включенной IMA достаточно:

			1. Установить RPM-пакет:

			sudo dnf install ./company-app-1.0.x86_64.rpm

			При установке или обновлении пакета плагин <code>rpm-plugin-ima</code> автоматически проставляет IMA-подписи из пакета как расширенные атрибуты <code>security.ima</code> на файлы. Открытый ключ разработчика (<code>company-cert.der</code>) при этом попадает в <code>/etc/keys/ima/</code>.

			2. '''Перезагрузить ОС.''' Ключ из <code>/etc/keys/ima/</code> импортируется в ключевую систему ядра только при загрузке. До перезагрузки подписанные файлы не смогут пройти проверку IMA и их запуск будет запрещён.


	[[Категория:Сервер]]		[[Категория:Сервер]]

Mikhailnov в 13:07, 25 июня 2026

2026-06-25T13:07:25Z

@@ Строка 34: / Строка 34: @@
 == Роса 13 ==
 На Росе 13 IMA-подписи уже встроены в пакеты репозиториев, а открытый ключ и политика IMA входят в пакет <code>imactl</code>.
 Для включения замкнутой программной среды выполните три шага.

Mikhailnov в 12:59, 25 июня 2026

2026-06-25T12:59:06Z

← Предыдущая версия		Версия от 15:59, 25 июня 2026
Строка 8:		Строка 8:
	На '''Росе 13''' (платформа rosa13) пакеты из репозиториев уже содержат IMA-подписи, а ключ и политика входят в пакет <code>imactl</code>, поэтому включение замкнутой среды выполняется тремя простыми командами (см. [[#Роса 13\|раздел Роса 13]]). Подписывать вручную нужно только файлы, не входящие в пакеты из репозитория Росы.		На '''Росе 13''' (платформа rosa13) пакеты из репозиториев уже содержат IMA-подписи, а ключ и политика входят в пакет <code>imactl</code>, поэтому включение замкнутой среды выполняется тремя простыми командами (см. [[#Роса 13\|раздел Роса 13]]). Подписывать вручную нужно только файлы, не входящие в пакеты из репозитория Росы.

	На '''Росе 12 и более ранних''' (Роса ~~Fresh~~/~~Chrome~~ 12 — платформа rosa2021.1, Роса Nickel — платформа rosa2019.05) IMA-подписей в пакетах нет, поэтому требуется вручную создавать ключи и подписывать все исполняемые файлы и библиотеки (см. [[#Роса 12 и более ранние\|раздел Роса 12]]).		На '''Росе 12 и более ранних''' (Роса Хром/Фреш 12 — платформа rosa2021.1, Роса Nickel — платформа rosa2019.05) IMA-подписей в пакетах нет, поэтому требуется вручную создавать ключи и подписывать все исполняемые файлы и библиотеки (см. [[#Роса 12 и более ранние\|раздел Роса 12]]).

	== Модель угроз ==		== Модель угроз ==
Строка 169:		Строка 169:
	== Роса 12 и более ранние ==		== Роса 12 и более ранние ==

	'''Данный раздел описывает полную ручную настройку IMA.''' На Росе 13 в ней нет необходимости — там достаточно установить пакет <code>imactl</code> (см. [[#Роса 13\|раздел Роса 13]]). Тем не менее, описанные здесь шаги применимы и к Росе 13, если по какой-то причине требуется полностью ручная настройка (например, нужно использовать собственную политику или собственный ключ для всех файлов системы). Для Роса ~~Fresh~~/~~Chrome~~ 12 (платформа rosa2021.1) и Роса Nickel (платформа rosa2019.05) ручная настройка — единственный способ, поскольку IMA-подписей в пакетах нет: создаётся ключевая пара, подписываются все исполняемые файлы и библиотеки, формируется политика IMA и пересобирается initrd.		'''Данный раздел описывает полную ручную настройку IMA.''' На Росе 13 в ней нет необходимости — там достаточно установить пакет <code>imactl</code> (см. [[#Роса 13\|раздел Роса 13]]). Тем не менее, описанные здесь шаги применимы и к Росе 13, если по какой-то причине требуется полностью ручная настройка (например, нужно использовать собственную политику или собственный ключ для всех файлов системы). Для Роса Хром/Фреш 12 (платформа rosa2021.1) и Роса Nickel (платформа rosa2019.05) ручная настройка — единственный способ, поскольку IMA-подписей в пакетах нет: создаётся ключевая пара, подписываются все исполняемые файлы и библиотеки, формируется политика IMA и пересобирается initrd.

	=== Подготовка ===		=== Подготовка ===
Строка 181:		Строка 181:
	Нажмите Ctrl+X или F10 для запуска ОС с измененными параметрами ядра.		Нажмите Ctrl+X или F10 для запуска ОС с измененными параметрами ядра.

	Если используется система без настроенного SELinux (Роса ~~Fresh~~, Роса ~~Chrome~~), то выполнять данный пункт не требуется (однако, если его выполнить, не будет ни плохо, ни хорошо).		Если используется система без настроенного SELinux (Роса Хром, Роса Фреш), то выполнять данный пункт не требуется (однако, если его выполнить, не будет ни плохо, ни хорошо).

	==== Установка пакетов ====		==== Установка пакетов ====

Mikhailnov в 12:54, 25 июня 2026

2026-06-25T12:54:01Z

Внесённые изменения

Mikhailnov в 21:11, 24 июня 2026

2026-06-24T21:11:19Z

← Предыдущая версия		Версия от 00:11, 25 июня 2026
Строка 98:		Строка 98:

	cp -v ima_cert.der /etc/keys/ima/ima_cert.der		cp -v ima_cert.der /etc/keys/ima/ima_cert.der
	~~И дополнительно в другой каталог для работы evmctl ima_verify:~~

	~~cp -v ima_cert.der /etc/keys/x509_evm.der~~

	=== Создание политики IMA ===		=== Создание политики IMA ===

Mikhailnov в 19:17, 22 июня 2026

2026-06-22T19:17:33Z

← Предыдущая версия		Версия от 22:17, 22 июня 2026
Строка 137:		Строка 137:
	dont_measure fsmagic=0xf97cff8c		dont_measure fsmagic=0xf97cff8c
	dont_appraise fsmagic=0xf97cff8c		dont_appraise fsmagic=0xf97cff8c
			# SMACK_MAGIC — /sys/fs/smackfs
			dont_measure fsmagic=0x43415d53
			dont_appraise fsmagic=0x43415d53
	# CGROUP_SUPER_MAGIC		# CGROUP_SUPER_MAGIC
	dont_measure fsmagic=0x27e0eb		dont_measure fsmagic=0x27e0eb
Строка 148:		Строка 151:
	# EFIVARFS_MAGIC		# EFIVARFS_MAGIC
	dont_measure fsmagic=0xde5e81e4		dont_measure fsmagic=0xde5e81e4
	dont_appraise fsmagic=~~0xde5e81e4f~~		dont_appraise fsmagic=0xde5e81e4
	measure func=MMAP_CHECK mask=MAY_EXEC		measure func=MMAP_CHECK mask=MAY_EXEC
	measure func=BPRM_CHECK mask=MAY_EXEC		measure func=BPRM_CHECK mask=MAY_EXEC
Строка 154:		Строка 157:
	appraise func=MMAP_CHECK mask=MAY_EXEC appraise_type=imasig		appraise func=MMAP_CHECK mask=MAY_EXEC appraise_type=imasig
	</pre>		</pre>

	Выставьте права на этот файл:		Выставьте права на этот файл:

Mikhailnov в 18:58, 22 июня 2026

2026-06-22T18:58:07Z

← Предыдущая версия		Версия от 21:58, 22 июня 2026
Строка 146:		Строка 146:
	dont_measure fsmagic=0x6e736673		dont_measure fsmagic=0x6e736673
	dont_appraise fsmagic=0x6e736673		dont_appraise fsmagic=0x6e736673
			# EFIVARFS_MAGIC
			dont_measure fsmagic=0xde5e81e4
			dont_appraise fsmagic=0xde5e81e4f
	measure func=MMAP_CHECK mask=MAY_EXEC		measure func=MMAP_CHECK mask=MAY_EXEC
	measure func=BPRM_CHECK mask=MAY_EXEC		measure func=BPRM_CHECK mask=MAY_EXEC

PastorDi в 10:47, 28 мая 2025

2025-05-28T10:47:56Z

← Предыдущая версия		Версия от 13:47, 28 мая 2025
Строка 309:		Строка 309:
	-bash: ./cat.copy: Отказано в доступе		-bash: ./cat.copy: Отказано в доступе
	При этом в логе аудита появляется запись о запрете запуска неподписанного файла.		При этом в логе аудита появляется запись о запрете запуска неподписанного файла.

			Если вы используете ОС с мандатной защитой (Никель), то в этой консоли выполните:

			newrole -r secadm_r
			В логе будет сообщение с текстом "cause=IMA-signature-required", чтобы его увидеть, в этой же консоли выполняем команду:

			strings /var/log/audit/audit.log \| grep IMA
			Ее вывод будет похож на следующий:

			type=INTEGRITY_DATA msg=audit(1610966070.898:250): pid=7021 uid=0 auid=1000 ses=2 op=appraise_data cause=IMA-signature-required comm="bash" name="/root/cat.copy" dev="sda2" ino=2759743 res=0 errno=0
			Это говорит о работоспособности замкнутой программной среды (IMA).

			Удалите более ненужный файл:

			rm -fv cat.copy


			[[Категория:Сервер]]