Kaixo guztioi! Ikastaroko ikasleentzat bereziki SELinux proiektuaren FAQ ofizialaren itzulpena prestatu dugu. Itzulpen hau ikasleentzat ez ezik erabilgarria izan daitekeela iruditzen zaigu, beraz, zuekin partekatzen ari gara.
SELinux proiektuari buruz gehien egiten diren galdera batzuei erantzuten saiatu gara. Gaur egun, galderak bi kategoria nagusitan banatzen dira. Galdera eta erantzun guztiak ematen dira .
Обзор
Обзор
- Zer da Security Enhanced Linux?
Segurtasuna hobetutako Linux (SELinux) Flask segurtasun-arkitekturaren erreferentziazko inplementazioa da sarbide-kontrol malgu eta behartua lortzeko. Sarbide malguak kontrolatzeko mekanismoen erabilgarritasuna eta mekanismo horiek sistema eragileari nola gehi daitezkeen erakusteko sortu zen. Ondoren, Flask arkitektura Linux-en integratu zen eta beste hainbat sistematara eraman zuten, besteak beste, Solaris sistema eragilera, FreeBSD sistema eragilera eta Darwin kernelera, erlazionatutako lan ugari sortuz. Flask arkitekturak laguntza orokorra eskaintzen du behartutako sarbide-kontroleko politika mota asko aplikatzeko, besteak beste, Mota Betetzea, Rolean oinarritutako Sarbide Kontrola eta Maila Anitzeko Segurtasuna kontzeptuetan oinarritutakoak. - Zer eskaintzen du segurtasuna hobetutako Linuxek Linux estandarrak ezin duenik?
Segurtasuna hobetutako Linux kernelak behartutako sarbide-kontroleko politikak ezartzen ditu, erabiltzailearen programak eta sistema zerbitzariak beren lana egiteko behar duten gutxieneko pribilegioetara mugatzen dutenak. Muga honekin, erabiltzailearen programa eta sistema-daemon hauen gaitasuna arriskuan jartzen badira (adibidez, buffer gainezka edo gaizki konfiguratuta) murriztu edo ezabatzen da. Murrizketa-mekanismo honek Linux-en sarbide-kontrol-mekanismo tradizionalen arabera funtzionatzen du. Ez du supererabiltzaile "root" kontzeptua eta ez ditu Linux ohiko segurtasun-mekanismoen gabezia ezagunak partekatzen (adibidez, setuid/setgid bitarren menpekotasuna).
Aldatu gabeko Linux sistema baten segurtasuna nukleoaren, aplikazio pribilegiatu guztien eta haien konfigurazio bakoitzaren zuzentasunaren araberakoa da. Arlo horietako edozein arazoren batek sistema osoa arriskuan jar dezake. Aitzitik, segurtasuna hobetutako Linux nukleo batean oinarritutako sistema aldatu baten segurtasuna nukleoaren zuzentasunaren eta bere segurtasun politikaren konfigurazioaren araberakoa da nagusiki. Aplikazioen zuzentasunak edo konfigurazio-arazoek erabiltzaile-programak eta sistemaren daemonen arrisku mugatua izan dezaketen arren, ez dute segurtasun-arriskurik sortzen beste erabiltzaile-programa eta sistema-daemonentzat edo sistema osoaren segurtasunarentzat. - Zertarako balio du?
Segurtasun hobetua duten Linux-en eginbide berriak konfidentzialtasun- eta osotasun-eskakizunetan oinarritutako informazioa bereiztea bermatzeko diseinatuta daude. Prozesuek datuak eta programak irakurtzea, datuak eta programak manipulatzea, aplikazioen segurtasun-mekanismoak saihestea, fidagarriak ez diren programak exekutatzeko edo sistemaren segurtasun-politikak urratzen dituzten beste prozesu batzuekin oztopatzeko diseinatuta daude. Era berean, malware edo malwareek eragin ditzaketen kalteak mugatzen laguntzen dute. Era berean, erabilgarriak izan behar dira segurtasun-baimen desberdinak dituzten erabiltzaileek sistema bera erabil dezaketela segurtasun-baldintza desberdinak dituzten informazio-mota desberdinetara sartzeko, baldintza horiek arriskuan jarri gabe. - Nola lor dezaket kopia bat?
Linux-en banaketa askok SELinux-erako euskarria dute, funtzio lehenetsi gisa edo aukerako pakete gisa integratuta. SELinux userland kode nagusia hemen dago eskuragarri . Azken erabiltzaileek, oro har, beren banaketak emandako paketeak erabili behar dituzte. - Zer sartzen da zure oharra?
NSA SELinux bertsioak SELinux erabiltzaile-esparruko oinarrizko kodea barne hartzen du. SELinux-en euskarria dagoeneko sartuta dago Linux 2.6 nukleo nagusian, kernel.org helbidean eskuragarri. SELinux userland kodea oinarrizko politika bitarra manipulatzeko liburutegi bat (libsepol), politika konpilatzaile bat (checkpolicy), segurtasun aplikazioetarako liburutegi bat (libselinux), politikak kudeatzeko tresnetarako liburutegia (libsemanage) eta politikarekin lotutako hainbat utilitate ditu ( policycoreutils).
SELinux-en gaitutako nukleoaz eta oinarrizko userland kodeaz gain, politika bat eta SELinux-ek adabakitutako erabiltzaile-espazio pakete batzuk beharko dituzu SELinux erabiltzeko. Politika hemendik lor daiteke . - Instalatu al dezaket Hardened Linux lehendik dagoen Linux sistema batean?
Bai, lehendik dagoen Linux sistema batean SELinux-en aldaketak bakarrik instala ditzakezu edo dagoeneko SELinux-en euskarria duen Linux banaketa bat instala dezakezu. SELinux SELinux euskarria duen Linux kernel bat, liburutegi eta utilitateen multzo nagusi bat, erabiltzaile-pakete aldatu batzuk eta politika-konfigurazioa ditu. SELinux euskarria ez duen lehendik dagoen Linux sistema batean instalatzeko, softwarea konpilatzeko gai izan behar duzu eta beharrezkoak diren beste sistema paketeak ere izan behar dituzu. Zure Linux banaketak SELinux-en euskarria badu dagoeneko, ez duzu SELinux-en NSA bertsioa eraiki edo instalatu beharrik. - Nola bateragarria da Security Enhanced Linux aldatu gabeko Linux-ekin?
Security Enhanced Linux-ek lehendik dauden Linux aplikazioekin eta lehendik dauden Linux nukleoaren moduluekin bateragarritasun bitarra eskaintzen du, baina baliteke nukleoko modulu batzuek aldaketa behar izatea SELinux-ekin behar bezala elkarreragiteko. Bi bateragarritasun-kategoria hauek xehetasunez eztabaidatzen dira jarraian:- Aplikazioen bateragarritasuna
SELinux-ek lehendik dauden aplikazioekin bateragarritasun bitarra eskaintzen du. Kerneleko datu-egiturak hedatu ditugu segurtasun-atributu berriak sartzeko eta segurtasun-aplikazioetarako API dei berriak gehitu ditugu. Hala ere, ez dugu aldatu aplikazioan ikusgai dauden datu-egiturarik edo lehendik dauden sistema-deien interfazea aldatu; beraz, lehendik dauden aplikazioak aldaketarik gabe exekutatu daitezke segurtasun-politikak exekutatzen uzten badie. - Kernel-moduluaren bateragarritasuna
Hasieran, SELinux-ek lehendik zeuden nukleoko moduluetarako bakarrik ematen zuen jatorrizko bateragarritasuna; beharrezkoa zen modulu horiek berriro konpilatzea nukleoaren goiburu aldatuekin, nukleoaren datu-egituretan gehitutako segurtasun-eremu berriak jasotzeko. Orain LSM eta SELinux Linux 2.6 nukleo nagusian integratuta daudenez, SELinux-ek orain dauden nukleoaren moduluekin bateragarritasun bitarra eskaintzen du. Hala ere, baliteke nukleoko modulu batzuk SELinux-ekin ondo ez elkarreraginatzea aldaketarik gabe. Adibidez, nukleoko modulu batek nukleoko objektu bat zuzenean esleitu eta ezartzen badu hasierako funtzio arruntak erabili gabe, baliteke nukleoko objektuak segurtasun-informazio egokia falta izatea. Baliteke nukleoko modulu batzuek beren eragiketetarako segurtasun-kontrol egokiak ez izatea; Nukleo-funtzioei edo baimen-funtzioei dagoen edozein deiek ere SELinux-en baimen-egiaztapenak eragingo dituzte, baina baliteke kontrol zehatzagoak edo osagarriak behar izatea MAC politikak betearazteko.
Segurtasuna hobetutako Linuxek ez luke elkarreragingarritasun-arazorik sortu behar Linux sistema arruntekin, betiere segurtasun-politikaren konfigurazioak beharrezko eragiketa guztiak onartzen baditu.
- Aplikazioen bateragarritasuna
- Zeintzuk dira segurtasun-politikaren konfigurazioaren adibidearen helburuak?
Maila altuan, behartutako sarbide-kontrolen malgutasuna eta segurtasuna erakustea eta aplikazioetan gutxieneko aldaketak dituen lan-sistema sinple bat eskaintzea da. Maila baxuagoan, politika batek politikaren dokumentazioan deskribatutako hainbat helburu ditu. Helburu horien artean daude datu gordinaren sarbidea kontrolatzea, nukleoaren osotasuna, sistemaren softwarea, sistemaren konfigurazio informazioa eta sistemaren erregistroak babestea, pribilegioak behar dituen prozesu batean ahultasun bat ustiatzeak eragin ditzakeen kalteak mugatzea, prozesu pribilegiatuak maltzurren exekuziotik babestea. kodea, administratzaile-eginkizuna eta domeinua erabiltzaileen autentifikaziorik gabeko saio-hasieratik babestuz, erabiltzaile-prozesu arruntek sistema edo administrazio-prozesuetan oztopatzea eragotziz, eta erabiltzaileak eta administratzaileak beren arakatzailearen ahultasunak ustiatzetik babestea mugikor kode maltzurren bidez. - Zergatik aukeratu zen Linux oinarrizko plataforma gisa?
Lan honen hasierako erreferentziazko inplementaziorako plataforma gisa Linux aukeratu zen, gero eta arrakasta handiagoa eta garapen-ingurune irekiagatik. Linuxek aukera bikaina eskaintzen du funtzionalitate hau ostalari sistema eragile batean arrakasta izan daitekeela frogatzeko eta, aldi berean, asko erabiltzen den sistema baten segurtasunean laguntzea. Linux plataformak aukera bikaina eskaintzen du lan honek ahalik eta ikuspegi zabalena lortzeko eta beste zaletu batzuen segurtasun-ikerketetarako oinarri gisa balio dezake. - Zergatik egin duzu lan hau?
Segurtasun Agentzia Nazionala NSAk informazio-segurtasun irtenbideak, produktuak eta zerbitzuak eskain ditzan AEBetako segurtasun nazionalaren interesen funtsezkoak diren informazio-azpiegituretarako beharrezkoak diren teknologien ikerketa eta garapen aurreratuaren arduraduna da.
Sistema eragile bideragarri eta seguru bat sortzea ikerketaren erronka kritikoa izaten jarraitzen du. Gure helburua da arkitektura eraginkorra sortzea, beharrezko segurtasun-euskarria eskaintzen duena, programak erabiltzailearentzako oso gardena den moduan exekutatzen dituena eta saltzaileentzako erakargarria dena. Gure ustez, helburu hori lortzeko urrats garrantzitsu bat behartutako sarbidea kontrolatzeko mekanismoak azpiko sistema eragilean arrakastaz integra daitezkeen erakustea da. - Nola erlazionatzen da hori aurreko NSA OS ikerketekin?
NSAren National Information Assurance Research Laboratory eta Secure Computing Corporation (SCC) ikertzaileek Type Enforcement-en oinarritutako sarbide-kontroleko arkitektura indartsu eta malgu bat garatu dute, lehen LOCK sistemarako garatutako mekanismoa. NSAk eta SCCk Mach-en oinarritutako bi arkitektura prototipo garatu dituzte: DTMach eta DTOS (). NSA eta SCC Utahko Unibertsitateko Flux ikerketa taldearekin lan egin zuten arkitektura Fluke ikerketa sistema eragilera eramateko. Migrazio honetan, arkitektura hobetu egin zen segurtasun politika dinamikoei hobeto laguntzeko. Hobetutako arkitektura honi Flask deitzen zitzaion (). Orain NSAk Flask arkitektura Linux sistema eragilean integratu du teknologia garatzaileen eta erabiltzaileen komunitate zabalera eramateko. - Segurtasuna hobetutako Linux sistema eragile fidagarria al da?
"Sistema eragile fidagarria" esaldiak, oro har, gobernu-eskakizun multzo zehatz bat betetzeko segurtasun-geruza eta kontzeptu-froga nahikoa eskaintzen duen sistema eragileari egiten zaio erreferentzia. Segurtasuna Hobetutako Linuxek sistema hauetako ideia erabilgarriak biltzen ditu, baina sarbide-kontrola betearaztean zentratzen da. Segurtasuna hobetutako Linux garatzearen hasierako helburua teknologia frogatzeko mundu errealeko ingurune ugaritan segurtasun-onura ukigarriak eskaintzen dituen funtzionalitate erabilgarria sortzea zen. SELinux bera ez da sistema eragile fidagarri bat, baina sistema eragile fidagarri batek behar duen segurtasun-eginbide kritiko bat eskaintzen du —behartutako sarbide-kontrola—. SELinux Labeled Security Protection Profilearen arabera baloratu diren Linux banaketetan integratu da. Probatu eta egiaztatutako produktuei buruzko informazioa hemen aurki daiteke . - Benetan babestuta al dago?
Sistema seguru baten kontzeptuak atributu asko barne hartzen ditu (adibidez, segurtasun fisikoa, langileen segurtasuna, etab.), eta segurtasun hobetua duen Linux-ek atributu horien multzo oso estu bat baino ez du zuzentzen (hau da, sistema eragilean betearazteko sarbide-kontrolak) . Beste era batera esanda, "sistema seguruak" nahikoa segurua esan nahi du mundu errealeko informazio batzuk benetako etsai batengandik babesteko, zeinaren aurka ohartarazi den informazioaren jabea eta/edo erabiltzailea. Security Enhanced Linux-ek Linux bezalako sistema eragile moderno batean beharrezkoak diren kontrolak erakustea baino ez du egin nahi, eta, beraz, nekez beteko du bere kabuz sistema seguru baten definizio interesgarririk. Uste dugu segurtasuna hobetutako Linux-en frogatutako teknologia sistema seguruak eraikitzen dituzten pertsonentzat erabilgarria izango dela. - Zer egin duzu bermea hobetzeko?
Proiektu honen helburua betearazteko kontrolak gehitzea zen Linux-en aldaketa minimoekin. Azken helburu honek asko mugatzen du zer egin daitekeen ziurtapena hobetzeko, beraz, ez da Linux ziurtapena hobetzera zuzendutako lanik egin. Bestalde, hobekuntzak ziurtasun handiko segurtasun arkitekturak diseinatzeko aurreko lanetan oinarritzen dira, eta diseinu-printzipio horietako gehienak Linuxera eramaten dira segurtasun hobetuarekin. - CCEVS-k Linux segurtasun hobetuarekin baloratu al du?
Segurtasuna Hobetutako Linux bera ez dago diseinatuta segurtasun-profilak aurkezten dituen segurtasun-arazoen multzo osoari aurre egiteko. Gaur egungo funtzionaltasuna soilik ebaluatzea posible izango litzatekeen arren, ebaluazio horrek balio mugatua izango lukeela uste dugu. Hala ere, beste batzuekin lan egin dugu teknologia hau ebaluatu diren Linux banaketa eta ebaluatzen ari diren banaketetan sartzeko. Probatu eta egiaztatutako produktuei buruzko informazioa hemen aurki daiteke . - Saiatu al zara ahultasunen bat adabakitzen?
Ez, ez dugu ahultasunik bilatu edo aurkitu gure lanean zehar. Gutxieneko hutsa baino ez dugu egin gure mekanismo berriak gehitzeko. - Sistema hau gobernuak erabiltzeko onartuta al dago?
Segurtasuna hobetutako Linux-ek ez du gobernuak erabiltzeko baimen berezirik edo gehigarririk Linux-en beste edozein bertsioren aldean. Segurtasun-hobetutako Linuxek ez du gobernuak erabiltzeko baimen berezirik edo gehigarririk Linux-en beste edozein bertsioren gainean. - Zertan ezberdintzen da hori beste ekimenekiko?
Security-Enhanced Linux-ek sarbide-kontrola malgu betetzeko arkitektura ondo definitua du, esperimentalki balioztatu dena hainbat prototipo-sistema erabiliz (DTMach, DTOS, Flask). Azterketa zehatzak egin dira arkitekturak segurtasun politika ugari onartzeko duen gaitasunari buruz eta eskuragarri daude. и .
Arkitekturak beste sistema batzuek kontrolatzen ez dituzten nukleoen abstrakzio eta zerbitzu askoren kontrol zehatza eskaintzen du. Segurtasun hobetua duen Linux sistema baten ezaugarri bereizgarri batzuk hauek dira:- Politika eta aplikazio eskubideen bereizketa garbia
- Ondo definitutako politika-interfazeak
- Politika eta hizkuntza politiko zehatzekiko independentzia
- Segurtasun-etiketen formatu eta eduki espezifikoen independentzia
- Nukleoko objektu eta zerbitzuentzako etiketa eta kontrola bereiziak
- Eraginkortasunerako sarbide-erabakiak gordetzea
- Politika aldaketetarako laguntza
- Prozesuaren hasierako kontrola eta programaren herentzia eta exekuzioa
- Kudeatu fitxategi-sistemak, direktorioak, fitxategiak eta fitxategi irekien deskribapenak
- Entxufeak, mezuak eta sareko interfazeak kudeatzea
- "Aukerak" erabileraren gaineko kontrola
- Zeintzuk dira sistema honen lizentzia-murrizketak?
Webgunean aurkitutako iturburu-kode guztia , jatorrizko iturburu-kodearen baldintza berdinetan banatuta. Adibidez, Linux nukleorako adabakiak eta hemen dauden erabilgarritasun askoren adabakiak kaleratzen dira: . - Ba al dago esportazioen kontrola?
Segurtasun hobetua duen Linux-ek ez du esportazio-kontrol gehigarririk Linux-en beste edozein bertsiorekin alderatuta. - NSAk etxean erabiltzeko asmoa al du?
Ageriko arrazoiengatik, NSAk ez du erabilera operatiboari buruzko iruzkinik egiten. - Secure Computing Corporation-en 26ko uztailaren 2002ko Aseguru Adierazpenak NSAren jarrera aldatzen al du SELinux GNU Lizentzia Publiko Orokorraren arabera ematen zela?
NSAren jarrera ez da aldatu. NSAk uste du GNU Lizentzia Publiko Orokorraren terminoek eta baldintzek SELinux-en erabilera, kopia, banaketa eta aldaketa arautzen dituztela. cm. . - NSAk kode irekiko softwarea onartzen al du?
NSAren softwarearen segurtasun-ekimenek jabedun eta kode irekiko softwarea hartzen dute barne, eta arrakastaz erabili ditugu jabedun eta kode irekiko ereduak gure ikerketa-jardueretan. NSAk softwarearen segurtasuna hobetzeko egiten duen lana kontu sinple batek bultzatzen du: aprobetxatu gure baliabideak NSAko bezeroei gehien erabiltzen diren produktuetan ahalik eta segurtasun aukera onenak eskaintzeko. NSA ikerketa programaren helburua software garapenaren komunitatearekin parteka daitezkeen aurrerapen teknologikoak garatzea da, hainbat entrega mekanismoren bidez. NSAk ez du inolako software produktu edo negozio eredu zehatzik onartzen edo sustatzen. Aitzitik, NSA segurtasuna sustatzen ari da. - NSAk Linux onartzen al du?
Goian adierazi bezala, NSAk ez du inolako software produktu edo plataforma zehatzik onartzen edo sustatzen; NSAk segurtasuna hobetzen laguntzen du. SELinux erreferentziazko inplementazioan frogatutako Flask arkitektura beste hainbat sistema eragiletara eraman da, Solaris, FreeBSD eta Darwin barne, Xen hipervisorera eraman dute eta X Window System, GConf, D-BUS eta aplikazioetan aplikatu da. PostgreSQL. Flask arkitektura-kontzeptuak sistema eta ingurune ugaritan aplikatzen dira.
lankidetza
- Nola aurreikusten dugu Linux komunitatearekin elkarreragiteko?
Daukagu , Linux-i buruzko informazioa segurtasun hobearekin argitaratzeko gure modu nagusia izango da. Segurtasuna hobetutako Linux-en interesa baduzu, garatzaileen posta-zerrendan sartzera animatzen zaitugu, iturburu-kodea berrikusi eta zure iritzia (edo kodea) ematera. Garatzaileen posta-zerrendan sartzeko, ikus . - Nork lagundu dezake?
SELinux kode irekiko Linux software komunitateak onartzen eta garatzen du orain. - NSAk finantzatzen al du jarraipen lan bat?
NSAk ez du lan gehiagorako proposamenik aztertzen. - Zein laguntza mota dago eskuragarri?
Arazoak posta zerrendaren bidez konpontzeko asmoa dugu [posta elektroniko bidez babestua], baina baliteke gune jakin bati lotutako galdera guztiak erantzun ezin izango ditugula. - Nork lagundu zuen? Zer egin zuten?
Segurtasunarekin hobetutako Linux prototipoa NSAk garatu zuen NAI Labs, Secure Computing Corporation (SCC) eta MITRE Corporation ikerketa-kideekin. Hasierako kaleratu publikoaren ondoren, beste hainbat material jarraitu ziren. . - Nola jakin dezaket gehiago?
Gure web orriak bisitatzera, dokumentazioa eta iraganeko ikerketa-lanak irakurtzera eta gure posta-zerrendan parte hartzera animatzen zaituztegu [posta elektroniko bidez babestua]
Itzulpena erabilgarria iruditzen al zaizu? Idatzi iruzkinak!
Iturria: www.habr.com