{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Guide pour les d\u00e9butants sur SELinux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Guide<\/p>\n

<\/p>\n

La traduction de l'article est pr\u00e9par\u00e9e pour les \u00e9tudiants du cours \u00abS\u00e9curit\u00e9 Linux\u00bb<\/a><\/noindex><\/em><\/p>\n

SELinux ou Security Enhanced Linux est un m\u00e9canisme de contr\u00f4le d'acc\u00e8s avanc\u00e9, d\u00e9velopp\u00e9 par la National Security Agency des \u00c9tats-Unis (NSA) pour pr\u00e9venir les intrusions malveillantes. Il impl\u00e9mente un mod\u00e8le de contr\u00f4le d'acc\u00e8s obligatoire (Mandatory Access Control, MAC) au-dessus d'un mod\u00e8le de contr\u00f4le d'acc\u00e8s discr\u00e9tionnaire (Discretionary Access Control, DAC) existant, c'est-\u00e0-dire des autorisations de lecture, d'\u00e9criture et d'ex\u00e9cution.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinux a trois modes :<\/p>\n

<\/p>\n

    \n
  1. Enforcing<\/strong> \u2014 interdiction d'acc\u00e8s sur la base des r\u00e8gles de la politique.<\/li>\n
  2. Permissive<\/strong> \u2014 tenue d'un journal des actions enfreignant la politique, qui seraient interdites en mode enforcing.<\/li>\n
  3. Activ\u00e9e<\/strong> \u2014 d\u00e9sactivation compl\u00e8te de SELinux.<\/li>\n<\/ol>\n

    <\/p>\n

    Par d\u00e9faut, les param\u00e8tres sont dans \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    Modification des modes de SELinux<\/h1>\n

    <\/p>\n

    Pour conna\u00eetre le mode actuel, ex\u00e9cutez <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Pour changer le mode en permissive, ex\u00e9cutez la commande suivante <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    ou, pour passer du mode permissive<\/strong> sur enforcing<\/strong>, ex\u00e9cutez <\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Si vous devez d\u00e9sactiver compl\u00e8tement SELinux, cela ne peut se faire que par le fichier de configuration <\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/code><\/pre>\n
    <\/p>\n
    Pour le d\u00e9sactiver, modifiez le param\u00e8tre SELINUX comme suit :<\/p>\n
    <\/p>\n
    SELINUX=disabled<\/code><\/pre>\n
    <\/p>\n
    Configuration de SELinux<\/h1>\n
    <\/p>\n
    Chaque fichier et processus est marqu\u00e9 par un contexte SELinux, qui contient des informations suppl\u00e9mentaires, telles que l'utilisateur, le r\u00f4le, le type, etc. Si vous activez SELinux pour la premi\u00e8re fois, vous devez d'abord configurer le contexte et les labels. Le processus d'assignation des labels et du contexte est connu sous le nom de marquage. Pour commencer le marquage, modifiez le mode dans le fichier de configuration \u00e0 permissive<\/strong>.<\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive<\/code><\/pre>\n
    <\/p>\n
    Apr\u00e8s avoir d\u00e9fini le mode permissive<\/strong>, cr\u00e9ons dans la racine un fichier cach\u00e9 vide nomm\u00e9 .autorelabel<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    et red\u00e9marrez l'ordinateur<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    Remarque : nous utilisons le mode permissive<\/strong> pour le marquage, car l'utilisation du mode enforcing<\/strong> peut entra\u00eener un plantage du syst\u00e8me lors du red\u00e9marrage.<\/p>\n
    <\/p>\n
    Ne vous inqui\u00e9tez pas si le d\u00e9marrage se bloque sur un fichier, le marquage prend un certain temps. Une fois le marquage et le d\u00e9marrage de votre syst\u00e8me termin\u00e9s, vous pouvez retourner au fichier de configuration et d\u00e9finir le mode enforcing<\/strong>, et \u00e9galement ex\u00e9cuter :<\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Vous avez maintenant activ\u00e9 SELinux avec succ\u00e8s sur votre ordinateur. <\/p>\n
    <\/p>\n
    Surveillance des journaux<\/h1>\n
    <\/p>\n
    Il est possible que vous ayez rencontr\u00e9 des erreurs lors du marquage ou pendant le fonctionnement du syst\u00e8me. Pour v\u00e9rifier si SELinux fonctionne correctement et s'il ne bloque pas l'acc\u00e8s \u00e0 un port, une application, etc., vous devez consulter les journaux. Le journal de SELinux se trouve dans \/var\/log\/audit\/audit.log<\/code>, mais vous n'avez pas besoin de le lire enti\u00e8rement pour trouver des erreurs. Vous pouvez utiliser l'outil audit2why pour rechercher des erreurs. Ex\u00e9cutez la commande suivante :<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    En cons\u00e9quence, vous obtiendrez une liste d'erreurs. S'il n'y avait pas d'erreurs dans le journal, aucun message ne s'affichera.<\/p>\n
    <\/p>\n
    Configuration de la politique SELinux<\/h1>\n
    <\/p>\n
    La politique SELinux est un ensemble de r\u00e8gles que suit le m\u00e9canisme de s\u00e9curit\u00e9 SELinux. La politique d\u00e9finit un ensemble de r\u00e8gles pour un environnement sp\u00e9cifique. Nous allons maintenant voir comment configurer des politiques pour autoriser l'acc\u00e8s \u00e0 des services interdits.<\/p>\n
    <\/p>\n
    1. Valeurs logiques (commutateurs)<\/h4>\n
    <\/p>\n
    Les commutateurs (bool\u00e9ens) permettent de modifier des parties de la politique en cours d'ex\u00e9cution, sans avoir besoin de cr\u00e9er de nouvelles politiques. Ils permettent de faire des changements sans red\u00e9marrer ou recompresser les politiques SELinux.<\/p>\n
    <\/p>\n
    Exemple<\/strong>
    \nSupposons que nous souhaitions fournir un acc\u00e8s partag\u00e9 au r\u00e9pertoire personnel d'un utilisateur par FTP en lecture et \u00e9criture, et que nous l'ayons d\u00e9j\u00e0 partag\u00e9, mais que lors de la tentative d'acc\u00e8s, nous ne voyons rien. Cela est d\u00fb au fait que la politique SELinux interdit au serveur FTP de lire et d'\u00e9crire dans le r\u00e9pertoire personnel de l'utilisateur. Nous devons modifier la politique pour que le serveur FTP puisse acc\u00e9der aux r\u00e9pertoires personnels. V\u00e9rifions s'il existe des commutateurs pour cela en ex\u00e9cutant<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Cette commande produira une liste des commutateurs disponibles avec leur \u00e9tat actuel (activ\u00e9\/on ou d\u00e9sactiv\u00e9\/off) et leur description. Vous pouvez affiner votre recherche en ajoutant grep pour trouver les r\u00e9sultats se rapportant uniquement \u00e0 ftp :<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    et vous trouverez ce qui suit<\/p>\n
    <\/p>\n
    ftp_home_dir -> off       Permet au ftp de lire et d'\u00e9crire des fichiers dans le r\u00e9pertoire personnel de l'utilisateur<\/code><\/pre>\n
    <\/p>\n
    Ce commutateur est d\u00e9sactiv\u00e9, donc nous allons l'activer avec setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Maintenant, notre d\u00e9mon ftp pourra acc\u00e9der au r\u00e9pertoire personnel de l'utilisateur.
    \nRemarque : vous pouvez \u00e9galement obtenir une liste des commutateurs disponibles sans description en ex\u00e9cutant getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. \u00c9tiquettes et contexte<\/h4>\n
    <\/p>\n
    C'est le moyen le plus courant de mettre en \u0153uvre la politique SELinux. Chaque fichier, dossier, processus et port est \u00e9tiquet\u00e9 avec un contexte SELinux :<\/p>\n
    <\/p>\n