Hoi allegearre! Benammen foar kursusstudinten Wy hawwe in oersetting taret fan 'e offisjele FAQ fan it SELinux-projekt. It liket ús dat dizze oersetting nuttich kin wêze net allinich foar studinten, dus wy diele it mei jo.
Wy hawwe besocht guon fan 'e meast stelde fragen oer it SELinux-projekt te beantwurdzjen. Op it stuit binne fragen ferdield yn twa haadkategoryen. Alle fragen en antwurden wurde jûn .
oersjoch
oersjoch
- Wat is Security Enhanced Linux?
Feiligens-ferbettere Linux (SELinux) is in referinsje-ymplemintaasje fan 'e Flask-befeiligingsarsjitektuer foar fleksibele, ôftwongen tagongskontrôle. It is makke om it nut fan fleksibele tagongskontrôlemeganismen te demonstrearjen en hoe't sokke meganismen kinne wurde tafoege oan it bestjoeringssysteem. De Flask-arsjitektuer waard dêrnei yntegrearre yn Linux en porteare nei ferskate oare systemen, ynklusyf it Solaris-bestjoeringssysteem, it FreeBSD-bestjoeringssysteem, en de Darwin-kernel, wêrtroch in breed oanbod fan relatearre wurken ûntstie. De Flask-arsjitektuer jout algemiene stipe foar it tapassen fan in protte soarten fan ôftwongen tagongskontrôlebelied, ynklusyf dy basearre op 'e begripen Type Enforcement, Role-based Access Control, en Multi-level Security. - Wat leveret Linux mei befeiliging dat standert Linux net kin?
De befeiligingsferbettere Linux-kernel set ôftwongen belied foar tagongskontrôle dy't brûkersprogramma's en systeemservers beheine ta de minimale set privileezjes dy't se nedich binne om har wurk te dwaan. Mei dizze beheining wurdt it fermogen fan dizze brûkersprogramma's en systeemdaemonen om skea te feroarsaakjen as se kompromitteare (bygelyks troch in bufferoerstream of miskonfiguraasje) fermindere of elimineare. Dit beheiningmeganisme wurket ûnôfhinklik fan tradisjonele Linux tagongskontrôlemeganismen. It hat net it konsept fan in superuser "root" en dielt net de bekende tekoartkommingen fan tradisjonele Linux-feiligensmeganismen (bygelyks ôfhinklikens fan setuid/setgid-binaries).
De feiligens fan in net wizige Linux-systeem hinget ôf fan 'e krektens fan' e kernel, alle befoarrjochte applikaasjes, en elk fan har konfiguraasjes. In probleem yn ien fan dizze gebieten kin resultearje yn it hiele systeem wurdt kompromittearre. Yn tsjinstelling, de feiligens fan in wizige systeem basearre op in feiligens-ferbettere Linux-kernel hinget primêr ôf fan 'e krektens fan' e kernel en syn konfiguraasje fan feiligensbelied. Hoewol't tapassing korrektheid of konfiguraasje problemen meie tastean beheinde kompromis fan yndividuele brûker programma 's en systeem daemons, se foarmje gjin feiligens risiko foar oare brûkers programma en systeem daemons of foar de feiligens fan it systeem as gehiel. - Wêr is it goed foar?
Nije Linux-funksjes mei ferbettere feiligens binne ûntworpen om ynformaasjeskieding te garandearjen basearre op fertroulikens en yntegriteitseasken. Se binne ûntworpen om prosessen te foarkommen fan it lêzen fan gegevens en programma's, it manipulearjen fan gegevens en programma's, it omgean fan applikaasjefeiligensmeganismen, it útfieren fan net-fertroude programma's, of ynterferearjen mei oare prosessen yn striid mei systeemfeiligensbelied. Se helpe ek de potinsjele skea te beheinen dy't kin wurde feroarsake troch malware of malware. Se moatte ek nuttich wêze om te garandearjen dat brûkers mei ferskate befeiligingsrjochten itselde systeem kinne brûke om tagong te krijen ta ferskate soarten ynformaasje mei ferskate feiligenseasken sûnder dy easken te kompromittearjen. - Hoe kin ik in kopy krije?
In protte Linux-distribúsjes omfetsje stipe foar SELinux, itsij ynboud as standertfunksje as as opsjoneel pakket. De wichtichste SELinux brûkerslânkoade is beskikber by . Einbrûkers moatte oer it algemien de pakketten brûke dy't troch har distribúsje levere wurde. - Wat is opnommen yn jo release?
De NSA SELinux-release omfettet de kearn SELinux-brûkerslandkoade. SELinux-stipe is al opnommen yn 'e mainline Linux 2.6 kernel, beskikber op kernel.org. De kearnkoade fan SELinux brûkerslân bestiet út in bibleteek foar it manipulearjen fan binêr belied (libsepol), in beliedskompiler (checkpolicy), in biblioteek foar feiligensapplikaasjes (libselinux), in bibleteek foar ark foar beliedsbehear (libsemanage), en ferskate beliedsrelatearre nutsbedriuwen ( policycoreutils).
Neist de SELinux-ynskeakele kernel en basis brûkerslânkoade, sille jo in belied en guon SELinux-patched userspace-pakketten nedich wêze om SELinux te brûken. It belied is te krijen by . - Kin ik Hardened Linux ynstallearje op in besteande Linux-systeem?
Ja, jo kinne allinich SELinux-oanpassingen ynstallearje op in besteande Linux-systeem, of jo kinne in Linux-distribúsje ynstallearje dy't al SELinux-stipe omfettet. SELinux bestiet út in Linux-kernel mei SELinux-stipe, in kearnset fan bibleteken en nutsbedriuwen, guon oanpaste brûkerspakketten, en beliedskonfiguraasje. Om it te ynstallearjen op in besteand Linux-systeem dat SELinux-stipe mist, moatte jo de software kinne kompilearje en ek de oare fereaske systeempakketten hawwe. As jo Linux-distribúsje al SELinux-stipe omfettet, hoege jo de NSA-release fan SELinux net te bouwen of te ynstallearjen. - Hoe kompatibel is Security Enhanced Linux mei net wizige Linux?
Feiligens Enhanced Linux leveret binêre kompatibiliteit mei besteande Linux-applikaasjes en mei besteande Linux-kernelmodules, mar guon kernelmodules kinne modifikaasje nedich wêze om goed te ynteraksje mei SELinux. Dizze twa kategoryen fan kompatibiliteit wurde hjirûnder yn detail besprutsen:- Applikaasjekompatibiliteit
SELinux leveret binêre kompatibiliteit mei besteande applikaasjes. Wy hawwe de kernelgegevensstruktueren útwreide om nije befeiligingsattributen op te nimmen en nije API-oproppen tafoege foar befeiligingsapplikaasjes. Wy hawwe lykwols gjin applikaasje-sichtbere gegevensstruktueren feroare of de ynterface fan alle besteande systeemoproppen feroare, sadat besteande applikaasjes sûnder wiziging kinne rinne as befeiligingsbelied se kinne útfiere. - Kernel Module Kompatibilität
Yn it earstoan levere SELinux native kompatibiliteit allinich foar besteande kernelmodules; it wie nedich om sokke modules opnij te kompilearjen tsjin de feroare kearnkoppen om de nije befeiligingsfjilden op te heljen dy't tafoege binne oan de kernelgegevensstruktueren. Sûnt LSM en SELinux no binne yntegrearre yn 'e haad Linux 2.6 kernel, leveret SELinux no binêre kompatibiliteit mei besteande kernel modules. Guon kernelmodules kinne lykwols net goed ynteraksje mei SELinux sûnder wiziging. Bygelyks, as in kernel-module in kernel-objekt direkt allocearret en ynsteld sûnder normale inisjalisaasjefunksjes te brûken, dan kin it kernel-objekt gjin goede feiligensynformaasje misse. Guon kernel modules kinne ek misse goede feiligens kontrôles foar harren operaasjes; Alle besteande oproppen nei kernelfunksjes of tastimmingsfunksjes sille ek SELinux-tastimmingskontrôles trigger, mar mear korrelige as ekstra kontrôles kinne ferplicht wurde om MAC-belied te hanthavenjen.
Feiligens-ferbettere Linux moat gjin ynteroperabiliteitsproblemen feroarsaakje mei reguliere Linux-systemen, salang't alle nedige operaasjes tastien binne troch de konfiguraasje fan befeiligingsbelied.
- Applikaasjekompatibiliteit
- Wat binne de doelen fan it foarbyld fan konfiguraasje fan befeiligingsbelied?
Op in heech nivo is it doel om de fleksibiliteit en feiligens fan ôftwongen tagongskontrôles te demonstrearjen en in ienfâldich wurksysteem te leverjen mei minimale wizigingen oan applikaasjes. Op in leger nivo hat in belied in tal doelen dy't yn de beliedsdokumintaasje beskreaun binne. Dizze doelen omfetsje it kontrolearjen fan rûge gegevenstagong, it beskermjen fan 'e yntegriteit fan' e kearn, systeemsoftware, systeemkonfiguraasjeynformaasje en systeemlogboeken, it beheinen fan 'e potinsjele skea dy't koe wurde feroarsake troch it eksploitearjen fan in kwetsberens yn in proses dat privileezjes fereasket, it beskermjen fan befoarrjochte prosessen tsjin it útfieren fan kweade koade, it beskermjen fan de adminrol en it domein fan logins sûnder brûkersautentikaasje, it foarkommen fan normale brûkersprosessen fan ynterferearjen mei systeem- of adminprosessen, en it beskermjen fan brûkers en admins fan it eksploitearjen fan kwetsberens yn har browser troch kweade mobile koade. - Wêrom waard Linux keazen as basisplatfoarm?
Linux waard keazen as it platfoarm foar de earste referinsje-ymplemintaasje fan dit wurk fanwegen syn tanimmend súkses en iepen ûntwikkelingsomjouwing. Linux biedt in poerbêste kâns om te bewizen dat dizze funksjonaliteit suksesfol kin wêze op in host-bestjoeringssysteem en tagelyk bydrage oan de feiligens fan in breed brûkt systeem. It Linux-platfoarm biedt ek in poerbêste kâns foar dit wurk om it breedst mooglike oersjoch te krijen en kin as basis tsjinje foar ekstra feiligensûndersyk troch oare entûsjasters. - Wêrom hawwe jo dit wurk dien?
It Nasjonaal Feiligensagintskip is ferantwurdlik foar ûndersyk en avansearre ûntwikkeling fan technologyen dy't nedich binne om NSA yn steat te meitsjen om oplossings, produkten en tsjinsten foar ynformaasjefeiligens te leverjen foar ynformaasjeynfrastruktuer dy't kritysk binne foar nasjonale feiligensbelangen fan 'e Feriene Steaten.
It meitsjen fan in leefber, feilich bestjoeringssysteem bliuwt in krityske ûndersyksútdaging. Us doel is om in effisjinte arsjitektuer te meitsjen dy't de nedige feiligensstipe leveret, programma's útfiert op in manier dy't heul transparant is foar de brûker en oantreklik is foar leveransiers. Wy leauwe dat in wichtige stap yn it berikken fan dit doel is om te demonstrearjen hoe't ôftwongen tagongskontrôlemeganismen mei súkses yntegreare wurde kinne yn it ûnderlizzende bestjoeringssysteem. - Hoe hat dit te krijen mei earder NSA OS-ûndersyk?
Undersikers by NSA's National Information Assurance Research Laboratory en Secure Computing Corporation (SCC) hawwe in krêftige en fleksibele tagongskontrôlearsjitektuer ûntwikkele basearre op Type Enforcement, in meganisme earst ûntwikkele foar it LOCK-systeem. NSA en SCC hawwe twa prototype Mach-basearre arsjitektuer ûntwikkele: DTMach en DTOS (). NSA en SCC wurken doe mei de Flux-ûndersyksgroep oan 'e Universiteit fan Utah om de arsjitektuer te portearjen nei it Fluke-ûndersyksbestjoeringssysteem. Tidens dizze migraasje waard de arsjitektuer ferfine om dynamysk feiligensbelied better te stypjen. Dizze ferbettere arsjitektuer waard Flask neamd (). No hat NSA de Flask-arsjitektuer yntegreare yn it Linux-bestjoeringssysteem om de technology te bringen nei de bredere mienskip fan ûntwikkelders en brûkers. - Is Linux ferbettere mei feiligens in betrouber bestjoeringssysteem?
De útdrukking "Trusted Operating System" ferwiist oer it algemien nei in bestjoeringssysteem dat genôch stipe biedt foar meardere lagen fan feiligens en proof-of-concept om te foldwaan oan in spesifike set fan oerheidseasken. Feiligens-ferbettere Linux omfettet nuttige ideeën fan dizze systemen, mar rjochtet him op hanthavenjen fan tagongskontrôle. It earste doel fan it ûntwikkeljen fan befeiligingsferbettere Linux wie om brûkbere funksjonaliteit te meitsjen dy't taastbere feiligensfoardielen leveret yn in breed oanbod fan echte wrâldomjouwings om de technology te demonstrearjen. SELinux sels is gjin fertroud bestjoeringssysteem, mar it leveret in krityske feiligensfunksje - ôftwongen tagongskontrôle - nedich troch in fertroud bestjoeringssysteem. SELinux is yntegrearre yn Linux-distribúsjes dy't beoardiele binne neffens it Labeled Security Protection Profile. Ynformaasje oer hifke en ferifiearre produkten is te finen op . - Is se echt beskerme?
It konsept fan in feilich systeem omfettet in protte attributen (bygelyks fysike feiligens, personielsfeiligens, ensfh.), En Linux mei ferbettere befeiligingsadressen allinich in heul smelle set fan dizze attributen (dat is de kontrôles foar hanthavening tagong yn it bestjoeringssysteem) . Mei oare wurden, in "feilich systeem" betsjut feilich genôch om guon ynformaasje yn 'e echte wrâld te beskermjen fan in echte tsjinstanner dêr't de eigner en / of brûker fan' e ynformaasje warskôge wurdt. Feiligens Enhanced Linux is allinich bedoeld om de fereaske kontrôles te demonstrearjen yn in modern bestjoeringssysteem lykas Linux, en is dêrom net wierskynlik te foldwaan oan in ynteressante definysje fan in feilich systeem op har eigen. Wy leauwe dat de technology demonstrearre yn befeiligingsferbettere Linux nuttich sil wêze foar minsken dy't feilige systemen bouwe. - Wat hawwe jo dien om de garânsje te ferbetterjen?
It doel fan dit projekt wie om hanthaveningskontrôles ta te foegjen mei minimale feroarings oan Linux. Dit lêste doel beheint sterk wat kin wurde dien om fersekering te ferbetterjen, dus d'r is gjin wurk west dat rjochte is op it ferbetterjen fan Linux-fersekering. Oan 'e oare kant bouwe de ferbetteringen op earder wurk oan it ûntwerpen fan befeiligingsarsjitektueren mei hege garânsje, en de measte fan dizze ûntwerpprinsipes wurde oerbrocht nei Linux mei ferbettere feiligens. - Sil CCEVS Linux beoardielje mei ferbettere feiligens?
Feiligens-ferbettere Linux sels is net ûntworpen om de folsleine set fan befeiligingsproblemen oan te pakken presintearre troch it befeiligingsprofyl. Hoewol it mooglik wêze soe om allinich de hjoeddeistige funksjonaliteit te evaluearjen, leauwe wy dat sa'n evaluaasje fan beheinde wearde soe wêze. Wy hawwe lykwols wurke mei oaren om dizze technology op te nimmen yn Linux-distribúsjes dy't binne evaluearre en distribúsjes dy't ûnder evaluaasje binne. Ynformaasje oer hifke en ferifiearre produkten is te finen op . - Hawwe jo besocht om kwetsberens te patchjen?
Nee, wy sochten of fûnen gjin kwetsberens tidens ús wurk. Wy hawwe allinich it minimum dien om ús nije meganismen ta te foegjen. - Is dit systeem goedkard foar oerheidsgebrûk?
Feiligens-ferbettere Linux hat gjin spesjale of ekstra goedkarring foar oerheidsgebrûk oer elke oare ferzje fan Linux. Feiligens-ferbettere Linux hat gjin spesjale of ekstra goedkarring foar regearingsgebrûk oer elke oare ferzje fan Linux. - Hoe is dit oars fan oare inisjativen?
Feiligens-ferbettere Linux hat in goed definieare arsjitektuer foar fleksibele hanthavening fan tagongskontrôle, dy't eksperiminteel falidearre is mei ferskate prototypesystemen (DTMach, DTOS, Flask). Detaillearre stúdzjes binne útfierd oer it fermogen fan 'e arsjitektuer om in breed oanbod fan feiligensbelied te stypjen en binne beskikber yn и .
De arsjitektuer leveret fynkorrelige kontrôle oer in protte kernelabstraksjes en tsjinsten dy't net wurde regele troch oare systemen. Guon fan 'e ûnderskiedende skaaimerken fan in Linux-systeem mei ferbettere feiligens binne:- Skjinne skieding fan belied fan tapassingsrjochten
- Goed definieare beliedsinterfaces
- Unôfhinklikens fan spesifyk belied en beliedstalen
- Unôfhinklikens fan spesifike formaten en ynhâld fan befeiligingsetiketten
- Skieden labels en kontrôles foar kernel objekten en tsjinsten
- Caching tagong besluten foar effisjinsje
- Stipe foar beliedsferoarings
- Kontrôle oer proses inisjalisaasje en programma erfenis en útfiering
- Beheare bestânssystemen, mappen, bestannen en iepen bestânbeskriuwingen
- Behear fan sockets, berjochten en netwurkynterfaces
- Kontrolearje oer it brûken fan "Kânsen"
- Wat binne de lisinsjebeperkingen foar dit systeem?
Alle boarnekoade fûn op 'e side , ferdield ûnder deselde betingsten as de oarspronklike boarnekoade. Bygelyks, patches foar de Linux-kernel en patches foar in protte besteande nutsbedriuwen dy't hjir beskikber binne wurde frijjûn ûnder de betingsten fan . - Binne der eksportkontrôles?
Linux mei Enhanced Security hat gjin ekstra eksportkontrôles yn ferliking mei elke oare ferzje fan Linux. - Is de NSA fan plan om it yn eigen lân te brûken?
Om foar de hân lizzende redenen makket de NSA gjin kommentaar oer operasjoneel gebrûk. - Feroaret de fersekeringsferklearring fan 26 july 2002 troch Secure Computing Corporation de posysje fan 'e NSA dat SELinux waard levere ûnder de GNU General Public License?
De posysje fan de NSA is net feroare. De NSA bliuwt te leauwen dat de betingsten en kondysjes fan 'e GNU General Public License it gebrûk, kopiearjen, distribúsje en wiziging fan SELinux regelje. Cm. . - Stipet de NSA iepen boarne software?
NSA's softwarefeiligensinisjativen dekke sawol proprietêre as iepen boarne software, en wy hawwe sawol proprietêre as iepen boarne modellen mei súkses brûkt yn ús ûndersyksaktiviteiten. It wurk fan NSA om softwarefeiligens te ferbetterjen wurdt motivearre troch ien ienfâldige konsideraasje: benutte ús middels om NSA-klanten de bêste mooglike befeiligingsopsjes te bieden yn har meast brûkte produkten. It doel fan it NSA-ûndersyksprogramma is om technologyske foarútgong te ûntwikkeljen dy't kinne wurde dield mei de softwareûntwikkelingsmienskip fia ferskate leveringsmeganismen. De NSA ûnderskriuwt of befoarderet gjin spesifyk softwareprodukt of bedriuwsmodel. Leaver, de NSA befoarderet feiligens. - Stipet NSA Linux?
Lykas hjirboppe opmurken, stipet of befoarderet NSA gjin spesifyk softwareprodukt of platfoarm; De NSA helpt allinich om feiligens te ferbetterjen. De Flask-arsjitektuer demonstrearre yn 'e SELinux-referinsje-ymplemintaasje is porteare nei ferskate oare bestjoeringssystemen, ynklusyf Solaris, FreeBSD, en Darwin, porteare nei de Xen-hypervisor, en tapast op applikaasjes lykas it X Window System, GConf, D-BUS, en PostgreSQL. Flask-arsjitektuerbegripen binne breed fan tapassing op in breed skala oan systemen en omjouwings.
Gearwurking
- Hoe binne wy fan plan om te ynteraksje mei de Linux-mienskip?
Wy hawwe , dy't sil tsjinje as ús primêre manier om ynformaasje oer Linux te publisearjen mei ferbettere feiligens. As jo ynteressearre binne yn Linux mei befeiliging, moedigje wy jo oan om mei te dwaan oan 'e mailinglist foar ûntwikkelders, kontrolearje de boarnekoade en jou jo feedback (as koade). Om mei te dwaan oan 'e mailinglist fan ûntwikkelders, sjoch . - Wa kin helpe?
SELinux wurdt no stipe en ûntwikkele troch de iepen boarne Linux-softwaremienskip. - Finansiearret de NSA ferfolchwurk?
De NSA besjocht op dit stuit gjin útstellen foar fierdere wurk. - Hokker soarte fan stipe is beskikber?
Wy binne fan doel problemen op te lossen fia de mailinglist [e-post beskerme], mar wy kinne miskien net beäntwurdzje alle fragen yn ferbân mei in bepaalde side. - Wa holp? Wat hawwe se dien?
It befeiligingsferbettere Linux-prototype waard ûntwikkele troch de NSA mei ûndersykspartners NAI Labs, Secure Computing Corporation (SCC), en MITER Corporation. Nei de earste publike frijlitting folgen in protte oare materialen. . - Hoe kin ik mear útfine?
Wy moedigje jo oan om ús websiden te besykjen, dokumintaasje en eardere ûndersykspapieren te lêzen en diel te nimmen oan ús mailinglist [e-post beskerme]
Fynsto de oersetting nuttich? Skriuw opmerkingen!
Boarne: www.habr.com