Бәріңе сәлем! Әсіресе курс студенттері үшін біз SELinux жобасының ресми жиі қойылатын сұрақтарының аудармасын дайындадық. Бізге бұл аударма студенттерге ғана емес, пайдалы болуы мүмкін сияқты, сондықтан оны сіздермен бөлісеміз.
Біз SELinux жобасы туралы жиі қойылатын сұрақтарға жауап беруге тырыстық. Қазіргі уақытта сұрақтар екі негізгі санатқа бөлінеді. Барлық сұрақтар мен жауаптар беріледі .
қайта қарау
қайта қарау
- Қауіпсіздігі жақсартылған Linux дегеніміз не?
Қауіпсіздігі жақсартылған Linux (SELinux) икемді, мәжбүрлі қол жеткізуді басқаруға арналған Flask қауіпсіздік архитектурасының анықтамалық іске асырылуы болып табылады. Ол икемді мәжбүрлеу механизмдерінің пайдалылығын және мұндай механизмдерді операциялық жүйеге қалай қосуға болатынын көрсету үшін жасалған. Flask архитектурасы кейіннен Linux жүйесіне біріктірілді және бірнеше басқа жүйелерге, соның ішінде Solaris операциялық жүйесіне, FreeBSD операциялық жүйесіне және Darwin ядросына ауыстырылды, бұл байланысты жұмыстардың кең ауқымын тудырды. Flask архитектурасы қол жеткізуді басқару саясатының көптеген түрлерін, соның ішінде Түрді бақылау, Рөлге негізделген қатынасты басқару және Көп деңгейлі қауіпсіздік тұжырымдамаларына негізделгендерді енгізу үшін жалпы қолдауды қамтамасыз етеді. - Қауіпсіздігі жақсартылған Linux стандартты Linux жасай алмайтын нені қамтамасыз етеді?
Қауіпсіздігі жақсартылған Linux ядросы пайдаланушы бағдарламалары мен жүйелік серверлерді өз жұмысын орындау үшін талап ететін ең аз артықшылықтар жиынтығымен шектейтін қатынауды басқару саясаттарын күшейтеді. Бұл шектеумен осы пайдаланушы бағдарламалары мен жүйелік демондардың компромисс жағдайында (мысалы, буфердің толып кетуіне немесе дұрыс конфигурацияланбауына байланысты) зиян келтіру мүмкіндігі азаяды немесе жойылады. Бұл шектеу механизмі дәстүрлі Linux қол жеткізуді басқару механизмдерінен тәуелсіз жұмыс істейді. Онда «түбірлік» суперпайдаланушы ұғымы жоқ және дәстүрлі Linux қауіпсіздік механизмдерінің белгілі кемшіліктерімен бөліспейді (мысалы, setuid/setgid екілік файлдарына тәуелділік).
Өзгертілмеген Linux жүйесінің қауіпсіздігі ядроның дұрыстығына, барлық артықшылықты қолданбаларға және олардың әрбір конфигурациясына байланысты. Осы аймақтардың кез келгеніндегі мәселе бүкіл жүйені бұзуы мүмкін. Керісінше, қауіпсіздігі жақсартылған Linux ядросына негізделген өзгертілген жүйенің қауіпсіздігі ең алдымен ядроның дұрыстығына және оның қауіпсіздік саясатының конфигурациясына байланысты. Қолданбаның дұрыстығына немесе конфигурациясына қатысты мәселелер жеке пайдаланушы бағдарламалары мен жүйелік демондардың шектеулі бұзылуына мүмкіндік беруі мүмкін болса да, олар басқа пайдаланушы бағдарламалары мен жүйелік демондарға немесе жалпы жүйенің қауіпсіздігіне қауіп төндірмейді. - Ол не үшін жақсы?
Linux жүйесінің жаңа қауіпсіздік мүмкіндіктері құпиялылық пен тұтастық талаптарына негізделген ақпаратты бөлуді қамтамасыз етуге арналған. Олар процестердің деректер мен бағдарламаларды оқуын, деректер мен бағдарламаларды бұрмалауын, қолданбаның қауіпсіздік механизмдерін айналып өтуін, сенімсіз бағдарламаларды орындауын немесе жүйенің қауіпсіздік саясатын бұза отырып, басқа процестерге араласуын болдырмауға арналған. Олар сондай-ақ зиянды бағдарлама немесе қате бағдарламалар тудыруы мүмкін ықтимал зиянды шектеуге көмектеседі. Олар сондай-ақ әртүрлі қауіпсіздік рұқсаттары бар пайдаланушылардың сол талаптарды бұзбай, әртүрлі қауіпсіздік талаптары бар әртүрлі ақпарат түрлеріне қол жеткізу үшін бір жүйені пайдалана алуын қамтамасыз ету үшін пайдалы болуы керек. - Көшірмесін қалай алуға болады?
Көптеген Linux дистрибутивтері әдепкі мүмкіндік немесе қосымша бума ретінде орнатылған SELinux қолдауын қамтиды. Негізгі SELinux пайдаланушы жер коды мына жерден қол жетімді . Түпкі пайдаланушылар әдетте тарату арқылы қамтамасыз етілген пакеттерді пайдалануы керек. - Сіздің шығарылымыңызға не кіреді?
SELinux NSA шығарылымы негізгі SELinux пайдаланушы жер кодын қамтиды. SELinux қолдауы kernel.org сайтында қолжетімді Linux 2.6 негізгі ядросына қосылған. Негізгі SELinux пайдаланушы жерінің коды екілік саясатты манипуляциялауға арналған кітапханадан (libsepol), саясат құрастырушысынан (checkpolicy), қауіпсіздік қолданбаларына арналған кітапханадан (libselinux), саясатты басқару құралдарына арналған кітапханадан (libsemanage) және саясатқа қатысты бірнеше утилиталардан тұрады ( policycoreutils).
SELinux қолдайтын ядроға және пайдаланушының негізгі кодына қосымша, SELinux пайдалану үшін саясат пен кейбір SELinux түзетілген пайдаланушы кеңістігі пакеттері қажет. Саясатты мына жерден алуға болады . - Қолданыстағы Linux жүйесіне қатайтылған Linux орнатуға болады ма?
Иә, бар Linux жүйесінде SELinux модификацияларын ғана орнатуға болады немесе SELinux қолдауын қамтитын Linux дистрибутивін орнатуға болады. SELinux жүйесі SELinux қолдауы бар Linux ядросынан, кітапханалар мен утилиталардың негізгі жинағынан, кейбір өзгертілген пайдаланушы бумаларынан және саясат конфигурациясынан тұрады. Оны SELinux қолдауы жоқ бар Linux жүйесіне орнату үшін бағдарламалық құралды компиляциялау, сондай-ақ басқа қажетті жүйелік пакеттер болуы керек. Егер Linux дистрибутивінде SELinux қолдауы бар болса, SELinux NSA шығарылымын құру немесе орнату қажет емес. - Қауіпсіздігі жақсартылған Linux өзгертілмеген Linux жүйесімен қаншалықты үйлесімді?
Қауіпсіздігі жақсартылған Linux бар Linux қолданбаларымен және бар Linux ядро модульдерімен екілік үйлесімділікті қамтамасыз етеді, бірақ кейбір ядро модульдері SELinux-пен дұрыс әрекеттесу үшін өзгертуді қажет етуі мүмкін. Бұл екі үйлесімділік санаты төменде егжей-тегжейлі талқыланады:- Қолданбаның үйлесімділігі
SELinux бар қолданбалармен екілік үйлесімділікті қамтамасыз етеді. Біз ядро деректерінің құрылымдарын жаңа қауіпсіздік атрибуттарын қамту үшін кеңейттік және қауіпсіздік қолданбаларына жаңа API шақыруларын қостық. Дегенмен, біз қолданбаға көрінетін деректер құрылымдарын өзгерткен жоқпыз, сондай-ақ кез келген бар жүйелік қоңыраулардың интерфейсін өзгерткен жоқпыз, сондықтан бар қолданбалар қауіпсіздік саясаты рұқсат еткенше жұмыс істей береді. - Ядро модулінің үйлесімділігі
Бастапқыда SELinux бар ядро модульдері үшін бастапқы үйлесімділікті ғана қамтамасыз етті; ядро деректерінің құрылымдарына қосылған жаңа қауіпсіздік өрістерін алу үшін өзгертілген ядро тақырыптары бар мұндай модульдерді қайта құрастыру қажет болды. LSM және SELinux енді негізгі Linux 2.6 ядросына біріктірілгендіктен, SELinux қазір бар ядро модульдерімен екілік үйлесімділікті қамтамасыз етеді. Дегенмен, кейбір ядро модульдері өзгертусіз SELinux-пен жақсы әрекеттеспеуі мүмкін. Мысалы, егер ядро модулі қалыпты баптандыру функцияларын пайдаланбай ядро нысанын тікелей бөлсе және орнатса, ядро нысанында тиісті қауіпсіздік ақпараты болмауы мүмкін. Кейбір ядро модульдерінде олардың әрекеттерінде тиісті қауіпсіздік бақылаулары болмауы мүмкін; ядро функцияларына немесе рұқсат функцияларына кез келген бар қоңыраулар да SELinux рұқсат тексерулерін іске қосады, бірақ MAC саясаттарын орындау үшін неғұрлым нақты немесе қосымша басқару элементтері қажет болуы мүмкін.
Қауіпсіздік саясаты конфигурациясы барлық қажетті әрекеттерге рұқсат етілсе, қауіпсіздігі жақсартылған Linux жүйесі кәдімгі Linux жүйелерімен өзара әрекеттесу мәселелерін тудырмауы керек.
- Қолданбаның үйлесімділігі
- Қауіпсіздік саясаты конфигурациясының мысалының мақсаты қандай?
Жоғары деңгейде мақсат – мәжбүрлі қол жеткізуді басқару құралдарының икемділігі мен қауіпсіздігін көрсету және қолданбаларды минималды өзгертулермен қарапайым жұмыс жүйесін қамтамасыз ету. Төменгі деңгейде саясаттың бағдарламалық құжаттамада сипатталған мақсаттар жиынтығы болады. Бұл мақсаттарға шикі деректерге қол жеткізуді бақылау, ядроның, жүйелік бағдарламалық құралдың, жүйе конфигурациясының ақпараты мен жүйелік журналдардың тұтастығын қорғау, артықшылықтарды талап ететін процесте осалдықты пайдалану нәтижесінде болуы мүмкін ықтимал зақымдарды шектеу, артықшылықты процестерді зиянды әрекеттерді орындаудан қорғау кіреді. код, әкімші рөлі мен доменді пайдаланушы аутентификациясынсыз кіруден қорғаңыз, қалыпты пайдаланушы процестерінің жүйелік немесе әкімші процестеріне араласуын болдырмаңыз және пайдаланушылар мен әкімшілерді зиянды мобильді код арқылы браузердегі осалдықтарды пайдаланудан қорғаңыз. - Неліктен Linux базалық платформа ретінде таңдалды?
Linux бұл жұмыстың бастапқы анықтамалық іске асыру платформасы ретінде оның өсіп келе жатқан табысы мен ашық даму ортасына байланысты таңдалды. Linux бұл функцияның негізгі операциялық жүйеде сәтті болатынын және сонымен бірге кеңінен қолданылатын жүйенің қауіпсіздігіне ықпал ететінін көрсетуге тамаша мүмкіндік береді. Linux платформасы сонымен қатар бұл жұмысқа барынша кең көрініс алу үшін тамаша мүмкіндік береді және басқа энтузиастардың қосымша қауіпсіздік зерттеулері үшін негіз болуы мүмкін. - Неліктен бұл жұмысты жасадыңыз?
Ұлттық қауіпсіздік агенттігі NSA-ға АҚШ-тың ұлттық қауіпсіздік мүдделері үшін маңызды ақпараттық инфрақұрылымдарға ақпараттық қауіпсіздік шешімдерін, өнімдерін және қызметтерін ұсынуға мүмкіндік беру үшін зерттеулер мен озық технологияларды әзірлеуге жауапты.
Өміршең қауіпсіз операциялық жүйені құру үлкен зерттеу мәселесі болып қала береді. Біздің мақсатымыз – қауіпсіздікке қажетті қолдауды қамтамасыз ететін, бағдарламаларды пайдаланушыға негізінен ашық түрде басқаратын және жеткізушілер үшін тартымды болатын тиімді архитектураны құру. Бұл мақсатқа қол жеткізудегі маңызды қадам мәжбүрлі қол жеткізуді басқару тетіктерін негізгі операциялық жүйеге қалай сәтті біріктіруге болатындығын көрсету болып табылады деп санаймыз. - Мұның алдыңғы OS NSA зерттеулерімен қандай қатысы бар?
NSA-ның Ұлттық кепілдікті зерттеу зертханасының зерттеушілері LOCK жүйесі бастамашы болған «Type Enforcement» механизміне негізделген қуатты және икемді мәжбүрлеу архитектурасын әзірлеу үшін Secure Computing Corporation (SCC) компаниясымен серіктес болды. NSA және SCC Mach негізінде екі прототиптік архитектураны әзірледі: DTMach және DTOS (). Содан кейін NSA және SCC архитектураны Fluke Research операциялық жүйесіне тасымалдау үшін Юта университетіндегі Flux Research Group-пен жұмыс істеді. Осы тасымалдау кезінде динамикалық қауіпсіздік саясаттарына жақсырақ қолдау көрсету үшін архитектура нақтыланды. Бұл жақсартылған архитектура Flask деп аталды (). Енді NSA технологияны кеңірек әзірлеушілер мен пайдаланушылар қауымдастығына жеткізу үшін Flask архитектурасын Linux операциялық жүйесіне біріктірді. - Қауіпсіздігі жоғары Linux сенімді операциялық жүйе ме?
«Сенімді операциялық жүйе» тіркесі әдетте мемлекеттік талаптардың белгілі бір жинағын қанағаттандыру үшін деңгейлі қауіпсіздік пен тексеруге жеткілікті қолдауды қамтамасыз ететін операциялық жүйеге қатысты. Қауіпсіздігі жақсартылған Linux жүйесі осы жүйелерден пайдалы түсініктерді біріктіреді, бірақ мәжбүрлі қол жеткізуді басқаруға назар аударады. Қауіпсіздігі жақсартылған Linux әзірлеудің бастапқы мақсаты осы технологияны көрсету үшін нақты әлем орталарының кең ауқымында нақты қауіпсіздік артықшылықтарын қамтамасыз ететін пайдалы функционалдылықты жасау болды. SELinux өзі сенімді операциялық жүйе емес, бірақ ол сенімді операциялық жүйе үшін қажетті маңызды қауіпсіздік мүмкіндігін — мәжбүрлеп қол жеткізуді басқаруды — қамтамасыз етеді. SELinux Белгіленген қауіпсіздікті қорғау профиліне сәйкес бағаланған Linux дистрибутивтеріне біріктірілген. Сынақталған және сыналған өнімдер туралы ақпаратты мына жерден табуға болады . - Ол шынымен қорғалған ба?
Қауіпсіз жүйе түсінігі көптеген атрибуттарды (мысалы, физикалық қауіпсіздік, персонал қауіпсіздігі және т.б.) қамтиды және күшейтілген қауіпсіздік мекенжайлары бар Linux осы атрибуттардың өте тар жиынтығын ғана (яғни, операциялық жүйенің басқару элементтері) қамтиды. Басқаша айтқанда, «қауіпсіз жүйе» нақты әлемдегі кейбір ақпаратты нақты қарсыластан қорғау үшін жеткілікті қауіпсіздікті білдіреді, оған қарсы ақпарат иесі және/немесе пайдаланушы ескертілді. Қауіпсіздігі жақсартылған Linux тек Linux сияқты заманауи операциялық жүйеде қажетті басқару элементтерін көрсетуге арналған, сондықтан қауіпсіз жүйенің кез келген қызықты анықтамасына сәйкес келуі екіталай. Қауіпсіздігі жақсартылған Linux жүйесінде көрсетілген технология қауіпсіз жүйелерді құрастыратын адамдарға пайдалы болады деп сенеміз. - Сіз кепілдікті жақсарту үшін не істедіңіз?
Бұл жобаның мақсаты Linux жүйесіне ең аз өзгерістермен мәжбүрлі қол жеткізуді басқару элементтерін қосу болды. Бұл соңғы мақсат кепілдікті жақсарту үшін не істеуге болатынын айтарлықтай шектейді, сондықтан Linux кепілдігін жақсарту бойынша жұмыс жүргізілген жоқ. Екінші жағынан, жақсартулар қауіпсіздігі жоғары қауіпсіздік архитектурасын жобалау бойынша алдыңғы жұмыстарға негізделеді және осы дизайн принциптерінің көпшілігі қауіпсіздікті жақсартылған Linux жүйесіне көшірілді. - CCEVS Linux жүйесін күшейтілген қауіпсіздікпен бағалайды ма?
Өздігінен қауіпсіздігі жақсартылған Linux қауіпсіздік профилі арқылы ұсынылған қауіпсіздік мәселелерінің толық жиынтығын шешуге арналмаған. Оның тек ағымдағы функционалдығын бағалау мүмкін болса да, біз мұндай бағалау шектеулі мәнге ие болады деп есептейміз. Дегенмен, біз бұл технологияны бағаланған Linux дистрибутивтеріне және бағалаудағы дистрибутивтерге қосу үшін басқалармен жұмыс істедік. Сынақталған және сыналған өнімдер туралы ақпаратты мына жерден табуға болады . - Кез келген осалдықтарды түзетуге тырыстыңыз ба?
Жоқ, біз жұмыс барысында ешқандай осалдықтарды іздемедік, таппадық. Біз жаңа берілістерді қосу үшін ең аз мөлшерде ғана үлес қостық. - Бұл жүйе мемлекеттік пайдалану үшін мақұлданды ма?
Қауіпсіздігі жақсартылған Linux жүйесінде Linux жүйесінің кез келген басқа нұсқасында мемлекеттік пайдалану үшін арнайы немесе қосымша рұқсат жоқ. Қауіпсіздігі жақсартылған Linux жүйесінде Linux жүйесінің кез келген басқа нұсқасында мемлекеттік пайдалану үшін арнайы немесе қосымша рұқсат жоқ. - Бұл басқа бастамалардан несімен ерекшеленеді?
Қауіпсіздігі жақсартылған Linux жүйесінде бірнеше прототиптік жүйелермен (DTMach, DTOS, Flask) эксперименталды түрде сыналған икемді мәжбүрлі қол жеткізуді басқаруға арналған жақсы анықталған архитектурасы бар. Архитектураның қауіпсіздік саясатының кең ауқымын қолдау мүмкіндігі туралы егжей-тегжейлі зерттеулер жүргізілді және қол жетімді. и .
Архитектура басқа жүйелермен бақыланбайтын көптеген ядро абстракциялары мен қызметтерін нақты бақылауды қамтамасыз етеді. Кеңейтілген қауіпсіздігі бар Linux жүйесінің кейбір ерекшелік сипаттамалары:- Саясаттың мәжбүрлеу құқығынан таза бөлінуі
- Жақсы анықталған саясат интерфейстері
- Арнайы саясаттар мен саясат тілдерінен тәуелсіздік
- Қауіпсіздік белгілерінің арнайы пішімдері мен мазмұнынан тәуелсіздік
- Ядро нысандары мен қызметтеріне арналған бөлек белгілер мен басқару элементтері
- Тиімділік үшін қол жеткізу шешімдерін кэштеу
- Саясаттағы өзгерістерді қолдау
- Процесті инициализациялауды және мұрагерлікті және бағдарламаны орындауды бақылау
- Файлдық жүйелерді, каталогтарды, файлдарды және ашық файлдардың сипаттамаларын басқару
- Розеткаларды, хабарларды және желі интерфейстерін басқару
- «Мүмкіндіктерді» пайдалануды бақылау
- Бұл жүйеге лицензиялық шектеулер қандай?
Сайтта табылған барлық бастапқы код , бастапқы бастапқы кодтармен бірдей шарттармен таратылады. Мысалы, Linux ядросы үшін түзетулер және осы жерде қол жетімді көптеген бар утилиталар үшін түзетулер шарттар бойынша шығарылады. . - Экспорттық бақылау бар ма?
Linux жүйесінің кез келген басқа нұсқасымен салыстырғанда кеңейтілген қауіпсіздігі бар Linux үшін қосымша экспорттық басқару элементтері жоқ. - NSA оны ел ішінде қолдануды жоспарлап отыр ма?
Белгілі себептерге байланысты NSA операциялық пайдалану туралы түсініктеме бермейді. - 26 жылғы 2002 шілдедегі Қауіпсіз есептеу корпорациясының Кепілдіктер туралы мәлімдемесі NSA-ның SELinux GNU General Public License бойынша қолжетімді болғаны туралы ұстанымын өзгерте ме?
NSA ұстанымы өзгерген жоқ. NSA әлі күнге дейін GNU General Public License ережелері мен шарттары SELinux пайдалануды, көшіруді, таратуды және өзгертуді реттейді деп санайды. См. . - NSA ашық бастапқы бағдарламалық жасақтаманы қолдайды ма?
NSA бағдарламалық қамтамасыз ету қауіпсіздігі бастамалары меншікті және ашық бастапқы бағдарламалық қамтамасыз етуді қамтиды және біз зерттеу қызметімізде меншікті және ашық бастапқы код үлгілерін сәтті қолдандық. NSA-ның бағдарламалық қамтамасыз ету қауіпсіздігін жақсарту жөніндегі жұмысы бір қарапайым ойға негізделген: NSA тұтынушыларына олардың ең көп қолданылатын өнімдерінде мүмкін болатын ең жақсы қауіпсіздік опцияларын қамтамасыз ету үшін ресурстарымызды барынша пайдалану. NSA зерттеу бағдарламасының мақсаты әртүрлі тасымалдау механизмдері арқылы бағдарламалық жасақтаманы әзірлеу қауымдастығымен бөлісуге болатын технологиялық жетістіктерді дамыту болып табылады. NSA қандай да бір нақты бағдарламалық өнімді немесе бизнес үлгісін қолдамайды немесе көтермейді. Керісінше, NSA қауіпсіздікті қамтамасыз етеді. - NSA Linux жүйесін қолдайды ма?
Жоғарыда атап өтілгендей, NSA қандай да бір нақты бағдарламалық өнімді немесе платформаны қолдамайды немесе көтермейді; NSA тек қауіпсіздікті арттыруға ықпал етеді. SELinux анықтамалығын іске асыруда көрсетілген Flask архитектурасы бірнеше басқа операциялық жүйелерге, соның ішінде Solaris, FreeBSD және Darwin, Xen гипервизорына тасымалданды және X Window System, GConf, D-BUS және PostgreSQL сияқты қолданбаларға қолданылды. . Колба архитектурасы тұжырымдамалары жүйелер мен орталардың кең ауқымына кеңінен қолданылады.
Ынтымақтастық
- Linux қауымдастығымен қалай әрекеттесуді жоспарлап отырмыз?
Бізде бар , ол қауіпсіздік күшейтілген Linux ақпаратын жариялаудың негізгі тәсілі ретінде қызмет етеді. Егер сізді қауіпсіздігі жақсартылған Linux қызықтырса, әзірлеушінің тарату тізіміне қосылуды, бастапқы кодты қарауды және пікіріңізді (немесе кодты) ұсынуды ұсынамыз. Әзірлеушілердің жіберу тізіміне қосылу үшін қараңыз . - Кім көмектесе алады?
SELinux енді ашық бастапқы Linux бағдарламалық жасақтамасы қауымдастығымен қызмет етеді және жетілдірілді. - NSA кез келген кейінгі жұмысты қаржыландырады ма?
NSA қазіргі уақытта одан әрі жұмыс туралы ұсыныстарды қарастырмайды. - Қолдау көрсетудің қандай түрі бар?
Біз мәселелерді пошталық тізім арқылы шешуді көздеп отырмыз [электрондық пошта қорғалған], бірақ біз белгілі бір сайтқа қатысты барлық сұрақтарға жауап бере алмаймыз. - Кім көмектесті? Олар не істеді?
Қауіпсіздігі жақсартылған Linux прототипін NAI Labs, Secure Computing Corporation (SCC) және MITER корпорациясының зерттеу серіктестерімен NSA әзірледі. Бастапқы жарияланғаннан кейін әлдеқайда көп материалдар пайда болды. . - Толығырақ қалай білуге болады?
Сізге біздің веб-беттерге кіруге, құжаттаманы және өткен ғылыми мақалаларды оқуға және біздің пошталық тізімге қатысуға шақырамыз. [электрондық пошта қорғалған]
Сізге аударма пайдалы ма? Пікірлер жазыңыз!
Ақпарат көзі: www.habr.com