Баарына салам! Айрыкча курстун студенттери үчүн биз SELinux долбоорунун расмий FAQ котормосун даярдадык. Бизге бул котормо студенттер үчүн гана эмес, пайдалуу болушу мүмкүн окшойт, ошондуктан аны сиздер менен бөлүшөбүз.
Биз SELinux долбоору тууралуу эң көп берилүүчү суроолорго жооп берүүгө аракет кылдык. Учурда суроолор эки негизги категорияга бөлүнөт. Бардык суроолор жана жооптор берилет .
жалпы көрүнүш
жалпы көрүнүш
- Коопсуздук күчөтүлгөн Linux деген эмне?
Коопсуздукту жакшырткан Linux (SELinux) ийкемдүү, күчтөндүрүлгөн кирүүнү башкаруу үчүн Flask коопсуздук архитектурасынын эталондук ишке ашырылышы болуп саналат. Ал ийкемдүү аткаруу механизмдеринин пайдалуулугун жана мындай механизмдерди операциялык системага кантип кошууга болорун көрсөтүү үчүн түзүлгөн. Кийинчерээк Flask архитектурасы Linux менен интеграцияланган жана башка бир нече системаларга, анын ичинде Solaris операциялык тутумуна, FreeBSD операциялык тутумуна жана Darwin ядросуна көчүрүлүп, тиешелүү иштердин кеңири спектрин пайда кылган. Flask архитектурасы кирүүнү көзөмөлдөө саясаттарынын көптөгөн түрлөрүн, анын ичинде Типти коргоо, Рөлгө негизделген мүмкүндүктү башкаруу жана Көп деңгээлдүү коопсуздук концепцияларына негизделген жалпы колдоону камсыз кылат. - Коопсуздукту жакшырткан Linux стандарттык Linux кыла албаган эмнени камсыз кылат?
Коопсуздукту күчөтүлгөн Linux ядросу колдонуучу программаларын жана тутум серверлерин өз ишин аткаруу үчүн талап кылынган артыкчылыктардын минималдуу топтому менен чектеген, кирүүнү башкаруунун мажбурланган саясатын ишке ашырат. Бул чектөө менен, бул колдонуучу программаларынын жана системалык демондорунун компромисс болгон учурда (мисалы, буфердин толуп кетишинен же туура эмес конфигурациядан улам) зыян алып келүү мүмкүнчүлүгү азаят же жок кылынат. Бул чектөө механизми салттуу Linux кирүү башкаруу механизмдеринен көз карандысыз иштейт. Ал "тамыр" супер колдонуучу түшүнүгүнө ээ эмес жана салттуу Linux коопсуздук механизмдеринин белгилүү кемчиликтери менен бөлүшпөйт (мисалы, setuid/setgid бинарларына көз карандылык).
Өзгөртүлбөгөн Linux тутумунун коопсуздугу ядронун тууралыгынан, бардык артыкчылыктуу тиркемелерден жана алардын ар бир конфигурациясынан көз каранды. Бул аймактардын кайсы биринде көйгөй бүт системаны бузушу мүмкүн. Ал эми, коопсуздугу жакшыртылган Linux ядросуна негизделген өзгөртүлгөн системанын коопсуздугу, биринчи кезекте, ядронун тууралыгына жана анын коопсуздук саясатынын конфигурациясына көз каранды. Колдонмонун тууралыгы же конфигурациясындагы көйгөйлөр жеке колдонуучу программаларына жана системалык демондоруна чектелген компромисске жол бериши мүмкүн, бирок алар башка колдонуучу программаларына жана системалык демондоруна же бүтүндөй системанын коопсуздугуна коркунуч келтирбейт. - Ал эмнеге жакшы?
Linux'тун жаңы коопсуздукту камсыз кылуучу функциялары купуялуулук жана бүтүндүк талаптарынын негизинде маалыматты бөлүүнү камсыз кылуу үчүн иштелип чыккан. Алар процесстердин маалыматтарды жана программаларды окуусуна, берилиштерге жана программаларга кол салууга, тиркемелердин коопсуздук механизмдерин айланып өтүүгө, ишенимсиз программаларды аткарууга же системанын коопсуздук саясатын бузуу менен башка процесстерге кийлигишүүгө жол бербөө үчүн иштелип чыккан. Алар ошондой эле кесепеттүү программа же ката программалары алып келиши мүмкүн болгон зыянды чектөөгө жардам берет. Алар ошондой эле ар кандай коопсуздук уруксаттары бар колдонуучулар ошол талаптарды бузбастан, ар кандай коопсуздук талаптары менен ар кандай маалыматка жетүү үчүн бир эле системаны колдоно алышын камсыз кылуу үчүн пайдалуу болушу керек. - Кантип көчүрмөсүн алсам болот?
Көптөгөн Linux дистрибуцияларында демейки функция же кошумча пакет катары орнотулган SELinux колдоо камтылган. Негизги SELinux колдонуучу коду төмөнкү даректе жеткиликтүү . Акыркы колдонуучулар көбүнчө бөлүштүрүү менен камсыздалган пакеттерди колдонушу керек. - Сиздин релизге эмнелер кирет?
NSA SELinux релизинде негизги SELinux колдонуучу кодун камтыйт. SELinux үчүн колдоо мурунтан эле kernel.org сайтында жеткиликтүү болгон негизги Linux 2.6 ядросуна киргизилген. Негизги SELinux колдонуучу жер коду бинардык саясатты манипуляциялоо үчүн китепканадан (libsepol), саясат компиляторунан (checkpolicy), коопсуздук колдонмолору үчүн китепканадан (libselinux), саясатты башкаруу куралдары үчүн китепканадан (libsemanage) жана саясатка байланыштуу бир нече утилиталардан турат ( policycoreutils).
SELinux иштетилген ядро жана негизги колдонуучу жер кодунан тышкары, SELinuxту колдонуу үчүн сизге саясат жана кээ бир SELinux жамаачыланган колдонуучулар мейкиндиги пакеттери керек болот. Политикадан алса болот . - Мен иштеп жаткан Linux системасына катууланган Linux орното аламбы?
Ооба, сиз SELinux модификацияларын учурдагы Linux тутумуна гана орното аласыз же SELinux колдоосун камтыган Linux бөлүштүрүүнү орното аласыз. SELinux SELinux колдоосу менен Linux ядросунан, китепканалардын жана утилиталардын негизги топтомунан, айрым өзгөртүлгөн колдонуучу топтомдорунан жана саясат конфигурациясынан турат. Аны SELinux колдоосу жок болгон Linux тутумуна орнотуу үчүн сизде программалык камсыздоону компиляциялоо мүмкүнчүлүгү жана башка талап кылынган система пакеттери болушу керек. Эгерде сиздин Linux дистрибутивиңизде SELinux колдоо камтылган болсо, SELinuxтун NSA релиздерин куруунун же орнотуунун кереги жок. - Коопсуздукту жакшырткан Linux өзгөрүлбөгөн Linux менен канчалык шайкеш келет?
Коопсуздук жакшыртылган Linux бар болгон Linux тиркемелери жана учурдагы Linux ядро модулдары менен бинардык шайкештикти камсыз кылат, бирок кээ бир ядро модулдары SELinux менен туура иштешүү үчүн өзгөртүүнү талап кылышы мүмкүн. Бул эки шайкештик категориялары төмөндө майда-чүйдөсүнө чейин талкууланат:- Колдонмо шайкештиги
SELinux бар колдонмолор менен бинардык шайкештикти камсыз кылат. Биз жаңы коопсуздук атрибуттарын камтуу үчүн ядро маалымат структураларын кеңейттик жана коопсуздук колдонмолору үчүн жаңы API чалууларын коштук. Бирок, биз эч кандай тиркемеде көрүнгөн маалымат структураларын өзгөрткөн жокпуз, ошондой эле учурдагы тутумдук чалуулардын интерфейсин өзгөрткөн жокпуз, андыктан учурдагы колдонмолор коопсуздук саясаты уруксат бергенде иштей берет. - Ядро модулунун шайкештиги
Башында, SELinux бар болгон ядро модулдары үчүн баштапкы шайкештикти гана камсыз кылган; ядронун маалымат структураларына кошулган жаңы коопсуздук талааларын алуу үчүн модификацияланган ядро баштары менен мындай модулдарды кайра компиляциялоо зарыл болгон. LSM жана SELinux азыр негизги Linux 2.6 ядросуна интеграциялангандыктан, SELinux азыр бар ядро модулдары менен бинардык шайкештикти камсыз кылат. Бирок, кээ бир ядро модулдары өзгөртүүсүз SELinux менен жакшы иштеше албайт. Мисалы, эгерде ядро модулу кадимки инициализация функцияларын колдонбостон өзөк объектисин түз бөлүп жана орнотсо, анда ядро объектиде тийиштүү коопсуздук маалыматы жок болушу мүмкүн. Кээ бир ядро модулдарында алардын операцияларында тийиштүү коопсуздук көзөмөлү жок болушу мүмкүн; ядро функцияларына же уруксат функцияларына болгон бардык чалуулар да SELinux уруксат текшерүүлөрүн ишке киргизет, бирок MAC саясаттарын ишке ашыруу үчүн дагы кылдат же кошумча көзөмөл талап кылынышы мүмкүн.
Коопсуздук саясатынын конфигурациясында бардык керектүү операцияларга уруксат берилсе, коопсуздук күчөтүлгөн Linux кадимки Linux системалары менен өз ара аракеттенүү көйгөйлөрүн жаратпашы керек.
- Колдонмо шайкештиги
- Коопсуздук саясатынын конфигурациясынын мисалынын максаты эмне?
Жогорку денгээлде, максат мажбурлануучу кирүүнү башкаруунун ийкемдүүлүгүн жана коопсуздугун көрсөтүү жана колдонмону минималдуу өзгөртүүлөр менен жөнөкөй жумушчу системаны камсыз кылуу. Төмөнкү деңгээлде саясаттын программалык документацияда баяндалган максаттары бар. Бул максаттарга чийки маалыматтарга кирүү мүмкүнчүлүгүн көзөмөлдөө, ядронун бүтүндүгүн коргоо, тутумдук программалык камсыздоо, тутум конфигурациясынын маалыматы жана тутум журналдары, артыкчылыктарды талап кылган процессте алсыздыкты пайдалануудан келип чыгышы мүмкүн болгон зыянды чектөө, артыкчылыктуу процесстерди зыяндуу иштерди аткаруудан коргоо кирет. код, администратор ролун жана доменди колдонуучунун аутентификациясы жок кирүүдөн коргойт, кадимки колдонуучу процесстеринин тутумга же администратор процесстерине тоскоол болушуна жол бербөө жана колдонуучуларды жана администраторлорду алардын браузериндеги кемчиликтерди зыяндуу мобилдик код аркылуу пайдалануудан коргойт. - Эмне үчүн Linux базалык платформа катары тандалган?
Бул иштин алгачкы маалымдама ишке ашыруу платформасы катары Linux анын өсүп жаткан ийгилигинен жана ачык өнүгүү чөйрөсүнөн улам тандалган. Linux бул функция хост операциялык тутумунда ийгиликтүү боло аларын жана ошол эле учурда кеңири колдонулган системанын коопсуздугуна салым кошо аларын көрсөтүүгө эң сонун мүмкүнчүлүк берет. Linux платформасы ошондой эле бул иш үчүн мүмкүн болушунча кенен көрүнүшкө ээ болуу үчүн эң сонун мүмкүнчүлүк берет жана балким, башка энтузиасттар тарабынан кошумча коопсуздук изилдөөлөрү үчүн негиз катары кызмат кылат. - Эмне үчүн бул ишти кылдыңыз?
Улуттук коопсуздук агенттиги NSAга АКШнын улуттук коопсуздук кызыкчылыктары үчүн маанилүү болгон маалыматтык инфраструктураларды маалыматтык коопсуздук чечимдерин, продуктыларын жана кызматтарын камсыз кылуу үчүн изилдөө жана алдыңкы технологияларды иштеп чыгуу үчүн жооптуу.
Жашоого жөндөмдүү коопсуз операциялык системаны түзүү негизги изилдөө маселеси бойдон калууда. Биздин максат - коопсуздук үчүн зарыл болгон колдоону камсыз кылган эффективдүү архитектураны түзүү, программаларды колдонуучу үчүн ачык-айкын жана сатуучулар үчүн жагымдуу. Биз бул максатка жетүүдөгү маанилүү кадам болуп, аргасыз кирүүнү башкаруу механизмдерин негизги операциялык системага кантип ийгиликтүү интеграциялоого болорун көрсөтүү деп эсептейбиз. - Мунун мурунку OS NSA изилдөөсүнө кандай тиешеси бар?
NSAнын Улуттук Кепилдик Изилдөө Лабораториясынын изилдөөчүлөрү Secure Computing Corporation (SCC) менен кызматташып, LOCK тутуму баштаган механизм болгон Type Enforcement негизинде күчтүү жана ийкемдүү аткаруу архитектурасын иштеп чыгышты. NSA жана SCC Mach негизинде эки прототиби архитектурасын иштеп чыгышкан: DTMach жана DTOS (). Андан кийин NSA жана SCC архитектураны Fluke Research операциялык тутумуна өткөрүү үчүн Юта университетиндеги Flux изилдөө тобу менен иштешти. Бул көчүрүү учурунда, архитектура динамикалык коопсуздук саясатына жакшы колдоо көрсөтүү үчүн такталган. Бул жакшыртылган архитектура Flask деп аталды (). Азыр NSA технологияны кеңири иштеп чыгуучуларга жана колдонуучулар коомчулугуна жеткирүү үчүн Flask архитектурасын Linux операциялык тутумуна бириктирди. - Коопсуздукту күчөтүлгөн Linux ишенимдүү операциялык тутумубу?
"Ишенимдүү операциялык тутум" деген сөз жалпысынан мамлекеттик талаптардын белгилүү бир топтомун канааттандыруу үчүн катмарлуу коопсуздукту жана валидацияны жетиштүү колдоону камсыз кылган операциялык системаны билдирет. Коопсуздукту жакшырткан Linux бул системалардын пайдалуу түшүнүктөрүн камтыйт, бирок кирүү мүмкүнчүлүгүн көзөмөлдөөгө басым жасайт. Коопсуздукту жакшырткан Linux'ту иштеп чыгуунун баштапкы максаты бул технологияны көрсөтүү үчүн реалдуу дүйнө чөйрөлөрүнүн кеңири диапазондорунда олуттуу коопсуздук артыкчылыктарын камсыз кылган пайдалуу функцияларды түзүү болгон. SELinux өзү ишенимдүү операциялык тутум эмес, бирок ал ишенимдүү операциялык тутум үчүн зарыл болгон коопсуздуктун орчундуу өзгөчөлүгүн - мажбурлап кирүүнү башкарууну - камсыз кылат. SELinux Linux дистрибуцияларына интеграцияланган, алар Белгиленген Коопсуздукту коргоо профилине ылайык бааланган. Сыналган жана сыналган продуктулар тууралуу маалыматты төмөнкү жерден тапса болот . - Ал чын эле корголгонбу?
Коопсуз системанын концепциясы көптөгөн атрибуттарды камтыйт (мисалы, физикалык коопсуздук, персоналдын коопсуздугу ж.б.) жана күчөтүлгөн коопсуздукка ээ Linux бул атрибуттардын өтө тар топтомун гана даректейт (башкача айтканда, операциялык тутумдун көзөмөлгө алуу элементтери). Башка сөз менен айтканда, "коопсуз система" бул маалыматтын ээсине жана/же колдонуучусуна эскертүү берилген чыныгы душмандан реалдуу дүйнөдөгү кээ бир маалыматты коргоо үчүн жетиштүү коопсуз дегенди билдирет. Коопсуздукту жакшырткан Linux Linux сыяктуу заманбап операциялык тутумда талап кылынган башкаруу элементтерин көрсөтүү үчүн гана арналган, ошондуктан өз алдынча коопсуз системанын кандайдыр бир кызыктуу аныктамаларына туура келбейт. Биз коопсуздукту күчөтүлгөн Linux'та көрсөтүлгөн технология коопсуз системаларды курган адамдар үчүн пайдалуу болот деп ишенебиз. - Сиз кепилдикти жакшыртуу үчүн эмне кылдыңыз?
Бул долбоордун максаты Linux үчүн минималдуу өзгөртүүлөр менен аргасыз кирүүнү башкаруу кошуу болгон. Бул акыркы максат кепилдикти жакшыртуу үчүн эмне кылса болорун олуттуу чектейт, андыктан Linux кепилдиктерин жакшыртуу боюнча эч кандай иш болгон жок. Башка жагынан алганда, жакшыртуулар коопсуздуктун жогорку архитектурасын долбоорлоо боюнча мурунку иштерге негизделет жана бул долбоорлоо принциптеринин көбү Коопсуздукту жакшыртылган Linux'ка өткөрүлүп берилди. - CCEVS Linuxту күчөтүлгөн коопсуздук менен баалайбы?
Өзүнчө, коопсуздукту күчөтүлгөн Linux коопсуздук профили тарабынан берилген коопсуздук көйгөйлөрүнүн толук комплексин чечүү үчүн иштелип чыккан эмес. Анын учурдагы функционалдуулугуна гана баа берүү мүмкүн болсо да, биз мындай баалоо чектелген мааниге ээ болот деп ойлойбуз. Бирок, биз бул технологияны бааланган Linux дистрибуцияларына жана бааланып жаткан дистрибуцияларга кошуу үчүн башкалар менен иштештик. Сыналган жана сыналган продуктулар тууралуу маалыматты төмөнкү жерден тапса болот . - Кандайдыр бир кемчиликтерди оңдоого аракет кылдыңызбы?
Жок, биз ишибиздин жүрүшүндө эч кандай кемчилик издеген жокпуз жана тапкан жокпуз. Биз жаңы шаймандарыбызды кошуу үчүн эң аз гана салым коштук. - Бул система мамлекеттик колдонууга бекитилгенби?
Коопсуздугу жакшыртылган Linux Linuxтун башка версияларына өкмөт тарабынан колдонулушу үчүн атайын же кошумча уруксаттарга ээ эмес. Коопсуздукту күчөтүлгөн Linux Linuxтун башка версияларына өкмөт тарабынан колдонууга атайын же кошумча уруксаты жок. - Бул башка демилгелерден эмнеси менен айырмаланат?
Коопсуздугу жакшыртылган Linux бир нече прототип системалары (DTMach, DTOS, Flask) менен эксперименталдык жактан сыналган ийкемдүү мажбурланган кирүүнү башкаруу үчүн так аныкталган архитектурага ээ. Архитектуранын коопсуздук саясатынын кеңири спектрин колдоо жөндөмдүүлүгү боюнча деталдуу изилдөөлөр жүргүзүлдү жана жеткиликтүү и .
Архитектура башка системалар тарабынан көзөмөлдөнбөгөн көптөгөн ядро абстракцияларын жана кызматтарын кылдат башкарууну камсыз кылат. Кеңейтилген коопсуздук менен Linux тутумунун айрым айырмалоочу мүнөздөмөлөрү төмөнкүлөр:- Саясатты аткаруу укуктарынан таза бөлүү
- Жакшы аныкталган саясат интерфейстери
- Конкреттүү саясаттан жана саясат тилдеринен көз карандысыздык
- Коопсуздук энбелгилеринин конкреттүү форматтарынан жана мазмунунан көз карандысыздык
- Ядро объектилери жана кызматтары үчүн өзүнчө энбелгилер жана башкаруу каражаттары
- Натыйжалуулук үчүн мүмкүндүк чечимдерин кэштөө
- Саясаттагы өзгөрүүлөрдү колдоо
- Процессти инициализациялоо жана мурастоо жана программанын аткарылышын көзөмөлдөө
- Файлдык системаларды, каталогдорду, файлдарды жана ачык файлдардын сүрөттөмөлөрүн башкаруу
- Розеткаларды, билдирүүлөрдү жана тармак интерфейстерин башкаруу
- "Мүмкүнчүлүктөрдү" пайдаланууну көзөмөлдөө
- Бул система үчүн лицензиялык чектөөлөр кандай?
Бардык булак коду сайттан табылган , баштапкы баштапкы коддору менен бирдей шарттарда бөлүштүрүлөт. Мисалы, Linux ядросу үчүн оңдоолор жана бул жерде жеткиликтүү болгон көптөгөн утилиталар үчүн оңдоолор шарттарга ылайык чыгарылган . - Экспорттук көзөмөл барбы?
Linuxтун башка версияларына салыштырмалуу кеңейтилген коопсуздугу бар Linux үчүн кошумча экспорттук көзөмөл жок. - NSA аны өлкө ичинде колдонууну пландап жатабы?
Белгилүү себептерден улам, NSA операциялык пайдалануу боюнча комментарий бербейт. - 26-жылдын 2002-июлундагы Коопсуз эсептөө корпорациясынын Кепилдик билдирүүсү NSAнын SELinux GNU General Public License астында жеткиликтүү болгон деген позициясын өзгөртөбү?
NSA позициясы өзгөргөн жок. NSA дагы эле GNU General Public License жоболору жана шарттары SELinux колдонууну, көчүрүүнү, таратууну жана өзгөртүүнү жөнгө салат деп эсептейт. См. . - NSA ачык программалык камсыздоону колдойбу?
NSAнын программалык камсыздоонун коопсуздук демилгелери менчиктик жана ачык булактуу программалык камсыздоону камтыйт жана биз изилдөө ишмердүүлүгүбүздө менчик жана ачык булак моделдерин ийгиликтүү колдондук. NSAнын программалык камсыздоонун коопсуздугун жакшыртуу боюнча иши бир жөнөкөй ой менен шартталган: NSA кардарларына эң кеңири колдонулган өнүмдөрүндө мүмкүн болгон коопсуздуктун эң жакшы варианттарын камсыз кылуу үчүн ресурстарыбыздын максималдуу түрдө пайдалануу. NSAнын изилдөө программасынын максаты - ар кандай өткөрүп берүү механизмдери аркылуу программалык камсыздоону иштеп чыгуу коомчулугу менен бөлүшө турган технологиялык жетишкендиктерди иштеп чыгуу. NSA кандайдыр бир программалык продуктуну же бизнес моделин колдобойт же жылдырбайт. Тескерисинче, NSA коопсуздукту камсыз кылат. - NSA Linuxту колдойбу?
Жогоруда белгиленгендей, NSA кандайдыр бир программалык продуктуну же платформаны колдобойт же жайылтпайт; NSA коопсуздукту жогорулатууга гана салым кошот. SELinux шилтемесин ишке ашырууда көрсөтүлгөн Flask архитектурасы бир нече башка операциялык системаларга, анын ичинде Solaris, FreeBSD жана Darwin, Xen гипервизоруна көчүрүлгөн жана X Window System, GConf, D-BUS жана PostgreSQL сыяктуу тиркемелерге колдонулган. . Колбанын архитектуралык концепциялары системалардын жана чөйрөлөрдүн кеңири спектрине кеңири колдонулат.
кызматташуу
- Linux коомчулугу менен кантип иштешүүнү пландап жатабыз?
Бизде бар , бул коопсуздук күчөтүлгөн Linux маалыматын жарыялоонун негизги жолу катары кызмат кылат. Эгер сизди жакшыртылган коопсуздугу бар Linux кызыктырса, биз сизди иштеп чыгуучунун почта тизмесине кошулуп, баштапкы кодду көрүп, пикириңизди (же код) берүүгө чакырабыз. Иштеп чыгуучунун почта тизмесине кошулуу үчүн караңыз . - Ким жардам бере алат?
SELinux азыр ачык булактуу Linux программалык коомчулугу тарабынан колдоого алынат жана өркүндөтүлөт. - NSA кийинки ишти каржылайбы?
NSA учурда мындан аркы иш боюнча сунуштарды карап жаткан жок. - колдоонун кандай түрү бар?
Биз почта тизмеси аркылуу маселелерди чечүүнү көздөп жатабыз [электрондук почта корголгон], бирок биз белгилүү бир сайтка байланыштуу бардык суроолорго жооп бере албайбыз. - Ким жардам берди? Алар эмне кылышты?
Коопсуздукту күчөтүлгөн Linux прототиби NAI Labs, Secure Computing Corporation (SCC) жана MITER Corporation изилдөө өнөктөштөрү менен NSA тарабынан иштелип чыккан. Алгачкы коомчулукка жарыялангандан кийин дагы көп материалдар чыкты. . - Кантип көбүрөөк билсем болот?
Сизди биздин веб-баракчаларыбызга баш багып, документтерди жана мурунку илимий эмгектерди окууга жана биздин почта тизмебизге катышууга чакырабыз. [электрондук почта корголгон]
Котормо сизге пайдалуубу? Комментарий жазыңыз!
Source: www.habr.com