Salaam wote! Hasa kwa wanafunzi wa kozi tumetayarisha tafsiri ya Maswali Yanayoulizwa Mara kwa Mara rasmi ya mradi wa SELinux. Inaonekana kwetu kuwa tafsiri hii inaweza kuwa na manufaa si kwa wanafunzi pekee, kwa hivyo tunaishiriki nawe.
Tumejaribu kujibu baadhi ya maswali yanayoulizwa mara kwa mara kuhusu mradi wa SELinux. Maswali kwa sasa yamegawanyika katika makundi makuu mawili. Maswali na majibu yote yanatolewa .
Pitia
Pitia
- Linux iliyoimarishwa na Usalama ni nini?
Linux iliyoimarishwa usalama (SELinux) ni utekelezaji wa marejeleo ya usanifu wa usalama wa Flask kwa udhibiti wa ufikiaji unaonyumbulika, unaotekelezwa. Iliundwa ili kuonyesha manufaa ya mifumo ya utekelezaji inayonyumbulika na jinsi mifumo hiyo inaweza kuongezwa kwa mfumo wa uendeshaji. Usanifu wa Flask uliunganishwa baadaye katika Linux na kuingizwa kwa mifumo mingine kadhaa, ikiwa ni pamoja na mfumo wa uendeshaji wa Solaris, mfumo wa uendeshaji wa FreeBSD, na Darwin kernel, na kusababisha kazi mbalimbali zinazohusiana. Usanifu wa Flask hutoa usaidizi wa jumla wa kutekeleza aina nyingi za sera za utekelezaji wa udhibiti wa ufikiaji, ikiwa ni pamoja na zile zinazozingatia dhana ya Utekelezaji wa Aina, Udhibiti wa Ufikiaji wa Wajibu, na Usalama wa Ngazi nyingi. - Linux iliyoimarishwa usalama hutoa nini kwamba Linux ya kawaida haiwezi?
Kiini cha Linux kilichoimarishwa usalama hutekeleza sera za udhibiti wa ufikiaji zinazotekelezwa ambazo huzuia programu za watumiaji na seva za mfumo kwa seti ya chini ya mapendeleo wanayohitaji kufanya kazi yao. Kwa kizuizi hiki, uwezo wa programu hizi za watumiaji na daemoni za mfumo kusababisha madhara katika tukio la maelewano (kwa mfano, kutokana na kufurika kwa bafa au usanidi usiofaa) hupunguzwa au kuondolewa. Utaratibu huu wa vizuizi hufanya kazi bila kutegemea mifumo ya jadi ya udhibiti wa ufikiaji wa Linux. Haina dhana ya mtumiaji mkuu wa "mizizi", na haishiriki mapungufu yanayojulikana ya mifumo ya usalama ya Linux ya jadi (kwa mfano, utegemezi wa setuid/setgid binaries).
Usalama wa mfumo wa Linux ambao haujabadilishwa unategemea usahihi wa kernel, programu zote za upendeleo, na kila usanidi wao. Tatizo katika mojawapo ya maeneo haya linaweza kuathiri mfumo mzima. Kinyume chake, usalama wa mfumo uliorekebishwa kulingana na kerneli ya Linux iliyoimarishwa zaidi inategemea hasa usahihi wa punje na usanidi wa sera yake ya usalama. Ingawa matatizo ya usahihi wa programu au usanidi yanaweza kuruhusu maelewano machache ya programu za mtumiaji binafsi na daemoni za mfumo, hayaleti hatari ya usalama kwa programu nyingine za watumiaji na damoni za mfumo au kwa usalama wa mfumo kwa ujumla. - Yeye ni mzuri kwa ajili gani?
Vipengele vipya vilivyoimarishwa vya usalama vya Linux vimeundwa ili kutoa mgawanyo wa habari kulingana na usiri na mahitaji ya uadilifu. Zimeundwa ili kuzuia michakato ya kusoma data na programu, kuvuruga data na programu, kupita taratibu za usalama za programu, kutekeleza programu zisizoaminika, au kuingilia michakato mingine inayokiuka sera ya usalama ya mfumo. Pia husaidia kupunguza uharibifu unaoweza kusababishwa na programu hasidi au buggy. Pia zinapaswa kuwa muhimu ili kuhakikisha kuwa watumiaji walio na ruhusa tofauti za usalama wanaweza kutumia mfumo sawa kufikia aina tofauti za taarifa zilizo na mahitaji tofauti ya usalama bila kuathiri mahitaji hayo. - Ninawezaje kupata nakala?
Usambazaji mwingi wa Linux ni pamoja na usaidizi wa SELinux ambao tayari umejengwa ndani kama kipengele chaguo-msingi au kama kifurushi cha hiari. Nambari kuu ya SELinux userland inapatikana . Watumiaji wa mwisho wanapaswa kutumia vifurushi vilivyotolewa na usambazaji wao. - Ni nini kimejumuishwa katika toleo lako?
Toleo la NSA la SELinux ni pamoja na msimbo wa msingi wa SELinux userland. Usaidizi wa SELinux tayari umejumuishwa katika kernel kuu ya Linux 2.6, inayopatikana kutoka kernel.org. Msimbo mkuu wa SELinux userland unajumuisha maktaba ya upotoshaji wa sera ya jozi (libsepol), mtunzi wa sera (checksera), maktaba ya programu za usalama (libselinux), maktaba ya zana za usimamizi wa sera (libsemanage), na huduma kadhaa zinazohusiana na sera ( sera msingi).
Kando na kerneli iliyowezeshwa na SELinux na msimbo wa msingi wa nchi ya watumiaji, utahitaji sera na baadhi ya vifurushi vya SELinux vilivyo na viraka vya nafasi ya mtumiaji ili kutumia SELinux. Sera inaweza kupatikana kutoka . - Je! ninaweza kusanikisha Linux ngumu kwenye mfumo uliopo wa Linux?
Ndiyo, unaweza tu kusakinisha marekebisho ya SELinux kwenye mfumo uliopo wa Linux, au unaweza kusakinisha usambazaji wa Linux ambao tayari unajumuisha usaidizi wa SELinux. SELinux ina kerneli ya Linux yenye usaidizi wa SELinux, seti kuu ya maktaba na huduma, baadhi ya vifurushi vya watumiaji vilivyobadilishwa, na usanidi wa sera. Ili kuisakinisha kwenye mfumo uliopo wa Linux ambao hauna usaidizi wa SELinux, lazima uweze kukusanya programu na pia kuwa na vifurushi vingine vya mfumo vinavyohitajika. Ikiwa usambazaji wako wa Linux tayari unajumuisha usaidizi wa SELinux, huhitaji kuunda au kusakinisha toleo la NSA la SELinux. - Je! Linux iliyoimarishwa usalama inaendana vipi na Linux ambayo haijabadilishwa?
Linux iliyoimarishwa usalama hutoa upatanifu wa binary na programu zilizopo za Linux na moduli zilizopo za Linux kernel, lakini baadhi ya moduli za kernel zinaweza kuhitaji marekebisho ili kuingiliana ipasavyo na SELinux. Kategoria hizi mbili za utangamano zimejadiliwa kwa undani hapa chini:- Utangamano wa Maombi
SELinux hutoa utangamano wa binary na programu zilizopo. Tumepanua miundo ya data ya kernel ili kujumuisha sifa mpya za usalama na kuongeza simu mpya za API kwa programu za usalama. Hata hivyo, hatujabadilisha miundo yoyote ya data inayoonekana kwenye programu, wala hatujabadilisha kiolesura cha simu zozote zilizopo za mfumo, kwa hivyo programu zilizopo bado zinaweza kufanya kazi mradi tu sera ya usalama inaziruhusu. - Utangamano wa moduli ya Kernel
Hapo awali, SELinux ilitoa tu utangamano wa awali kwa moduli za kernel zilizopo; ilihitajika kukusanya tena moduli kama hizo na vichwa vya kernel vilivyobadilishwa ili kuchukua sehemu mpya za usalama zilizoongezwa kwa miundo ya data ya kernel. Kwa sababu LSM na SELinux sasa zimeunganishwa kwenye kernel kuu ya Linux 2.6, SELinux sasa hutoa upatanifu wa binary na moduli zilizopo za kernel. Walakini, moduli zingine za kernel zinaweza zisiingiliane vizuri na SELinux bila marekebisho. Kwa mfano, ikiwa moduli ya kernel itatenga moja kwa moja na kusanidi kitu cha kernel bila kutumia vitendaji vya kawaida vya uanzishaji, basi kitu cha kernel kinaweza kukosa habari sahihi ya usalama. Baadhi ya moduli za kernel pia zinaweza kukosa udhibiti sahihi wa usalama kwenye shughuli zao; simu zozote zilizopo kwa utendakazi wa kernel au utendakazi wa ruhusa pia zitaanzisha ukaguzi wa ruhusa wa SELinux, lakini vidhibiti vyema zaidi au vya ziada vinaweza kuhitajika ili kutekeleza sera za MAC.
Linux iliyoimarishwa usalama haipaswi kuunda matatizo ya ushirikiano na mifumo ya kawaida ya Linux ikiwa utendakazi wote muhimu unaruhusiwa na usanidi wa sera ya usalama.
- Utangamano wa Maombi
- Madhumuni ya mfano wa usanidi wa sera ya usalama ni nini?
Kwa kiwango cha juu, lengo ni kuonyesha kubadilika na usalama wa udhibiti wa ufikiaji unaotekelezwa na kutoa mfumo rahisi wa kufanya kazi na mabadiliko madogo ya maombi. Katika ngazi ya chini, sera ina seti ya malengo, iliyoelezwa katika nyaraka za sera. Malengo haya ni pamoja na kudhibiti ufikiaji wa data ghafi, kulinda uadilifu wa kernel, programu ya mfumo, maelezo ya usanidi wa mfumo na kumbukumbu za mfumo, kupunguza uharibifu unaoweza kusababishwa na kutumia udhaifu katika mchakato unaohitaji upendeleo, kulinda michakato iliyobahatika dhidi ya kutekeleza hasidi. msimbo, linda jukumu la msimamizi na kikoa dhidi ya kuingia bila uthibitishaji wa mtumiaji, kuzuia michakato ya kawaida ya mtumiaji kuingilia kati michakato ya mfumo au msimamizi, na kulinda watumiaji na wasimamizi dhidi ya kutumia udhaifu katika kivinjari chao kwa msimbo hasidi wa simu ya mkononi. - Kwa nini Linux ilichaguliwa kama jukwaa la msingi?
Linux ilichaguliwa kama jukwaa la utekelezaji wa awali wa marejeleo ya kazi hii kutokana na mafanikio yake yanayokua na mazingira wazi ya maendeleo. Linux hutoa fursa nzuri ya kuonyesha kwamba utendakazi huu unaweza kufanikiwa kwenye mfumo wa uendeshaji wa mwenyeji na, wakati huo huo, kuchangia usalama wa mfumo unaotumiwa sana. Jukwaa la Linux pia hutoa fursa nzuri kwa kazi hii kupata mwonekano mpana zaidi na labda kutumika kama msingi wa utafiti wa ziada wa usalama na wakereketwa wengine. - Kwa nini ulifanya kazi hii?
Shirika la Usalama la Kitaifa linawajibika kwa utafiti na maendeleo ya teknolojia ya hali ya juu ili kuwezesha NSA kutoa suluhu za usalama wa habari, bidhaa na huduma kwa miundomsingi ya habari muhimu kwa masilahi ya usalama wa kitaifa wa Amerika.
Kuunda mfumo salama wa kufanya kazi bado ni changamoto kubwa ya utafiti. Lengo letu ni kuunda usanifu bora ambao hutoa usaidizi unaohitajika kwa usalama, huendesha programu kwa njia ya uwazi kwa kiasi kikubwa kwa mtumiaji, na kuvutia wachuuzi. Tunaamini kwamba hatua muhimu katika kufikia lengo hili ni kuonyesha jinsi njia za udhibiti wa ufikiaji wa kulazimishwa zinaweza kuunganishwa kwa mafanikio katika mfumo mkuu wa uendeshaji. - Je, hii inahusiana vipi na utafiti uliopita wa OS NSA?
Watafiti katika Maabara ya Kitaifa ya Utafiti wa Uhakikisho wa NSA wameshirikiana na Shirika la Kompyuta Salama (SCC) kuunda usanifu wenye nguvu na unaonyumbulika wa utekelezaji kulingana na Utekelezaji wa Aina, utaratibu ulioanzishwa na mfumo wa LOCK. NSA na SCC zilitengeneza usanifu wa mifano miwili kulingana na Mach: DTMach na DTOS () NSA na SCC kisha zilifanya kazi na Kikundi cha Utafiti cha Flux katika Chuo Kikuu cha Utah kuweka usanifu kwa Mfumo wa Uendeshaji wa Utafiti wa Fluke. Wakati wa uhamiaji huu, usanifu umeboreshwa ili kutoa usaidizi bora kwa sera madhubuti za usalama. Usanifu huu ulioboreshwa umeitwa Flask () Sasa NSA imeunganisha usanifu wa Flask kwenye mfumo wa uendeshaji wa Linux ili kuleta teknolojia kwa wasanidi mpana na jumuiya ya watumiaji. - Je, Linux iliyo na usalama ulioimarishwa ni mfumo wa uendeshaji unaotegemewa?
Maneno "Mfumo wa Uendeshaji Unaoaminika" kwa ujumla hurejelea mfumo wa uendeshaji ambao hutoa usaidizi wa kutosha kwa usalama wa tabaka na uthibitishaji ili kukidhi seti maalum ya mahitaji ya serikali. Linux iliyoimarishwa usalama hujumuisha maarifa muhimu kutoka kwa mifumo hii, lakini inalenga katika udhibiti wa ufikiaji ulioimarishwa. Lengo la awali la kutengeneza Linux iliyoimarishwa usalama lilikuwa kuunda utendakazi muhimu ambao hutoa manufaa yanayoonekana ya usalama katika anuwai ya mazingira ya ulimwengu halisi ili kuonyesha teknolojia hii. SELinux yenyewe sio mfumo wa uendeshaji unaoaminika, lakini hutoa kipengele muhimu cha usalama - udhibiti wa ufikiaji unaotekelezwa - muhimu kwa mfumo wa uendeshaji unaoaminika. SELinux imeunganishwa katika usambazaji wa Linux ambao umekadiriwa kulingana na Wasifu Uliotambulishwa wa Ulinzi wa Usalama. Taarifa kuhusu bidhaa zilizojaribiwa na zilizojaribiwa zinaweza kupatikana kwenye . - Je, analindwa kweli?
Dhana ya mfumo salama inajumuisha sifa nyingi (kwa mfano, usalama wa kimwili, usalama wa wafanyakazi, n.k.), na Linux iliyo na anwani za usalama zilizoimarishwa tu seti nyembamba sana ya sifa hizi (yaani, udhibiti wa utekelezaji wa mfumo wa uendeshaji). Kwa maneno mengine, "mfumo salama" inamaanisha kuwa salama vya kutosha kulinda taarifa fulani katika ulimwengu wa kweli kutoka kwa adui halisi ambaye mmiliki na/au mtumiaji wa taarifa hiyo anaonywa. Linux iliyoimarishwa usalama inakusudiwa tu kuonyesha vidhibiti vinavyohitajika katika mfumo wa uendeshaji wa kisasa kama vile Linux, na hivyo peke yake hakuna uwezekano wa kutoshea ufafanuzi wowote wa kuvutia wa mfumo salama. Tunaamini kwamba teknolojia iliyoonyeshwa katika Linux iliyoimarishwa usalama itakuwa muhimu kwa watu wanaounda mifumo salama. - Umefanya nini ili kuboresha dhamana?
Lengo la mradi huu lilikuwa kuongeza vidhibiti vya ufikiaji vya kulazimishwa na mabadiliko madogo kwenye Linux. Lengo hili la mwisho linapunguza kwa ukali kile kinachoweza kufanywa ili kuboresha udhamini, kwa hivyo kumekuwa hakuna kazi ya kuboresha udhamini wa Linux. Kwa upande mwingine, maboresho yanajengwa juu ya kazi ya hapo awali ya kubuni usanifu wa usalama wa hali ya juu, na nyingi ya kanuni hizi za muundo zimehamishiwa kwa Linux iliyoimarishwa Usalama. - Je, CCEVS itatathmini Linux na usalama ulioimarishwa?
Kwa yenyewe, Linux iliyo na usalama ulioimarishwa haijaundwa kushughulikia seti kamili ya matatizo ya usalama yanayowakilishwa na wasifu wa usalama. Ingawa itawezekana kutathmini utendakazi wake wa sasa pekee, tunaamini kuwa tathmini kama hiyo itakuwa ya thamani ndogo. Hata hivyo, tumefanya kazi na wengine kujumuisha teknolojia hii katika usambazaji wa Linux ambao umetathminiwa na usambazaji ambao uko katika tathmini. Taarifa kuhusu bidhaa zilizojaribiwa na zilizojaribiwa zinaweza kupatikana kwenye . - Je, umejaribu kurekebisha udhaifu wowote?
Hapana, hatukutafuta au kupata udhaifu wowote wakati wa kazi yetu. Tumechangia vya kutosha tu vya kiwango cha chini zaidi ili kuongeza gia zetu mpya. - Je, mfumo huu umeidhinishwa kwa matumizi ya serikali?
Linux iliyoimarishwa usalama haina idhini maalum au ya ziada kwa matumizi ya serikali juu ya toleo lingine lolote la Linux. Linux iliyoimarishwa usalama haina idhini maalum au ya ziada kwa matumizi ya serikali juu ya toleo lingine lolote la Linux. - Je, hii ni tofauti gani na mipango mingine?
Linux iliyoimarishwa kiusalama ina usanifu uliobainishwa vyema kwa udhibiti wa ufikiaji unaotekelezeka ambao umejaribiwa kwa majaribio na mifumo kadhaa ya mfano (DTMach, DTOS, Flask). Uchunguzi wa kina umefanywa juu ya uwezo wa usanifu kusaidia anuwai ya sera za usalama na zinapatikana katika ΠΈ .
Usanifu hutoa udhibiti mzuri juu ya vifupisho vingi vya kernel na huduma ambazo hazidhibitiwi na mifumo mingine. Baadhi ya sifa bainifu za mfumo wa Linux wenye usalama uliopanuliwa ni:- Mgawanyo safi wa sera kutoka kwa haki za utekelezaji
- Miingiliano ya sera iliyofafanuliwa vyema
- Kujitegemea kutoka kwa sera maalum na lugha za sera
- Kujitegemea kutoka kwa miundo maalum na maudhui ya lebo za usalama
- Tenganisha Lebo na Vidhibiti vya Vitu na Huduma za Kernel
- Maamuzi ya Ufikiaji wa Akiba kwa Ufanisi
- Usaidizi wa mabadiliko ya sera
- Udhibiti wa uanzishaji wa mchakato na urithi na utekelezaji wa programu
- Dhibiti mifumo ya faili, saraka, faili na maelezo ya faili wazi
- Kusimamia soketi, ujumbe na miingiliano ya mtandao
- Udhibiti wa matumizi ya "Fursa"
- Je, ni vikwazo gani vya utoaji leseni kwa mfumo huu?
Msimbo wote wa chanzo hupatikana kwenye tovuti , inasambazwa chini ya masharti sawa na misimbo asilia. Kwa mfano, marekebisho ya kinu cha Linux na marekebisho ya huduma nyingi zilizopo hapa hutolewa chini ya masharti. . - Je, kuna vidhibiti vya usafirishaji?
Hakuna vidhibiti vya ziada vya usafirishaji vya Linux vilivyo na usalama uliopanuliwa ikilinganishwa na toleo lingine lolote la Linux. - Je, AZAKI ina mpango wa kuitumia ndani ya nchi?
Kwa sababu za wazi, NSA haitoi maoni juu ya matumizi ya uendeshaji. - Je, Taarifa ya Dhamana ya Julai 26, 2002 kutoka Shirika la Kompyuta salama inabadilisha msimamo wa NSA kwamba SELinux ilitolewa chini ya Leseni ya Jumla ya GNU ya Umma?
Msimamo wa NSA haujabadilika. NSA bado inaamini kuwa sheria na masharti ya Leseni ya Jumla ya Umma ya GNU inasimamia matumizi, kunakili, usambazaji na urekebishaji wa SELinux. Sentimita. . - Je, NSA inasaidia programu huria?
Mipango ya usalama ya programu ya NSA inahusisha programu za wamiliki na programu huria, na tumefaulu kutumia miundo ya umiliki na chanzo huria katika shughuli zetu za utafiti. Kazi ya NSA ya kuboresha usalama wa programu inachochewa na jambo moja rahisi: kutumia vyema rasilimali zetu ili kuwapa wateja wa NSA chaguo bora zaidi za usalama katika bidhaa zao zinazotumiwa sana. Lengo la mpango wa utafiti wa NSA ni kuendeleza maendeleo ya kiteknolojia ambayo yanaweza kushirikiwa na jumuiya ya maendeleo ya programu kupitia mbinu mbalimbali za uhamisho. NSA haiidhinishi au kukuza bidhaa yoyote ya programu au mtindo wa biashara. Badala yake, NSA inakuza usalama. - Je, NSA inasaidia Linux?
Kama ilivyobainishwa hapo juu, NSA haiidhinishi au kutangaza bidhaa au jukwaa lolote la programu; NSA inachangia tu kuongezeka kwa usalama. Usanifu wa Flask ulioonyeshwa katika utekelezaji wa marejeleo ya SELinux umetumwa kwa mifumo mingine kadhaa ya uendeshaji ikiwa ni pamoja na Solaris, FreeBSD, na Darwin, iliyowekwa kwenye hypervisor ya Xen, na kutumika kwa programu kama vile Mfumo wa Window X, GConf, D-BUS, na PostgreSQL. . Dhana za usanifu wa chupa hutumika kwa upana kwa anuwai ya mifumo na mazingira.
Ushirikiano
- Je, tunapangaje kuingiliana na jumuiya ya Linux?
Tuna , ambayo itatumika kama njia yetu kuu ya kuchapisha maelezo ya Linux yaliyoimarishwa usalama. Ikiwa ungependa Linux iliyo na usalama ulioimarishwa, tunakuhimiza ujiunge na orodha ya wasanidi programu, angalia msimbo wa chanzo, na utoe maoni yako (au msimbo). Ili kujiunga na orodha ya wasanidi programu, ona . - Nani anaweza kusaidia?
SELinux sasa inadumishwa na kuboreshwa na jumuiya ya programu huria ya Linux. - Je, NSA hufadhili ufuatiliaji wowote?
NSA kwa sasa haizingatii mapendekezo ya kazi zaidi. - Ni aina gani ya msaada inapatikana?
Tunakusudia kutatua masuala kupitia orodha ya wanaopokea barua pepe [barua pepe inalindwa], lakini hatutaweza kujibu maswali yote yanayohusiana na tovuti fulani. - Nani alisaidia? Walifanya nini?
Mfano wa Linux ulioimarishwa kwa usalama ulitengenezwa na NSA na washirika wa utafiti kutoka NAI Labs, Secure Computing Corporation (SCC), na MITER Corporation. Nyenzo nyingi zaidi zilifuata baada ya kutolewa kwa umma kwa mara ya kwanza. . - Ninawezaje kujua zaidi?
Tunakuhimiza kutembelea kurasa zetu za wavuti, kusoma nyaraka na karatasi za utafiti zilizopita, na kushiriki katika orodha yetu ya barua. [barua pepe inalindwa]
Je, unaona tafsiri hiyo kuwa muhimu? Andika maoni!
Chanzo: mapenzi.com