Herkese selam! Özellikle kursiyerler için SELinux projesinin resmi SSS'sinin bir çevirisini hazırladık. Bize öyle geliyor ki bu çeviri sadece öğrenciler için yararlı olmayabilir, bu yüzden sizinle paylaşıyoruz.
SELinux projesi hakkında en sık sorulan bazı soruları yanıtlamaya çalıştık. Sorular şu anda iki ana kategoriye ayrılmıştır. Tüm sorular ve cevaplar verilir .
Gözden
Gözden
- Güvenliği Geliştirilmiş Linux nedir?
Güvenliği artırılmış Linux (SELinux), esnek, zorunlu erişim kontrolü için Flask güvenlik mimarisinin referans uygulamasıdır. Esnek uygulama mekanizmalarının kullanışlılığını ve bu tür mekanizmaların bir işletim sistemine nasıl eklenebileceğini göstermek için oluşturulmuştur. Flask mimarisi daha sonra Linux'a entegre edildi ve Solaris işletim sistemi, FreeBSD işletim sistemi ve Darwin çekirdeği dahil olmak üzere diğer birçok sisteme taşındı ve geniş bir ilgili çalışma yelpazesine yol açtı. Flask mimarisi, Tip Zorlama, Rol Tabanlı Erişim Kontrolü ve Çok Düzeyli Güvenlik kavramlarına dayalı olanlar da dahil olmak üzere birçok türde erişim kontrolü zorlama ilkesinin uygulanması için genel destek sağlar. - Güvenliği artırılmış Linux, standart Linux'un sağlayamadığı neyi sağlıyor?
Güvenliği artırılmış Linux çekirdeği, kullanıcı programlarını ve sistem sunucularını işlerini yapmak için ihtiyaç duydukları minimum ayrıcalık kümesiyle sınırlayan zorunlu erişim denetimi ilkelerini uygular. Bu kısıtlama ile, bu kullanıcı programlarının ve sistem arka plan programlarının bir uzlaşma durumunda (örneğin, arabellek taşması veya yanlış yapılandırma nedeniyle) zarar verme yeteneği azaltılır veya ortadan kaldırılır. Bu kısıtlama mekanizması, geleneksel Linux erişim kontrol mekanizmalarından bağımsız olarak çalışır. Bir "kök" süper kullanıcı kavramına sahip değildir ve geleneksel Linux güvenlik mekanizmalarının iyi bilinen eksikliklerini (örneğin, setuid/setgid ikili dosyalarına bağımlılık) paylaşmaz.
Değiştirilmemiş bir Linux sisteminin güvenliği, çekirdeğin, tüm ayrıcalıklı uygulamaların ve bunların her birinin yapılandırmasının doğruluğuna bağlıdır. Bu alanlardan herhangi birinde bir sorun tüm sistemi tehlikeye atabilir. Buna karşılık, güvenliği artırılmış Linux çekirdeğine dayalı değiştirilmiş bir sistemin güvenliği, öncelikle çekirdeğin doğruluğuna ve güvenlik politikasının yapılandırmasına bağlıdır. Uygulama doğruluğu veya konfigürasyonu ile ilgili sorunlar, bireysel kullanıcı programlarının ve sistem arka plan programlarının sınırlı bir şekilde tehlikeye atılmasına izin verse de, diğer kullanıcı programları ve sistem arka plan programlarına veya bir bütün olarak sistemin güvenliğine yönelik bir güvenlik riski oluşturmaz. - O ne işe yarar?
Linux'un güvenliği artırılmış yeni özellikleri, bilgilerin gizlilik ve bütünlük gereksinimlerine göre ayrılmasını sağlamak için tasarlanmıştır. Süreçlerin verileri ve programları okumasını, veri ve programları kurcalamasını, uygulama güvenlik mekanizmalarını atlamasını, güvenilmeyen programları yürütmesini veya sistem güvenlik politikasını ihlal edecek şekilde diğer işlemlere müdahale etmesini önlemek için tasarlanmıştır. Ayrıca, kötü amaçlı yazılım veya hatalı programların neden olabileceği olası zararı sınırlamaya da yardımcı olurlar. Ayrıca, farklı güvenlik izinlerine sahip kullanıcıların, bu gereksinimlerden ödün vermeden, farklı türde bilgilere farklı güvenlik gereksinimleriyle erişmek için aynı sistemi kullanabilmelerini sağlamak için yararlı olmalıdırlar. - Bir kopyasını nasıl alabilirim?
Birçok Linux dağıtımı, varsayılan bir özellik veya isteğe bağlı bir paket olarak zaten yerleşik olan SELinux desteği içerir. Temel SELinux kullanıcı alanı kodu şu adreste mevcuttur: . Son kullanıcılar genellikle dağıtımları tarafından sağlanan paketleri kullanmalıdır. - Sürümünüze neler dahildir?
SELinux'un NSA sürümü, temel SELinux kullanıcı alanı kodunu içerir. SELinux desteği, kernel.org adresinden erişilebilen ana akım Linux 2.6 çekirdeğine zaten dahil edilmiştir. Çekirdek SELinux kullanıcı alanı kodu, ikili ilke manipülasyonu için bir kitaplık (libsepol), bir ilke derleyici (checkpolicy), güvenlik uygulamaları için bir kitaplık (libselinux), ilke yönetimi araçları için bir kitaplık (libsemanage) ve birkaç ilke ile ilgili yardımcı programdan oluşur ( Policycoreutils).
SELinux özellikli çekirdeğe ve temel kullanıcı alanı koduna ek olarak, SELinux'u kullanmak için bir ilkeye ve bazı SELinux yamalı kullanıcı alanı paketlerine ihtiyacınız olacak. Poliçe adresinden temin edilebilir. . - Güçlendirilmiş Linux'u mevcut bir Linux sistemine kurabilir miyim?
Evet, SELinux değişikliklerini yalnızca mevcut bir Linux sistemine kurabilirsiniz veya halihazırda SELinux desteği içeren bir Linux dağıtımı kurabilirsiniz. SELinux, SELinux destekli bir Linux çekirdeği, bir çekirdek kitaplıklar ve yardımcı programlar seti, bazı değiştirilmiş kullanıcı paketleri ve bir ilke yapılandırmasından oluşur. SELinux desteği olmayan mevcut bir Linux sistemine kurmak için, yazılımı derleyebilmeniz ve ayrıca gerekli diğer sistem paketlerine sahip olmanız gerekir. Linux dağıtımınız zaten SELinux desteği içeriyorsa, SELinux'un NSA sürümünü oluşturmanız veya kurmanız gerekmez. - Güvenliği artırılmış Linux, değiştirilmemiş Linux ile ne kadar uyumludur?
Güvenliği artırılmış Linux, mevcut Linux uygulamaları ve mevcut Linux çekirdek modülleri ile ikili uyumluluk sağlar, ancak bazı çekirdek modüllerinin SELinux ile doğru şekilde etkileşime girmesi için değişiklik yapılması gerekebilir. Bu iki uyumluluk kategorisi aşağıda ayrıntılı olarak ele alınmıştır:- Uygulama Uyumluluğu
SELinux, mevcut uygulamalarla ikili uyumluluk sağlar. Çekirdek veri yapılarını yeni güvenlik öznitelikleri içerecek şekilde genişlettik ve güvenlik uygulamaları için yeni API çağrıları ekledik. Ancak, uygulama tarafından görülebilen veri yapılarını veya mevcut sistem çağrılarının arayüzünü değiştirmedik, bu nedenle mevcut uygulamalar, güvenlik politikası izin verdiği sürece çalışmaya devam edebilir. - Çekirdek modülü uyumluluğu
Başlangıçta, SELinux yalnızca mevcut çekirdek modülleri için başlangıç uyumluluğu sağladı; çekirdek veri yapılarına eklenen yeni güvenlik alanlarını almak için bu tür modülleri değiştirilmiş çekirdek başlıkları ile yeniden derlemek gerekiyordu. LSM ve SELinux artık ana akım Linux 2.6 çekirdeğine entegre edildiğinden, SELinux artık mevcut çekirdek modülleriyle ikili uyumluluk sağlıyor. Ancak, bazı çekirdek modülleri, değişiklik yapılmadan SELinux ile iyi etkileşime girmeyebilir. Örneğin, bir çekirdek modülü, normal başlatma işlevlerini kullanmadan doğrudan bir çekirdek nesnesini tahsis eder ve ayarlarsa, çekirdek nesnesi uygun güvenlik bilgisine sahip olmayabilir. Bazı çekirdek modülleri, işlemleri üzerinde uygun güvenlik denetimlerinden de yoksun olabilir; çekirdek işlevlerine veya izin işlevlerine yapılan mevcut çağrılar da SELinux izin denetimlerini tetikler, ancak MAC ilkelerini uygulamak için daha ayrıntılı veya ek denetimler gerekebilir.
Güvenliği artırılmış Linux, güvenlik ilkesi yapılandırması tarafından gerekli tüm işlemlere izin veriliyorsa, normal Linux sistemleriyle birlikte çalışabilirlik sorunları yaratmamalıdır.
- Uygulama Uyumluluğu
- Güvenlik ilkesi yapılandırma örneğinin amacı nedir?
Üst düzeyde amaç, zorunlu erişim denetimlerinin esnekliğini ve güvenliğini göstermek ve minimum uygulama değişikliğiyle basit çalışan bir sistem sağlamaktır. Daha düşük bir seviyede, bir politikanın, politika belgelerinde açıklanan bir dizi hedefi vardır. Bu hedefler arasında verilere ham erişimin kontrol edilmesi, çekirdeğin, sistem yazılımının, sistem yapılandırma bilgilerinin ve sistem günlüklerinin bütünlüğünün korunması, ayrıcalık gerektiren bir süreçteki bir güvenlik açığından yararlanılmasının neden olabileceği olası zararın sınırlandırılması, ayrıcalıklı süreçlerin yürütülmesinden korunması yer alır. kötü amaçlı kod, yönetici rolünü ve etki alanını kullanıcı kimlik doğrulaması olmadan oturum açmaya karşı koruyun, normal kullanıcı işlemlerinin sistem veya yönetici işlemlerine müdahale etmesini önleyin ve kullanıcıları ve yöneticileri kötü amaçlı mobil kodla tarayıcılarındaki güvenlik açıklarından yararlanmaya karşı koruyun. - Temel platform olarak neden Linux seçildi?
Artan başarısı ve açık geliştirme ortamı nedeniyle bu çalışmanın ilk referans uygulaması için platform olarak Linux seçildi. Linux, bu işlevselliğin bir ana bilgisayar işletim sisteminde başarılı olabileceğini ve aynı zamanda yaygın olarak kullanılan bir sistemin güvenliğine katkıda bulunabileceğini göstermek için mükemmel bir fırsat sağlar. Linux platformu aynı zamanda bu çalışma için mümkün olan en geniş görüşü elde etmek için mükemmel bir fırsat sağlar ve belki de diğer meraklılar tarafından ek güvenlik araştırmaları için bir temel oluşturur. - Bu işi neden yaptın?
Ulusal Güvenlik Teşkilatı, NSA'nın ABD ulusal güvenlik çıkarları için kritik olan bilgi altyapılarına bilgi güvenliği çözümleri, ürünleri ve hizmetleri sağlamasını sağlamak için araştırma ve ileri teknoloji geliştirmeden sorumludur.
Uygulanabilir bir güvenli işletim sistemi oluşturmak, büyük bir araştırma zorluğu olmaya devam ediyor. Amacımız, güvenlik için gerekli desteği sağlayan, programları kullanıcı için büyük ölçüde şeffaf bir şekilde çalıştıran ve satıcılar için çekici olan verimli bir mimari oluşturmaktır. Bu amaca ulaşmada önemli bir adımın, zorunlu erişim kontrol mekanizmalarının ana işletim sistemine nasıl başarılı bir şekilde entegre edilebileceğini göstermek olduğuna inanıyoruz. - Bunun önceki OS NSA araştırması ile nasıl bir ilişkisi var?
NSA'nın Ulusal Güvence Araştırma Laboratuvarı'ndaki araştırmacılar, LOCK sisteminin öncülüğünü yaptığı bir mekanizma olan Type Enforcement'a dayalı güçlü ve esnek bir uygulama mimarisi geliştirmek için Secure Computing Corporation (SCC) ile ortaklık kurdu. NSA ve SCC, Mach'a dayalı iki prototip mimari geliştirdi: DTMach ve DTOS (). NSA ve SCC daha sonra mimariyi Fluke Research İşletim Sistemine taşımak için Utah Üniversitesi'ndeki Flux Research Group ile birlikte çalıştı. Bu geçiş sırasında mimari, dinamik güvenlik ilkeleri için daha iyi destek sağlayacak şekilde geliştirildi. Bu geliştirilmiş mimariye Flask (). Şimdi NSA, teknolojiyi daha geniş geliştirici ve kullanıcı topluluğuna getirmek için Flask mimarisini Linux işletim sistemine entegre etti. - Gelişmiş güvenliğe sahip Linux güvenilir bir işletim sistemi midir?
"Güvenilir İşletim Sistemi" ifadesi, genel olarak, belirli bir devlet gereksinimlerini karşılamak için katmanlı güvenlik ve doğrulama için yeterli desteği sağlayan bir işletim sistemini ifade eder. Güvenliği artırılmış Linux, bu sistemlerden elde edilen faydalı içgörüleri birleştirir, ancak zorunlu erişim kontrolüne odaklanır. Güvenliği artırılmış Linux geliştirmenin asıl amacı, bu teknolojiyi göstermek için çok çeşitli gerçek dünya ortamlarında somut güvenlik faydaları sağlayan kullanışlı işlevsellik yaratmaktı. SELinux'un kendisi güvenilir bir işletim sistemi değildir, ancak güvenilir bir işletim sistemi için gerekli olan kritik bir güvenlik özelliği olan zorunlu erişim denetimi sağlar. SELinux, Etiketli Güvenlik Koruma Profiline göre derecelendirilen Linux dağıtımlarına entegre edilmiştir. Test edilmiş ve test edilmiş ürünler hakkında bilgiler şu adreste bulunabilir: . - Gerçekten korunuyor mu?
Güvenli bir sistem kavramı birçok özniteliği (örneğin, fiziksel güvenlik, personel güvenliği vb.) içerir ve gelişmiş güvenlik adreslerine sahip Linux, bu özniteliklerin yalnızca çok dar bir kümesini (yani, işletim sisteminin uygulama kontrolleri) içerir. Başka bir deyişle, "güvenli sistem", gerçek dünyadaki bazı bilgileri, bilgi sahibinin ve/veya kullanıcısının uyarıldığı gerçek bir düşmandan koruyacak kadar güvenli anlamına gelir. Güvenliği artırılmış Linux, yalnızca Linux gibi modern bir işletim sisteminde gerekli denetimleri sergilemek içindir ve bu nedenle kendi başına herhangi bir ilginç güvenli sistem tanımına uyması pek olası değildir. Güvenliği artırılmış Linux'ta gösterilen teknolojinin, güvenli sistemler kuran kişiler için faydalı olacağına inanıyoruz. - Garantiyi iyileştirmek için ne yaptınız?
Bu projenin amacı, Linux'ta minimum değişiklikle zorunlu erişim denetimleri eklemekti. Bu son hedef, garantiyi iyileştirmek için yapılabilecekleri ciddi şekilde sınırlıyor, bu nedenle Linux garantisini iyileştirmek için hiçbir çalışma yapılmadı. Öte yandan, iyileştirmeler, yüksek güvenlikli bir güvenlik mimarisi tasarlama konusundaki önceki çalışmalara dayanmaktadır ve bu tasarım ilkelerinin çoğu, Güvenliği artırılmış Linux'a taşınmıştır. - CCEVS, Linux'u gelişmiş güvenlikle değerlendirecek mi?
Kendi başına, gelişmiş güvenliğe sahip Linux, bir güvenlik profili tarafından temsil edilen tüm güvenlik sorunlarını ele almak için tasarlanmamıştır. Sadece mevcut işlevselliğini değerlendirmek mümkün olsa da, böyle bir değerlendirmenin sınırlı bir değere sahip olacağına inanıyoruz. Ancak, bu teknolojiyi değerlendirilen Linux dağıtımlarına ve değerlendirmede olan dağıtımlara dahil etmek için başkalarıyla birlikte çalıştık. Test edilmiş ve test edilmiş ürünler hakkında bilgiler şu adreste bulunabilir: . - Herhangi bir güvenlik açığını düzeltmeyi denediniz mi?
Hayır, çalışmalarımız sırasında herhangi bir güvenlik açığı aramadık veya bulmadık. Yeni donanımlarımızı eklemek için yalnızca minimum düzeyde katkıda bulunduk. - Bu sistem hükümet kullanımı için onaylandı mı?
Güvenliği artırılmış Linux'un, Linux'un diğer sürümleri üzerinde hükümet kullanımı için özel veya ek onayı yoktur. Güvenliği artırılmış Linux'un, herhangi bir diğer Linux sürümü üzerinde hükümet kullanımı için özel veya ek onayı yoktur. - Bunun diğer girişimlerden farkı nedir?
Güvenliği artırılmış Linux, çeşitli prototip sistemlerle (DTMach, DTOS, Flask) deneysel olarak test edilmiş, esnek zorunlu erişim denetimi için iyi tanımlanmış bir mimariye sahiptir. Mimarinin çok çeşitli güvenlik politikalarını destekleme yeteneği üzerine ayrıntılı çalışmalar yapılmıştır ve şu adreste mevcuttur: и .
Mimari, diğer sistemler tarafından kontrol edilmeyen birçok çekirdek soyutlaması ve hizmeti üzerinde ayrıntılı kontrol sağlar. Genişletilmiş güvenliğe sahip bir Linux sisteminin ayırt edici özelliklerinden bazıları şunlardır:- Politikanın uygulama haklarından tamamen ayrılması
- İyi tanımlanmış politika arayüzleri
- Belirli politikalardan ve politika dillerinden bağımsızlık
- Güvenlik etiketlerinin belirli biçimlerinden ve içeriğinden bağımsızlık
- Çekirdek Nesneleri ve Hizmetleri için Ayrı Etiketler ve Kontroller
- Verimlilik İçin Erişim Kararlarını Önbelleğe Alma
- Politika değişiklikleri için destek
- Süreç başlatma ve kalıtım ve program yürütme üzerinde kontrol
- Dosya sistemlerini, dizinleri, dosyaları ve açık dosyaların açıklamalarını yönetme
- Soketleri, mesajları ve ağ arayüzlerini yönetme
- "Fırsatların" kullanımı üzerinde kontrol
- Bu sistem için lisanslama kısıtlamaları nelerdir?
Sitede bulunan tüm kaynak kodları , orijinal kaynak kodlarıyla aynı koşullar altında dağıtılır. Örneğin, Linux çekirdeği için düzeltmeler ve burada bulunan mevcut yardımcı programların çoğu için düzeltmeler şu koşullar altında yayınlanır: . - İhracat kontrolleri var mı?
Diğer Linux sürümleriyle karşılaştırıldığında genişletilmiş güvenliğe sahip Linux için ek dışa aktarma denetimleri yoktur. - NSA yurt içinde kullanmayı planlıyor mu?
Bariz sebeplerden dolayı, NSA operasyonel kullanım hakkında yorum yapmıyor. - Secure Computing Corporation'ın 26 Temmuz 2002 tarihli Garanti Bildirimi, NSA'nın SELinux'un GNU Genel Kamu Lisansı altında sunulduğuna ilişkin görüşünü değiştirir mi?
NSA'nın pozisyonu değişmedi. NSA, SELinux'un kullanımı, kopyalanması, dağıtılması ve değiştirilmesinin GNU Genel Kamu Lisansı hüküm ve koşulları tarafından yönetildiğine hâlâ inanmaktadır. Santimetre. . - NSA açık kaynaklı yazılımı destekliyor mu?
NSA'nın yazılım güvenliği girişimleri, hem özel hem de açık kaynaklı yazılımları kapsar ve araştırma faaliyetlerimizde hem özel hem de açık kaynak modellerini başarıyla kullandık. NSA'nın yazılım güvenliğini geliştirmeye yönelik çalışması, basit bir düşünce tarafından motive edilir: NSA müşterilerine en yaygın kullanılan ürünlerinde mümkün olan en iyi güvenlik seçeneklerini sağlamak için kaynaklarımızdan en iyi şekilde yararlanmak. NSA'nın araştırma programının amacı, çeşitli aktarım mekanizmaları yoluyla yazılım geliştirme topluluğuyla paylaşılabilecek teknolojik ilerlemeler geliştirmektir. NSA, belirli bir yazılım ürününü veya iş modelini desteklemez veya teşvik etmez. Aksine, NSA güvenliği teşvik eder. - NSA Linux'u destekliyor mu?
Yukarıda belirtildiği gibi, NSA belirli bir yazılım ürününü veya platformunu desteklemez veya tanıtmaz; NSA yalnızca artan güvenliğe katkıda bulunur. SELinux referans uygulamasında gösterilen Flask mimarisi, Solaris, FreeBSD ve Darwin dahil olmak üzere diğer birçok işletim sistemine, Xen hipervizörüne ve X Pencere Sistemi, GConf, D-BUS ve PostgreSQL gibi uygulamalara uygulanmıştır. . Şişe mimarisi konseptleri, geniş bir sistem ve ortam yelpazesine geniş ölçüde uygulanabilir.
Işbirliği
- Linux topluluğuyla nasıl etkileşim kurmayı planlıyoruz?
İşte ülkemiz , güvenliği artırılmış Linux bilgilerini yayınlamak için ana yolumuz olarak hizmet edecek. Gelişmiş güvenliğe sahip Linux ile ilgileniyorsanız, geliştirici posta listesine katılmanızı, kaynak kodunu görüntülemenizi ve geri bildiriminizi (veya kodunuzu) sağlamanızı öneririz. Geliştirici posta listesine katılmak için bkz. . - Kim yardım edebilir?
SELinux artık açık kaynaklı Linux yazılım topluluğu tarafından sürdürülmekte ve geliştirilmektedir. - NSA herhangi bir takip çalışmasını finanse ediyor mu?
NSA şu anda daha fazla çalışma için teklifleri düşünmüyor. - Ne tür bir destek mevcuttur?
Sorunları posta listesi aracılığıyla çözmeyi amaçlıyoruz [e-posta korumalı], ancak belirli bir siteyle ilgili tüm soruları yanıtlayamayacağız. - Kim yardım etti? Onlar ne yaptı?
Güvenliği artırılmış Linux prototipi NSA tarafından NAI Labs, Secure Computing Corporation (SCC) ve MITRE Corporation'dan araştırma ortaklarıyla geliştirildi. İlk halka açık sürümün ardından çok daha fazla materyal geldi. . - Daha fazlasını nasıl öğrenebilirim?
Web sayfalarımızı ziyaret etmenizi, belgeleri ve geçmiş araştırma makalelerini okumanızı ve posta listemize katılmanızı öneririz. [e-posta korumalı]
Çeviriyi faydalı buluyor musunuz? Yorum yaz!
Kaynak: habr.com