搜索

[24969] 2016-05-09_SELinux入门

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2016-05-09_SELinux入门 S E L i n u x   入 门 原 创   译 者 ： a l i m 0 x   L i n u x 中 国   2 0 1 6 - 0 5 - 0 9 回 到   K e r n e l   2 . 6   时 代 ， 那 时 候 引 入 了 一 个 新 的 安 全 系 统 ， 用 以 提 供 访 问 控 制 安 全 策 略 的 机 制 。 这 个 系 统 就 是   S e c u r i t y   E n h a n c e d   L i n u x ( S E L i n u x ) [ 1 ] ， 它 是 由 美 国 国 家 安 全 局 （ N S A ） [ 2 ] 贡 献 的 ， 它 为   L i n u x   内 核 子 系 统 引 入 了 一 个 健 壮 的 M a n d a t o r y   A c c e s s   C o n t r o l 强 制 控 制 访 问 架 构 。 如 果 你 在 之 前 的   L i n u x   生 涯 中 都 禁 用 或 忽 略 了   S E L i n u x ， 这 篇 文 章 就 是 专 门 为 你 写 的 ： 这 是 一 篇 对 存 在 于 你 的   L i n u x   桌 面 或 服 务 器 之 下 的 S E L i n u x   系 统 的 介 绍 ， 它 能 够 限 制 权 限 ， 甚 至 消 除 程 序 或 守 护 进 程 的 脆 弱 性 而 造 成 破 坏 的 可 能 性 。 在 我 开 始 之 前 ， 你 应 该 已 经 了 解 的 是   S E L i n u x   主 要 是 红 帽   R e d   H a t   L i n u x   以 及 它 的 衍 生 发 行 版 上 的 一 个 工 具 。 类 似 地 ，   U b u n t u   和   S U S E （ 以 及 它 们 的 衍 生 发 行 版 ） 使 用 的 是   A p p A r m o r 。 S E L i n u x   和   A p p A r m o r   有 显 著 的 不 同 。 你 可 以 在   S U S E ， o p e n S U S E ， U b u n t u   等 等 发 行 版 上 安 装 S E L i n u x ， 但 这 是 项 难 以 置 信 的 挑 战 ， 除 非 你 十 分 精 通   L i n u x 。 说 了 这 么 多 ， 让 我 来 向 你 介 绍   S E L i n u x 。 D A C   v s .   M A C L i n u x   上 传 统 的 访 问 控 制 标 准 是 D i s c r e t i o n a r y   A c c e s s   C o n t r o l 自 主 访 问 控 制 （ D A C ） 。 在 这 种 形 式 下 ， 一 个 软 件 或 守 护 进 程 以   U s e r   I D （ U I D ） 或   S e t   o w n e r   U s e r I D （ S U I D ） 的 身 份 运 行 ， 并 且 拥 有 该 用 户 的 目 标 （ 文 件 、 套 接 字 、 以 及 其 它 进 程 ） 权 限 。 这 使 得 恶 意 代 码 很 容 易 运 行 在 特 定 权 限 之 下 ， 从 而 取 得 访 问 关 键 的 子 系 统 的 权 限 。 另 一 方 面 ， M a n d a t o r y   A c c e s s   C o n t r o l 强 制 访 问 控 制 （ M A C ） 基 于 保 密 性 和 完 整 性 强 制 信 息 的 隔 离 以 限 制 破 坏 。 该 限 制 单 元 独 立 于 传 统 的   L i n u x   安 全 机 制 运 作 ， 并 且 没 有 超 级 用 户 的 概 念 。 S E L i n u x   如 何 工 作 如 何 工 作
考 虑 一 下   S E L i n u x   的 相 关 概 念 : S u b j e c t s 主 体 O b j e c t s 目 标 P o l i c y 策 略 M o d e 模 式 当 一 个 S u b j e c t 主 体 （ 如 一 个 程 序 ） 尝 试 访 问 一 个 O b j e c t 目 标 （ 如 一 个 文 件 ） ， S E L i n u x   S e c u r i t y   S e r v e r S E L i n u x   安 全 服 务 器 （ 在 内 核 中 ） 从 P o l i c y   D a t a b a s e 策 略 数 据 库 中 运 行 一 个 检 查 。 基 于 当 前 的 m o d e 模 式 ， 如 果   S E L i n u x   安 全 服 务 器 授 予 权 限 ， 该 主 体 就 能 够 访 问 该 目 标 。 如 果   S E L i n u x   安 全 服 务 器 拒 绝 了 权 限 ， 就 会 在 / v a r / l o g / m e s s a g e s   中 记 录 一 条 拒 绝 信 息 。 听 起 来 相 对 比 较 简 单 是 不 是 ？ 实 际 上 过 程 要 更 加 复 杂 ， 但 为 了 简 化 介 绍 ， 只 列 出 了 重 要 的 步 骤 。 模 式 模 式 S E L i n u x   有 三 个 模 式 （ 可 以 由 用 户 设 置 ） 。 这 些 模 式 将 规 定   S E L i n u x   在 主 体 请 求 时 如 何 应 对 。 这 些 模 式 是 ： 强 制 E n f o r c i n g —   S E L i n u x   策 略 强 制 执 行 ， 基 于   S E L i n u x   策 略 规 则 授 予 或 拒 绝 主 体 对 目 标 的 访 问 宽 容 P e r m i s s i v e —   S E L i n u x   策 略 不 强 制 执 行 ， 不 实 际 拒 绝 访 问 ， 但 会 有 拒 绝 信 息 写 入 日 志 禁 用 D i s a b l e d —   完 全 禁 用   S E L i n u x 图   1 ： g e t e n f o r c e   命 令 显 示   S E L i n u x   的 状 态 是   E n f o r c i n g   启 用 状 态 。 默 认 情 况 下 ， 大 部 分 系 统 的   S E L i n u x   设 置 为   E n f o r c i n g 。 你 要 如 何 知 道 你 的 系 统 当 前 是 什 么 模 式 ？ 你 可 以 使 用 一 条 简 单 的 命 令 来 查 看 ， 这 条 命 令 就 是   。 这 个 命 令 用 起 来 难 以 置 信 的 简 单 （ 因 为 它 仅 仅 用 来 报 告   S E L i n u x   的 模 式 ） 。 要 使 用 这 个 工 具 ， 打 开 一 个 终 端 窗 口 并 执 行     命 令 。 命 令 会 返 回   E n f o r c i n g 、 P e r m i s s i v e ， 或 者   D i s a b l e d （ 见 上 方 图   1 ） 。 设 置   S E L i n u x   的 模 式 实 际 上 很 简 单 — — 取 决 于 你 想 设 置 什 么 模 式 。 记 住 ： 永 远 不 推 荐 关 闭 永 远 不 推 荐 关 闭   S E L i n u x 。 为 什 么 ？ 当 你 这 么 做 了 ， 就 会 出 现 这 种 可 能 性 ： 你 磁 盘 上 的 文 件 可 能 会 被 打 上 错 误 的 权 限 标 签 ， 需 要 你 重 新 标 记 权 限 才 能 修 复 。 而 且 你 无 法 修 改 一 个 以   D i s a b l e d   模 式 启 动 的 系 统 的 模 式 。 你 的 最 佳 模 式 是   E n f o r c i n g   或 者   P e r m i s s i v e 。 你 可 以 从 命 令 行 或   g e t e n f o r c e g e t e n f o r c e
  文 件 更 改   S E L i n u x   的 模 式 。 要 从 命 令 行 设 置 模 式 ， 你 可 以 使 用   工 具 。 要 设 置   E n f o r c i n g   模 式 ， 按 下 面 这 么 做 ： 1 .   打 开 一 个 终 端 窗 口 2 .   执 行     然 后 输 入 你 的 管 理 员 密 码 3 .   执 行   4 .   执 行     确 定 模 式 已 经 正 确 设 置 （ 图   2 ） 图   2 ： 设 置   S E L i n u x   模 式 为   E n f o r c i n g 。 要 设 置 模 式 为   P e r m i s s i v e ， 这 么 做 ： 1 .   打 开 一 个 终 端 窗 口 2 .   执 行     然 后 输 入 你 的 管 理 员 密 码 3 .   执 行   4 .   执 行     确 定 模 式 已 经 正 确 设 置 （ 图   3 ） / e t c / s e l i n u x / c o n f i g s e t e n f o r c e s u s e t e n f o r c e   1 g e t e n f o r c e s u s e t e n f o r c e   0 g e t e n f o r c e
图   3 ： 设 置   S E L i n u x   模 式 为   P e r m i s s i v e 。 注 ： 通 过 命 令 行 设 置 模 式 会 覆 盖   S E L i n u x   配 置 文 件 中 的 设 置 。 如 果 你 更 愿 意 在   S E L i n u x   命 令 文 件 中 设 置 模 式 ， 用 你 喜 欢 的 编 辑 器 打 开 那 个 文 件 找 到 这 一 行 ： 你 可 以 按 你 的 偏 好 设 置 模 式 ， 然 后 保 存 文 件 。 还 有 第 三 种 方 法 修 改   S E L i n u x   的 模 式 （ 通 过   b o o t l o a d e r ） ， 但 我 不 推 荐 新 用 户 这 么 做 。 策 略 类 型 策 略 类 型 S E L i n u x   策 略 有 两 种 ： 目 标 T a r g e t e d   —   只 有 目 标 网 络 进 程 （ d h c p d ， h t t p d ， n a m e d ， n s c d ， n t p d ， p o r t m a p ， s n m p d ， s q u i d ， 以 及   s y s l o g d ） 受 保 护 严 格 S t r i c t   —   对 所 有 进 程 完 全 的   S E L i n u x   保 护 你 可 以 在     文 件 中 修 改 策 略 类 型 。 用 你 喜 欢 的 编 辑 器 打 开 这 个 文 件 找 到 这 一 行 ： 修 改 这 个 选 项 为   t a r g e t e d   或   s t r i c t   以 满 足 你 的 需 求 。 检 查 完 整 的 检 查 完 整 的   S E L i n u x   状 态 状 态 有 个 方 便 的   S E L i n u x   工 具 ， 你 可 能 想 要 用 它 来 获 取 你 启 用 了   S E L i n u x   的 系 统 的 详 细 状 态 报 告 。 这 个 命 令 在 终 端 像 这 样 运 行 ： 1 .   S E L I N U X = p e r m i s s i v e / e t c / s e l i n u x / c o n f i g 1 .   S E L I N U X T Y P E = t a r g e t e d 1 .   s e s t a t u s   - v
你 可 以 看 到 像 图   4   那 样 的 输 出 。 图   4 ： s e s t a t u s   - v   命 令 的 输 出 。 仅 是 皮 毛 仅 是 皮 毛 和 你 预 想 的 一 样 ， 我 只 介 绍 了   S E L i n u x   的 一 点 皮 毛 。 S E L i n u x   的 确 是 个 复 杂 的 系 统 ， 想 要 更 扎 实 地 理 解 它 是 如 何 工 作 的 ， 以 及 了 解 如 何 让 它 更 好 地 为 你 的 桌 面 或 服 务 器 工 作 需 要 更 加 地 深 入 学 习 。 我 的 内 容 还 没 有 覆 盖 到 疑 难 解 答 和 创 建 自 定 义   S E L i n u x   策 略 。 S E L i n u x   是 所 有   L i n u x   管 理 员 都 应 该 知 道 的 强 大 工 具 。 现 在 已 经 向 你 介 绍 了   S E L i n u x ， 我 强 烈 推 荐 你 回 到   L i n u x . c o m （ 当 有 更 多 关 于 此 话 题 的 文 章 发 表 的 时 候 ） 或 看 看   N S A   S E L i n u x   文 档 [ 3 ]   获 得 更 加 深 入 的 指 南 。 L C T T   -   相 关 阅 读 ： 鸟 哥 的   L i n u x   私 房 菜 — — 程 序 管 理 与   S E L i n u x   初 探 [ 4 ] v i a :   h t t p s : / / w w w . l i n u x . c o m / l e a r n / d o c s / l d p / 8 8 3 6 7 1 - a n - i n t r o d u c t i o n - t o - s e l i n u x 作 者 ： J a c k   W a l l e n [ 5 ]   译 者 ： a l i m 0 x [ 6 ]   校 对 ： w x y [ 7 ] 本 文 由   L C T T [ 8 ]   原 创 编 译 ， L i n u x 中 国   荣 誉 推 出 [ 1 ] :   h t t p : / / s e l i n u x p r o j e c t . o r g / p a g e / M a i n _ P a g e [ 2 ] :   h t t p s : / / w w w . n s a . g o v / r e s e a r c h / s e l i n u x / [ 3 ] :   h t t p s : / / w w w . n s a . g o v / r e s e a r c h / s e l i n u x / d o c s . s h t m l [ 4 ] :   h t t p : / / v b i r d . d i c . k s u . e d u . t w / l i n u x _ b a s i c / 0 4 4 0 p r o c e s s c o n t r o l _ 5 . p h p [ 5 ] :   h t t p s : / / w w w . l i n u x . c o m / c o m m u n i t y / f o r u m s / p e r s o n / 9 3 [ 6 ] :   h t t p s : / / g i t h u b . c o m / a l i m 0 x [ 7 ] :   h t t p s : / / g i t h u b . c o m / w x y [ 8 ] :   h t t p s : / / g i t h u b . c o m / L C T T / T r a n s l a t e P r o j e c t 推 荐 文 章 推 荐 文 章 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 1 .   s e s t a t u s   - v
点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理