搜索

[26213] 2017-03-22_看漫画学SELinux强制策略

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2017-03-22_看漫画学SELinux强制策略 - -   D a n i e l   J   W a l s h 1 4 % 3 7 % 6 7 % 9 1 % 看 漫 画 学   S E L i n u x   强 制 策 略 原 创   译 者 ： x i a o w 6   L i n u x 中 国   2 0 1 7 - 0 3 - 2 2 S E L i n u x   是 一 个 功 能 强 大 的 标 签 系 统 ， 控 制 着 内 核 授 予 每 个 进 程 的 访 问 权 限 。 最 主 要 的 特 性 是 类 型 强 制 ， 策 略 规 则 定 义 的 进 程 访 问 权 限 基 于 进 程 被 标 记 的 类 型 和 客 体 被 标 记 的 类 型 。 也 引 入 了 另 外 两 个 控 制 手 段 ， 分 离 有 着 同 样 类 型 进 程 的 叫 做   M C S ， 而   M L S ， 则 允 许 进 程 间 存 在 支 配 等 级 。 本 文 导 航 - 类 型 强 制 - 多 类 别 安 全 强 制 - 多 级 别 安 全 强 制 - 结 论 今 年 是 我 们 一 起 庆 祝   S E L i n u x   纪 念 日 的 第 十 个 年 头 了 （ L C T T   译 者 注 ： 本 文 发 表 于   2 0 1 3   年 ） 。 真 是 太 难 以 置 信 了 ！ S E L i n u x 最 初 在   F e d o r a   C o r e   3   中 被 引 入 ， 随 后 加 入 了 红 帽 企 业 版   L i n u x   4 。 从 来 没 有 使 用 过   S E L i n u x   的 家 伙 ， 你 可 要 好 好 儿 找 个 理 由 了 … … S E l i n u x   是 一 个 标 签 型 系 统 。 每 一 个 进 程 都 有 一 个 标 签 。 操 作 系 统 中 的 每 一 个 文 件 / 目 录 o b j e c t 客 体 也 都 有 一 个 标 签 。 甚 至 连 网 络 端 口 、 设 备 ， 乃 至 潜 在 的 主 机 名 都 被 分 配 了 标 签 。 我 们 把 控 制 访 问 进 程 的 标 签 的 规 则 写 入 一 个 类 似 文 件 的 客 体 标 签 中 ， 这 些 规 则 我 们 称 之 为 p o l i c y 策 略 。 内 核 强 制 实 施 了 这 些 规 则 。 有 时 候 这 种 “ 强 制 ” 被 称 为 M a n d a t o r y   A c c e s s   C o n t r o l 强 制 访 问 控 制 体 系 （ M A C ） 。 一 个 客 体 的 拥 有 者 对 客 体 的 安 全 属 性 并 没 有 自 主 权 。 标 准   L i n u x   访 问 控 制 体 系 ， 拥 有 者 / 分 组   +   权 限 标 志 如   r w x ， 常 常 被 称 作 D i s c r e t i o n a r y   A c c e s s   C o n t r o l 自 主 访 问 控 制 （ D A C ） 。 S E L i n u x   没 有 文 件   U I D   或 拥 有 权 的 概 念 。 一 切 都 被 标 签 控 制 ， 这 意 味 着 在 没 有 至 高 无 上 的   r o o t 权 限 进 程 时 ， 也 可 以 设 置   S E L i n u x   系 统 。 注 意 ：   S E L i n u x   不 允 许 你 摒 弃   D A C   控 制 。 S E L i n u x   是 一 个 并 行 的 强 制 模 型 。 一 个 应 用 必 须 同 时 支 持   S E L i n u x   和   D A C   来 完 成
特 定 的 行 为 。 这 可 能 会 导 致 管 理 员 迷 惑 为 什 么 进 程 被 拒 绝 访 问 。 管 理 员 被 拒 绝 访 问 是 因 为 在   D A C   中 有 些 问 题 ， 而 不 是 在 S E L i n u x   标 签 。 类 型 强 制 让 我 们 更 深 入 的 研 究 下 标 签 。 S E L i n u x   最 主 要 的 “ 模 型 ” 或 “ 强 制 ” 叫 做 t y p e   e n f o r c e m e n t 类 型 强 制 。 基 本 上 这 意 味 着 我 们 根 据 进 程 的 类 型 来 定 义 其 标 签 ， 以 及 根 据 文 件 系 统 客 体 的 类 型 来 定 义 其 标 签 。 打 个 比 方 想 象 一 下 在 一 个 系 统 里 定 义 客 体 的 类 型 为 猫 和 狗 。 猫 （ C A T ） 和 狗 （ D O G ） 都 是 p r o c e s s   t y p e 进 程 类 型 。 I m a g e   s h o w i n g   a   c a r t o o n   o f   a   c a t   a n d   d o g . 我 们 有 一 类 希 望 能 与 之 交 互 的 客 体 ， 我 们 称 之 为 食 物 。 而 我 希 望 能 够 为 食 物 增 加 类 型 ：   （ 猫 的 食 物 ） 和   （ 狗 的 食 物 ） 。 C a r t o o n   C a t   e a t i n g   C a t   F o o d   a n d   D o g   e a t i n g   D o g   F o o d 作 为 一 个 策 略 制 定 者 ， 我 可 以 说 一 只 狗 有 权 限 去 吃 狗 粮 （ ） ， 而 一 只 猫 有 权 限 去 吃 猫 粮 （ c a t _ f o o d d o g _ f o o d d o g _ c h o w c a t _ c h o w
） 。 在   S E L i n u x   中 我 可 以 将 这 条 规 则 写 入 策 略 中 。 S E L i n u x   r u l e 有 了 这 些 规 则 ， 内 核 会 允 许 猫 进 程 去 吃 打 上 猫 粮 标 签     的 食 物 ， 允 许 狗 去 吃 打 上 狗 粮 标 签     的 食 物 。 C a r t o o n   C a t   e a t i n g   C a t   F o o d   a n d   D o g   e a t i n g   D o g   F o o d 此 外 ， 在   S E L i n u x   系 统 中 ， 由 于 禁 止 是 默 认 规 则 ， 这 意 味 着 ， 如 果 狗 进 程 想 要 去 吃 猫 粮   ， 内 核 会 阻 止 它 。 a l l o w   c a t   c a t _ c h o w : f o o d   e a t ; 允 许   猫   猫 粮 ： 食 物   吃 ； a l l o w   d o g   d o g _ c h o w : f o o d   e a t ; 允 许   狗   狗 粮 ： 食 物   吃 ； c a t _ c h o w d o g _ c h o w c a t _ c h o w
同 理 ， 猫 也 不 允 许 去 接 触 狗 粮 。 现 实 例 子 我 们 将   A p a c h e   进 程 标 为   ， 将   A p a c h e   上 下 文 标 为     和   。 假 设 我 们 把 信 用 卡 数 据 存 储 在   M y S Q L   数 据 库 中 ， 其 标 签 为   。 如 果 一 个   A p a c h e   进 程 被 劫 持 ， 黑 客 可 以 获 得     进 程 的 控 制 权 ， 从 而 能 够 去 读 取     文 件 并 向     文 件 执 行 写 操 作 。 但 是 黑 客 却 不 允 许 去 读 信 用 卡 数 据 （ ） ， 即 使   A p a c h e   进 程 是 在   r o o t   下 运 行 。 在 这 种 情 况 下   S E L i n u x   减 轻 了 这 次 闯 入 的 后 果 。 多 类 别 安 全 强 制 打 个 比 方 h t t p d _ t h t t p d _ s y s _ c o n t e n t _ t h t t p d s y s _ c o n t e n t _ r w _ t m s y q l d _ d a t a _ t h t t p d _ t h t t p d _ s y s _ c o n t e n t _ t h t t p d _ s y s _ c o n t e n t _ r w _ t m y s q l d _ d a t a _ t
上 面 我 们 定 义 了 狗 进 程 和 猫 进 程 ， 但 是 如 果 你 有 多 个 狗 进 程 ： F i d o   和   S p o t ， 而 你 想 要 阻 止   F i d o   去 吃   S p o t   的 狗 粮     怎 么 办 呢 ? S E L i n u x   r u l e 一 个 解 决 方 式 是 创 建 大 量 的 新 类 型 ， 如     和   。 但 是 这 很 快 会 变 得 难 以 驾 驭 因 为 所 有 的 狗 都 有 差 不 多 相 同 的 权 限 。 为 了 解 决 这 个 问 题 我 们 发 明 了 一 种 新 的 强 制 形 式 ， 叫 做 M u l t i   C a t e g o r y   S e c u r i t y 多 类 别 安 全 （ M C S ） 。 在   M C S   中 ， 我 们 在 狗 进 程 和 狗 粮 的 标 签 上 增 加 了 另 外 一 部 分 标 签 。 现 在 我 们 将 狗 进 程 标 记 为     和   。 C a r t o o n   o f   t w o   d o g s   f i d o   a n d   s p o t 我 们 将 狗 粮 标 记 为     和   。 d o g _ c h o w F i d o _ d o g F i d o _ d o g _ c h o w d o g : r a n d o m 1 ( F i d o ) d o g : r a n d o m 2 ( S p o t ) d o g _ c h o w : r a n d o m 1 ( F i d o ) d o g _ c h o w : r a n d o m 2 ( S p o t )
S E L i n u x   r u l e M C S   规 则 声 明 如 果 类 型 强 制 规 则 被 遵 守 而 且 该   M C S   随 机 标 签 正 确 匹 配 ， 则 访 问 是 允 许 的 ， 否 则 就 会 被 拒 绝 。 F i d o   ( )   尝 试 去 吃     被 类 型 强 制 拒 绝 了 。 C a r t o o n   o f   K e r n e l   ( P e n q u i n )   h o l d i n g   l e a s h   t o   p r e v e n t   F i d o   f r o m   e a t i n g   c a t   f o o d . F i d o   ( )   允 许 去 吃   。 d o g : r a n d o m 1 c a t _ c h o w : f o o d d o g : r a n d o m 1 d o g _ c h o w : r a n d o m 1
C a r t o o n   F i d o   h a p p i l y   e a t i n g   h i s   d o g   f o o d F i d o   ( )   去 吃   s p o t ( ) 的 食 物 被 拒 绝 。 现 实 例 子 在 计 算 机 系 统 中 我 们 经 常 有 很 多 具 有 同 样 访 问 权 限 的 进 程 ， 但 是 我 们 又 希 望 它 们 各 自 独 立 。 有 时 我 们 称 之 为 m u l t i - t e n a n t   e n v i r o n m e n t 多 租 户 环 境 。 最 好 的 例 子 就 是 虚 拟 机 。 如 果 我 有 一 个 运 行 很 多 虚 拟 机 的 服 务 器 ， 而 其 中 一 个 被 劫 持 ， 我 希 望 能 够 阻 止 它 去 攻 击 其 它 虚 拟 机 和 虚 拟 机 镜 像 。 但 是 在 一 个 类 型 强 制 系 统 中   K V M   虚 拟 机 被 标 记 为     而 镜 像 被 标 记 为   。   我 们 允 许     可 以 读 / 写 / 删 除 标 记 为     的 上 下 文 。 通 过 使 用   l i b v i r t   我 们 不 仅 实 现 了 类 型 强 制 隔 离 ， 而 且 实 现 了   M C S   隔 离 。 当   l i b v i r t   将 要 启 动 一 个 虚 拟 机 时 ， 它 会 挑 选 出 一 个   M C S   随 机 标 签 如   ， 接 着 它 会 将     标 签 分 发 给 虚 拟 机 需 要 去 操 作 的 所 有 上 下 文 。 最 终 ， 虚 拟 机 以   d o g : r a n d o m 1 d o g _ c h o w : r a n d o m 2 s v i r t _ t s v i r t _ i m a g e _ t s v i r t _ t s v i r t _ i m a g e _ t s 0 : c 1 , c 2 s v i r t _ i m a g e _ t : s 0 : c 1 , c 2
  为 标 签 启 动 。 因 此 ， S E L i n u x   内 核 控 制     不 允 许 写 向   ， 即 使 虚 拟 机 被 一 个 黑 客 劫 持 并 接 管 ， 即 使 它 是 运 行 在   r o o t   下 。 我 们 在   O p e n S h i f t   中 使 用 类 似 的 隔 离 策 略 [ 1 ] 。 每 一 个   g e a r （ u s e r / a p p   p r o c e s s ） 都 有 相 同 的   S E L i n u x   类 型 （ ） （ L C T T   译 注 ： g e a r   为   O p e n S h i f t   的 计 量 单 位 ） 。 策 略 定 义 的 规 则 控 制 着   g e a r   类 型 的 访 问 权 限 ， 而 一 个 独 一 无 二 的   M C S 标 签 确 保 了 一 个   g e a r   不 能 影 响 其 他   g e a r 。 请 观 看 下 面 的 视 频 来 看   O p e n S h i f t   g e a r   切 换 到   r o o t   会 发 生 什 么 。 多 级 别 安 全 强 制 另 外 一 种 不 经 常 使 用 的   S E L i n u x   强 制 形 式 叫 做 M u l t i   L e v e l   S e c u r i t y 多 级 别 安 全 （ M L S ） ； 它 开 发 于 上 世 纪   6 0   年 代 ， 并 且 主 要 使 用 在 受 信 操 作 系 统 上 如   T r u s t e d   S o l a r i s 。 其 核 心 观 点 就 是 通 过 进 程 使 用 的 数 据 等 级 来 控 制 进 程 。 一 个   s e c r e t   进 程 不 能 读 取   t o p   s e c r e t   数 据 。 M L S   很 像   M C S ， 除 了 它 在 强 制 策 略 中 增 加 了 支 配 的 概 念 。 M C S   标 签 必 须 完 全 匹 配 ， 但 一 个   M L S   标 签 可 以 支 配 另 一 个 M L S   标 签 并 且 获 得 访 问 。 打 个 比 方 不 讨 论 不 同 名 字 的 狗 ， 我 们 现 在 来 看 不 同 种 类 。 我 们 现 在 有 一 只 格 雷 伊 猎 犬 和 一 只 吉 娃 娃 。 s v i r t _ t : s 0 : c 1 , c 2 s v i r t _ t : s 0 : c 1 , c 2 s v i r t _ i m a g e _ t : s 0 : c 3 , c 4 o p e n s h i f t _ t
C a r t o o n   o f   a   G r e y h o u n d   a n d   a   C h i h u a h u a 我 们 可 能 想 要 允 许 格 雷 伊 猎 犬 去 吃 任 何 狗 粮 ， 但 是 吉 娃 娃 如 果 尝 试 去 吃 格 雷 伊 猎 犬 的 狗 粮 可 能 会 被 呛 到 。 我 们 把 格 雷 伊 猎 犬 标 记 为   ， 把 它 的 狗 粮 标 记 为   ， 把 吉 娃 娃 标 记 为   ， 把 它 的 狗 粮 标 记 为   。 C a r t o o n   o f   a   G r e y h o u n d   d o g   f o o d   a n d   a   C h i h u a h u a   d o g   f o o d . 使 用   M L S   策 略 ， 我 们 可 以 使   M L S   格 雷 伊 猎 犬 标 签 支 配 吉 娃 娃 标 签 。 这 意 味 着     允 许 去 吃     和   。 d o g : G r e y h o u n d d o g _ c h o w : G r e y h o u n d d o g : C h i h u a h u a d o g _ c h o w : C h i h u a h u a d o g : G r e y h o u n d d o g _ c h o w : G r e y h o u n d d o g _ c h o w : C h i h u a h u a
S E L i n u x   r u l e 但 是     不 允 许 去 吃   。 C a r t o o n   o f   K e r n e l   ( P e n q u i n )   s t o p p i n g   t h e   C h i h a h u a   f r o m   e a t i n g   t h e   g r e y h o u n d   f o o d .   T e l l i n g   h i m   i t   w o u l d   b e   a   b i g   t o o   b e e f y   f o r   h i m . 当 然 ， 由 于 类 型 强 制 ，     和     仍 然 不 允 许 去 吃   ， 即 使   M L S   类 型   G r e y H o u n d   支 配   S i a m e s e 。 d o g : C h i h u a h u a d o g _ c h o w : G r e y h o u n d d o g : G r e y h o u n d d o g : C h i h u a h u a c a t _ c h o w : S i a m e s e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理