SELinux

SELinux

SELinux(Security-Enhanced Linux) 是美國國家安全局(NSA)對於強制訪問控制的實現,是 Linux歷史上最傑出的新安全子系統。NSA是在Linux社區的幫助下開發了一種訪問控制體系,在這種訪問控制體系的限制下,進程只能訪問那些在他的任務中所需要檔案。SELinux 默認安裝在 Fedora 和 Red Hat Enterprise Linux 上,也可以作為其他發行版上容易安裝的包得到。 SELinux 是 2.6 版本的 Linux 核心中提供的強制訪問控制(MAC)系統。對於目前可用的 Linux安全模組來說,SELinux 是功能最全面,而且測試最充分的,它是在 20 年的 MAC 研究基礎上建立的。SELinux 在類型強制伺服器中合併了多級安全性或一種可選的多類策略,並採用了基於角色的訪問控制概念。 大部分使用 SELinux 的人使用的都是 SELinux 就緒的發行版,例如 Fedora、Red Hat Enterprise Linux (RHEL)、Debian或 Centos。它們都是在核心中啟用 SELinux 的,並且提供一個可定製的安全策略,還提供很多用戶層的庫和工具,它們都可以使用 SELinux 的功能。 SELinux是一種基於 域-類型 模型(domain-type)的強制訪問控制(MAC)安全系統,它由NSA編寫並設計成核心模組包含到核心中,相應的某些安全相關的套用也被打了SELinux的補丁,最後還有一個相應的安全策略。任何程式對其資源享有完全的控制權。假設某個程式打算把含有潛在重要信息的檔案扔到/tmp目錄下,那么在DAC情況下沒人能阻止他。SELinux提供了比傳統的UNIX許可權更好的訪問控制。

基本信息

發展歷程

SELinux是「Security-Enhanced Linux」的簡稱,是美國國家安全局「NSA=The National Security Agency」 和SCC(Secure Computing Corporation)開發的 Linux的一個擴張強制訪問控制安全模組。原先是在Fluke上開發的,2000年以 GNU GPL 發布。

現在以Linux作為網際網路伺服器是越來越普遍的事了。在我這幾年作過的項目里,WEB的開發基本都是基於Linux的,這裡有給大公司做的,也有給政府部門做的,當然更多的是中小企業做的。這其中給政府做的,我們把SELinux作為一個賣點,接受了不少項目。

現在不論是政府還是民間企業,大家對信息安全問題是越來越關心了,因為企業的業務平台的伺服器上存儲著大量的商務機密,個人資料,個人資料它直接關係到個人的隱私問題。特別是我們政府的網站,作為信息公開的平台,它的安全就更顯得重要了。這些連到網際網路的伺服器,不可避免的要受到來自世界各地的各種威脅。最壞的時候我們的伺服器被入侵,主頁檔案被替換,機密檔案被盜走。除了來自外部的威脅外,內部人員的不法訪問,攻擊也是不可忽視的。對於這些攻擊或者說是威脅,當然有很多的辦法,有防火牆,入侵檢測系統,打補丁等等。因為Linux也和其他的商用UNIX一樣,不斷有各類的安全漏洞被發現。我們對付這些漏洞不得不花很多的人力來堵住它。在這些手段之中,提高OS系統自身的牢固性就顯得非常的重要。

控制切換

從fedora core 2開始, 2.6核心的版本都支持selinux.我們看看 Fedora core 5 里的/etc/sysconfig/selinux標準設定吧。

# This file controls the state of SELinux on the system.

# SELINUX= can take one of these three values:

# enforcing - SELinux security policy is enforced.

# permissive - SELinux prints warnings instead of enforcing.

# disabled - SELinux is fully disabled.

SELINUX=enforcing

#SELINUX=disabled

# SELINUXTYPE= type of policy in use. Possible values are:

# targeted - Only targeted network daemons are protected.

# strict - Full SELinux protection.

SELINUXTYPE=targeted

SELINUX有「disabled」「permissive」,「enforcing」3種選擇。

Disabled就不用說了,permissive就是Selinux有效,但是即使你違反了策略的話它讓你繼續操作,但是把你的違反的內容記錄下來。在我們開發策略的時候非常的有用。

相當於Debug模式。

Enforcing就是你違反了策略,你就無法繼續操作下去。

SELINUXTYPE呢,現在主要有2大類,一類就是紅帽子開發的targeted,它只是對於,主要的網路服務進行保護,比如 apache,sendmail,bind,postgresql等,不屬於那些domain的就都讓他們在unconfined_t里,可導入性高,可用性好但是不能對整體進行保護。

另一類是Strict,是NAS開發的,能對整個系統進行保護,但是設定複雜,我認為雖然它複雜,但是一些基本的會了,還是可以玩得動的。

我們除了在/etc/sysconfig/selinux設它有效無效外,在啟動的時候,也可以通過傳遞參數selinux給核心來控制它。(Fedora 5默認是有效)

kernel /boot/vmlinuz-2.6.15-1.2054_FC5 ro root=LABEL=/ rhgb quiet selinux=0

上面的變更可以讓它無效。

[root@python sysconfig]# /usr/sbin/getenforce

Enforcing

確認有效後重新對檔案系統賦予標籤:

[root@python sysconfig]# /sbin/fixfiles relabel

或者

[root@python /]# touch /.autorelabel

然後 reboot,你就在secure的Linux環境下工作了。

基本操作

SELinux是個經過安全強化的Linux作業系統,實際上,基本上原來的運用軟體沒有必要修改就能在它上面運行。真正做了特別修改的RPM包只要50 多個。像檔案系統EXT3都是經過了擴展。對於一些原有的命令也進行了擴展,另外還增加了一些新的命令,接下來我們就來看看這些命令。

檔案操作

1)ls命令

在命令後加個-Z 或者加 --context

[root@python azureus]# ls -Z

-rwxr-xr-x fu fu user_u:object_r:user_home_t azureus

-rw-r--r-- fu fu user_u:object_r:user_home_t Azureus2.jar

-rw-r--r-- fu fu user_u:object_r:user_home_t Azureus.png

2)chcon

更改檔案的標籤

[root@python tmp]# ls --context test.txt

-rw-r--r-- root root root:object_r:staff_tmp_t test.txt

[root@python tmp]# chcon -t etc_t test.txt

[root@python tmp]# ls -lZ test.txt

-rw-r--r-- root root root:object_r:etc_t test.txt

3)restorecon

當這個檔案在策略里有定義是,可以恢復原來的 檔案標籤。

4)setfiles

跟chcon一樣可以更改一部分檔案的標籤,不需要對整個檔案系統重新設定標籤。

5)fixfiles

一般是對整個檔案系統的, 後面一般跟 relabel,對整個系統 relabel後,一般我們都重新啟動。如果,在根目錄下有.autorelabel空檔案的話,每次重新啟動時都調用 fixfiles relabel

6)star

就是tar在SELinux下的互換命令,能把檔案的標籤也一起備份起來。

7)cp

可以跟 -Z,--context=CONTEXT 在拷貝的時候指定目的地檔案的security context

8)find

可以跟 –context 查特定的type的檔案。

例子:

find /home/fu/ --context fu:fu_r:amule_t -exec ls -Z {} \:

9)run_init

在sysadm_t里手動啟動一些如Apache之類的程式,也可以讓它正常進行,domain遷移。

進程domain的確認

程式現在在那個domain里運行,我們可以在ps 命令後加 -Z

[root@python /]# ps -eZ

LABEL PID TTY TIME CMD

system_u:system_r:init_t 1 00:00:00 init

system_u:system_r:kernel_t 2 00:00:00 ksoftirqd/0

system_u:system_r:kernel_t 3 00:00:00 watchdog/0

ROLE的確認和變更

命令id能用來確認自己的 security context

[root@python ~]# id

uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel) context=root:staff_r:staff_t

這裡,雖然是ROOT用戶,但也只是在一般的ROLE和staff_t里運行,如果在enforcing模式下,這時的ROOT對於系統管理工作來說,是什麼也幹不了。

[root@python ~]# newrole -r sysadm_r

Authenticating root.

口令:

[root@python ~]# id

uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel) context=root:sysadm_r:sysadm_t

模式切換

1)getenforce

得到當前的SELINUX值

[root@python bin]# getenforce

Permissive

2)setenforce

更改當前的SELINUX值 ,後面可以跟 enforcing,permissive 或者 1,0。

[root@python bin]# setenforce permissive

3)sestatus

顯示當前的 SELinux的信息

[root@python bin]# sestatus -v

SELinux status: enabled

SELinuxfs mount: /selinux

Current mode: permissive

Mode from config file: permissive

Policy version: 20

Policy from config file: refpolicy

Process contexts:

Current context: user_u:user_r:user_t

Init context: system_u:system_r:init_t

/sbin/mingetty system_u:system_r:getty_t

/usr/sbin/sshd system_u:system_r:sshd_t

File contexts:

Controlling term: user_u:object_r:user_devpts_t

/etc/passwd system_u:object_r:etc_t

/etc/shadow system_u:object_r:shadow_t

/bin/bash system_u:object_r:shell_exec_t

/bin/login system_u:object_r:login_exec_t

/bin/sh system_u:object_r:bin_t -> system_u:object_r:shell_exec_t

/sbin/agetty system_u:object_r:getty_exec_t

/sbin/init system_u:object_r:init_exec_t

/sbin/mingetty system_u:object_r:getty_exec_t

其他重要命令

1)Audit2allow

很重要的一個以python寫的命令,主要用來處理日誌,把日誌中的違反策略的動作的記錄,轉換成 access vector,對開發安全策略非常有用。在refpolicy里,它的功能比以前有了很大的擴展。

[root@python log]# cat dmesg | audit2allow -m local > local.te

2)checkmodule -m -o local.mod local.te

編譯模組

[root@python log]# checkmodule -m -o local.mod local.te

checkmodule: loading policy configuration from local.te

checkmodule: policy configuration loaded

checkmodule: writing binary representation (version 5) to local.mod

3)semodule_package

創建新的模組

[root@python log]# semodule_package -o local.pp -m local.mod

4)semodule

可以顯示,載入,刪除 模組

載入的例子:

[root@python log]# semodule -i local.pp

5)semanage

這是一個功能強大的策略管理工具,有了它即使沒有策略的原始碼,也是可以管理安全策略的。因為我主要是介紹用原始碼來修改策略的,詳細用法大家可以參考它的man頁。

定製策略

FC4,RHEL4等都是採用策略1.X版本的,並且是提供策略原始碼的RPM包。從FC5開始策略的版本從1.X 升級到2.X。2.X版本的refpolicy(reference policy)最大的一個變化就是引進模組(module)這個概念,同一套策略原始碼就可以支持Multi-LevelSecurity(MLS)和non-MLS。

標準的FC5里不提供原始碼的RPM包。FC5提供的audit2allow,semanage,semodule也是可以開發一些簡單的策略模組的。但是,要是作策略模組的開發,增加一個ROLE之類的,最好還是下載refpolicy的原始碼。

⒌1策略源檔案的安裝

從CVS伺服器下載的原始碼是最新的,如果遇到象make的時候出錯,那么最好就是把你系統里和SELinux有關的那些包更新到最新的狀態。

安裝好了的原始碼目錄結構如下圖所示:

每一個模組有3個檔案構成,比如上圖的sudo.fc 就是和 命令sudo相關的檔案的定義標籤,(file context rabel),sudo.te是Type Enforcement定義,包括TE訪問規則等,sudo.if是一個外部模組調用這個模組的接口定義。

[root@python src]# cd /etc/selinux/refpolicy/src/policy

[root@python policy]# cp build.conf build.

[root@python policy]# vi build.conf

[root@python policy]# diff build.conf build.

32c32

< DISTRO = redhat

---

> #DISTRO = redhat

43c43

< MONOLITHIC=n

---

> MONOLITHIC=y

[root@python src]# make conf

[root@python src]# make

這樣,在/etc/selinux/refpolicy/src/policy下生成很多的以pp為後綴的檔案,這些就是SELinux模組。接下來我們修改/etc/sysconfig/selinux,設成SELINUXTYPE=refpolicy,然後reboot.

啟動後,確認策略的適用情況, 現在的版本是20。

[fu@python ~]$ /usr/sbin/sestatus

SELinux status: enabled

SELinuxfs mount: /selinux

Current mode: permissive

Mode from config file: permissive

Policy version: 20

Policy from config file: refpolicy

⒌2給程式定製domain

開發程式策略的一般步驟

⒈給檔案,連線埠之類的object賦予type 標籤

⒉設定 Type Enforcement (Domain 遷移,訪問許可)

⒊策略載入

⒋permissive模式下運行程式

⒌確認日誌,用audit2allow生成訪問許可

⒍重複1,2,3,4,5動作,直到沒有違反的日誌出現

⒎切換到enforcing模式,正式運用

因為我們所常用的那些服務的策略模組都已經有了,修改的時候也比較簡單。在這裡我就舉個一般的例子。用點對點下載的朋友估計都跟我一樣,在Linux上用 azureus,Amule來下載東西吧。

接下來以azureus為例,介召如何在FC5里追加一個azureus.pp模組。我們在追加azureus.pp模組之前,azureus是在系統給用戶設好的user_t domain里運行。

[fu@python azureus]$ ps -efZ|grep azureus

user_u:user_r:user_t fu 1751 1732 0 22:28 pts/3 00:00:00 /bin/bash ./azureus

接下來我們在追加3個檔案。

1)azureus.fc

在這裡我只定義一個檔案,實際要是真的用的,還要定義azureus_t能寫的目錄等。

[root@python apps]# more azureus.fc

/home/fu/azureus -- gen_context(user_u:object_r:azureus_exec_t,s0)

2)azureus.te

[root@python apps]# more azureus.te

policy_module(azureus,1.0.0)

type azureus_t;

type azureus_exec_t;

role user_r types azureus_t;

require {

type user_t;

};

domain_type(azureus_t)

domain_entry_file(azureus_t,azureus_exec_t)

domain_auto_trans(user_t,azureus_exec_t,azureus_t)

3)azureus.if

實際上沒有別的模組要調用azureus,所以這個檔案就是空檔案也不要緊。

[root@python apps]# more azureus.if

# policy/modules/apps/azureus.if

## Myapp example policy

##

## Execute a domain transition to run azureus.

##

##

缺點

雖然Linux比起 Windows來說,它的可靠性,穩定性要好得多,但是他也是和其他的UNIX 一樣,有以下這些不足之處。

存在特權用戶root

任何人只要得到root的許可權,對於整個系統都可以為所欲為。這一點Windows也一樣。

對於檔案的訪問權的劃分不夠細

在linux系統里,對於檔案的操作,只有「所有者」,「所有組」,「其他」這3類的劃分。

對於「其他」這一類里的用戶再細細的劃分的話就沒有辦法了。

SUID程式的許可權升級

如果設定了SUID許可權的程式有了漏洞的話,很容易被攻擊者所利用。

DAC(Discretionary Access Control)問題

檔案目錄的所有者可以對檔案進行所有的操作,這給系統整體的管理帶來不便。

對於以上這些的不足,防火牆,入侵檢測系統都是無能為力的。

在這種背景下,對於訪問許可權大幅度強化的SELinux來說,它的魅力是無窮的。

優點

SELinux系統比起通常的Linux系統來,安全性能要高的多,它通過對於用戶,進程許可權的最小化,即使受到攻擊,進程或者用戶許可權被奪去,也不會對整個系統造成重大影響。

接下來我來介紹SELinux的一些特點。

對訪問的控制徹底化

特點1:MAC(Mandatory Access Control)―――對訪問的控制徹底化

對於所有的檔案,目錄,連線埠這類的資源的訪問,都可以是基於策略設定的,這些策略是由管理員定製的、一般用戶是沒有許可權更改的。

對於進程只賦予最小的許可權

特點2:TE (Type Enforcement)――― 對於進程只賦予最小的許可權

Te概念在 SELinux里非常的重要。它的特點是對所有的檔案都賦予一個叫type的檔案類型標籤,對於所有的進程也賦予各自的一個叫 domain的 標籤。Domain標籤能夠執行的操作也是由access vector在策略里定好的。

我們熟悉的apache伺服器,httpd進程只能在httpd_t 里運行,這個httpd_t 的domain能執行的操作,比如能讀網頁內容檔案賦予httpd_sys_content_t,密碼檔案賦予shadow_t,TCP的80連線埠賦予 http_port_t等等。如果在access vector里我們不允許 http_t來對http_port_t進行操作的話,Apache啟動都啟動不了。反過來說,我們只允許80連線埠,只允許讀取被標為 httpd_sys_content_t的檔案,httpd_t就不能用別的連線埠,也不能更改那些被標為httpd_sys_content_t的檔案(read only)。

防止許可權升級

特點3:domain遷移 ―― 防止許可權升級

在用戶環境裡運行點對點下載軟體azureus,你當前的domain是fu_t,但是,你考慮到安全問題,你打算讓他在azureus_t里運行,你要是在terminal里用命令啟動azureus的話,它的進程的domain就會默認繼承你實行的shell的fu_t。

有了domain遷移的話,我們就可以讓azureus在我們指定的azureus_t里運行,在安全上面,這種做法更可取,它不會影響到你的fu_t。

下面是domain遷移指示的例子:

domain_auto_trans(fu_t,azureus_exec_t,azureus_t)

意思就是,當在 fu_t domain里,實行了 被標為 azureus_exec_t的檔案時,domain 從fu_t遷移到 azureus_t。下面是Apache啟動的遷移圖。注意了,因為從哪一個domain能遷移到httpd_t是在策略里定好了,所以要是我們手動 (/etc/init.d/httpd start)啟動apache的話,可能仍然留在sysadm_t里,這樣就不能完成正確的遷移。要用run_init命令來手動啟動。

對於用戶只賦予最小的許可權

特點4:RBAC(role base access control) ――――― 對於用戶只賦予最小的許可權

對於用戶來說,被劃分成一些ROLE,即使是ROOT用戶,你要是不在sysadm_r里,也還是不能實行sysadm_t管理操作的。因為,那些ROLE可以執行那些domain也是在策略里設定的。ROLE也是可以遷移的,但是也只能按策略規定的遷移。

相關詞條

相關搜尋

熱門詞條

聯絡我們