7.7. Система SELinux: краткое руководство

7.7. Система SELinux: краткое руководство

7.7.1. Система контроля доступа

Как мы уже знаем, и Linux есть обычные пользователи и суперпользователь. Обычные пользователи практически не имеют никаких прав. Они могут создавать и изменять файлы только из своего домашнего каталога, а к остальным файлам файловой системы они обычно имеют доступ лишь в режиме "только чтения" (да и то не ко всем файлам).

Суперпользователь - это локальный царь и бог: ему подвластна вся система. Иначе говоря, система безоговорочно выполнит любую команду пользователя root, даже если root прикажет системе уничтожить саму себя. Да, система беззащитна перед пользователем root.

Представим, что пароль root вашей системы каким-то образом узнал очень нехороший человек. Каким именно образом злоумышленник завладел паролем, нас не интересует, для нас важны последствия: злоумышленник получил полный контроль над системой! Все остальное зависит только от него: он может удалить или изменить любые файлы, скопировать любую информацию и т.д.

Но обычные пользователи, несмотря на практически полное отсутствие прав доступа, тоже не совсем безопасны. Да, у обычных пользователей нет доступа к большинству файлов, но не к большинству программ. Обычный пользователь может, например, запустить компилятор gcc, если он установлен. Если пользователь имеет навыки программирования, то он запросто может написать программу, которая узурпирует большую часть процессорного времени или других системных ресурсов (это одна из самых распространенных атак на отказ - DoS-атак), Система не ограничивает использование программ обычными пользователями (конфигураторы являются системными утилитами, поэтому они не в счет).

Для обеспечения необходимой безопасности нам нужна некоторая дополнительная система контроля доступа, которая не даст пользователю root разнести все в пух и прах (умышленно или случайно) и не запретит обычным пользователям захватывать слишком большую часть системных ресурсов.

Система контроля доступа позволяет устанавливать права доступа к файлам не только для отдельных пользователей, но и для отдельных процессов. Например, FTP-серверу ProFTPD не нужен доступ ко всем файлам из каталога /etc. Ему нужен доступ только к каталогу, содержащему его конфигурационные файлы - /etc/proftpd. Контроль доступа к файлам, если установлена система контроля доступа, осуществляется в два этапа.

1. Проверка прав доступа на уровне файловой системы. Если файловая система запрещает доступ к файлу, то дальнейшая проверка не проводится.

2. Проверка прав доступа на уровне SELinux. Если файловая система разрешила доступ к файлу, проводится дополнительная проверка на уровне SELinux.

SELinux (Security-Enhanced Linux - Linux с улучшенной безопасностью) - система принудительного контроля доступа. SELinux считается одной из самых совершенных (понятно, при правильной настройке) систем контроля доступа, обеспечивающих максимальную безопасность. Сейчас она входит в состав ядра Linux и поставляется в составе многих дистрибутивов, Но по-прежнему есть и такие дистрибутивы, в которых SELinux не используется.

Системе SELinux можно доверять только потому, что она была разработана агентством национальной безопасности США, а затем уже была передана миру OpenSource. Такая организация, как NSA, не могла сделать небезопасную систему.

Нужно отметить, что SELinux по-настоящему нужна на сервере или компьютере, содержащем важную информацию. На домашнем компьютере она не нужна, поэтому ее можно смело отключить. В данной главе мы не будем подробно рассматривать все возможности SELinux, поскольку книга рассчитана на рядового пользователя, а не системного администратора, Обычному же пользователю будет достаточно информации, приведенной в этом разделе.

Поделитесь на страничке

Следующая глава >

Похожие главы из других книг:

Краткое описание формата

Из книги автора

Краткое описание формата favicon.ico имеет формат .ico (на самом деле, такой формат есть, а соответствующий MIME-тип прижился не везде; при этом он объединяет несколько довольно специфических типов; подробнее можно посмотреть в статье на Wikipedia, http://en.wikipedia.org/wiki/ICO_%28icon_image_file_format%29 ). С


Глава 1. Краткое введение в открытые ОС

Из книги автора

Глава 1. Краткое введение в открытые ОС Традиционно существовало два жанра введений в ОС: введение в архитектуру ОС с точки зрения программиста, и введение в пользование ОС с точки зрения оператора. Как правило, такие книги освещают также элементы администрирования (чаще


7.7.2. Базовые понятия SELinux: сущность, роль и домен

Из книги автора

7.7.2. Базовые понятия SELinux: сущность, роль и домен Чтобы настроить SELinux, вам нужно ознакомиться с ее базовыми понятиями: сущность, роль и домен.Сущность (identity) является частью контекста безопасности, который задает домены, в которые можно войти. Говоря более простым, языком,


7.7.3. Включение/выключение SELinux в Fedora

Из книги автора

7.7.3. Включение/выключение SELinux в Fedora Включить или выключить SELinux (кстати, в Fedora SELinux по умолчанию включена) можно с помощью конфигуратора system-config-securitylevel. После запуска конфигуратора нужно в его окне перейти во вкладку Настройка SELinux (рис. 7.16) и задать режим работы


7.7.5. Управление SELinux

Из книги автора

7.7.5. Управление SELinux Для управления системой контроля доступом используется конфигуратор system-config-selinux (рис. 7.18). С помощью этого конфигуратора можно полностью настроить SELinux, но чаще всего вы будете посещать раздел Boolean, в котором задаются возможности той или иной сетевой


Краткое видео для продающего текста

Из книги автора

Краткое видео для продающего текста Скачайте эту интеллект-карту по адресу: http://smartinfomarketing.ru/book-leads.htmСледующая интеллект-карта показывает, как записать краткое видео для размещения после заголовка в вашем продающем тексте. Главный вопрос: что в этом видео сказать? Вот


Глава 1. Краткое введение в открытые ОС

Из книги автора

Глава 1. Краткое введение в открытые ОС Традиционно существовало два жанра введений в ОС: введение в архитектуру ОС с точки зрения программиста, и введение в пользование ОС с точки зрения оператора. Как правило, такие книги освещают также элементы администрирования (чаще


Краткое знакомство с окнами для отладки.

Из книги автора

Краткое знакомство с окнами для отладки. Хотя подробно приемы отладки обсуждаются в главе 9, обзор окон редактора был бы неполным без хотя бы краткого знакомства с окнами, предназначенными для отладки. Таких окон в редакторе Visual Basic четыре.* Окно Immediate (Окно немедленного


КРАТКОЕ ОПИСАНИЕ БИБЛИОТЕКИ

Из книги автора

КРАТКОЕ ОПИСАНИЕ БИБЛИОТЕКИ Ниже приводится краткое описание основных групп функций для быстрой ориентации в библиотеке. При этом вводятся основные понятия, используемые при описании библиотечных функций (в частности, связанные с организацией ввода/вывода). Также


Краткое описание классов

Из книги автора

Краткое описание классов signal – cобытие (детали реализации опущены)template <class Arg> // Arg – тип аргумента функции обработчика class signal {public: // Инициировать событие void raise(  Arg arg // Арумент arg будет передан в обработчики события );}; slot – переходник для обработки события в


11.1. Краткое описание сетевых компонентов

Из книги автора

11.1. Краткое описание сетевых компонентов В Delphi 7 количество компонентов для программирования самых различных сетевых приложений просто радует глаз (см. вкладки IndyQients и IndyServers). Мы рассмотрим построение приложения на базе только IdTCPServer и IdTCPCLient (написание клиент-серверных


Краткое введение во Flash

Из книги автора

Краткое введение во Flash А теперь настало время разобраться с Flash, выяснить, что это такое и чем он может нам помочь.Flash — это пакет создания статичной графики и анимации, разработанный фирмой Macromedia. Графика, созданная в нем, распространяется в формате Shockwave/Flash, о котором мы


Краткое описание безопасности в организации

Из книги автора

Краткое описание безопасности в организации Перевод: Daughter of the Night (admin@mitnick.com.ru)Следующие списки и таблицы предоставят сжатую памятку методов, используемых социальными инженерами, подробно описанных в главах с 2 по 14, и процедур подтверждения личности, описанных в главе 16.