Anwendungen. Tom Vogt.

Transkript

1 Security Enhanced Linux Einführung Architektur Anwendungen Tom Vogt

2 Der Autor beschäftigt sich seit ca. 10 Jahren mit Linux. hat an verschiedensten Free Software Projekten mitgearbeitet, u.a. Linux High Availability, Kaos/Nexus Linux, Gnome. forscht derzeit neben SELinux an Würmern und Information Warfare Techniken. hat Vorträge auf diversen Konferenzen gehalten. hat mehrere Jahre Erfahrung als Systemadministrator.

3 Geschichte Prototypen Von der NSA und der Secure Computing Corporation (SCC) entwickelt. DTMach und DTOS Betriebssystem Prototypen Danach Flask, zusammen mit der Universität von Utah

4 Überblick Was ist SELinux? TE: Type Enforcement MAC: Mandatory Access Controls RBAC: Role Base Access Control Transparent für die meisten Programme Orthagonal zu Unix Zugriffsrechten

5 Hintergrund Domain and Type Enforcement Starke Trennung zwischen Betriebssystem und Programmen und zwischen einzelnen Programmen Mailserv er Dat abase Webserv er Kernel sshd User bash openoffice

6 Hintergrund Mandatory Access Control Standard Unix: Discretionary Access Control (DAC) DAC: Besitzer von Objekten bestimmen die Zugriffsrechte. MAC: Policy und Labels bestimmen die Zugriffsrechte. Policy legt fest, wer Labels setzen und verändern kann und welche Voreinstellungen gelten

7 Hintergrund Role Based Access Control Zugriffsrechte werden über die Rollen eines Benutzers definiert. Rollen können gut definiert und eingegrenzt werden. Benutzer können zwischen Rollen wechseln Die Policy legt dabei fest, welche Rollen für welche Benutzer zugänglich sind

8 Überblick Die Implementierung Kernel Patch Einige Patches für Programme Zentrale Policy mit Verwaltungsprogrammen Dateisystem mit Security Context Labeln versehen (in ext2/3 xattr gespeichert) Prozesse ebenfalls mit Security Contexts versehen.

9 Arbeiten mit SELinux Security Contexts root:sysadm_r:example_t SELinux User ID Derzeitige SELinux Rolle Derzeitige Domäne/Typ

10 Grundlagen Benutzer, Rollen, Domänen Benutzer sind für eine oder mehrere Rollen authorisiert Rollen können gewechselt werden (newrole Befehl) Rollen sind für Zugriffe auf Domänen authorisiert User Role Role Domain Domain Domain Domain Domain Domain

11 Grundlagen Ein einfaches Beispiel: Der Benutzer webadm ist für die Rolle sysadm_r authorisiert. sysadm_r darf Dateien vom Typ httpd_exec_t ausführen. Bei der Ausführung wechselt httpd_exec_t in die Domäne httpd_t. Der Webserver läuft jetzt in einer dedizierten Domäne. webadm sysadm_r httpd_exec_t httpd_t

12 Transitionen Die Policy...legt fest, welche Transitionen erlaubt sind definiert automatische Transitionen Einschränkungen Nur erlaubt bei exec Aufrufen Also keine Transitionen zur Laufzeit eines Programmes...oder wenn externer Code als Modul ausgeführt wird.

13 Transitionen Beispiel: Remote login (ssh) Automatischer Wechsel in die Default Rolle beim exec der Shell. Start eines Programmes mit einer eigenen Domäne Transition in diese Domäne gemäß der Policy Regeln. sshd sys_u:sys_r:sshd_t domain_auto_trans($1, shell_exec_t, user_t) bash user:user_r:user_t connect fork domain_auto_trans($1_t, screen_exec_t, $1_screen_t) screen user:user_r:screen_t # screen exec

14 Die Policy Verwendet eine einfache deklarative Sprache. M4 Makros Einfache dateibasierte Struktur GUI Programme werden verfügbar. Eine Default Policy wird mitgeliefert.

15 Policy Verwaltung Änderungen mittels Texteditor make load Unterstützung bei der Generierung oder Anpassung von Regeln durch audit2allow (früher: newrules.pl) Laden einer neuen Policy ohne Downtime

16 Sicherheitsvorteile Ein recht komplexes System Was sind die Vorteile?

17 Sicherheitsvorteile Rollen und Domänen: Domänen können vollständig voneinander getrennt werden. Sicherheitsvorfällen bleiben auf die betroffenen Programme beschränkt....auch wenn der Angreifer root Zugang erreicht hat. Unbekannte und fragwürdige Programme können in Quarantäne gestellt werden.

18 Sicherheitsvorteile Beispiel für Rollen System Vier Rollen Trennung von Aufgaben Überlappungen, wo notwendig WebAdm in Hinweis: Rollen können gewechselt werden der DBA und WebAdmin können die gleiche Person sein. Webserver Start/Stop Con fig Data SysAdm in Editor Database Start/Stop Con fig Data DBA

19 Sicherheitsvorteile Policy und ihre Durchsetzung: Sehr feine Zugriffskontrollen (syscalls). Selbst kleinste Verletzungen können festgestellt werden. Management by policy Minimierung von Schaden, der durch Fehler und Unwissenheit entsteht. Zwingt Benutzer, die Policy einzuhalten.

20 Aktueller Status Bestandteil des 2.6.x Kernels Packete für alle großen Distributionen verfügbar Sehr aktive Weiterentwicklung Gentoo Live CD

21 D e m o n s tra tio n

22 Links

23 Security Enhanced Linux Vielen Dank Fragen?