Kiegészítő Linux kernel biztonsági megoldások összehasonlítása

Németh Tamás <>
Nyugat-magyarországi Egyetem

A UNIX kernelek klasszikus biztonsági modelljében a root (0-ás UID-ű) felhasználó nevében tevékenykedő szubjektumoknak/processzeknek joguk van minden lehetséges műveletet elvégezni minden objektumon (fájlokon, hardvereszközökön, hálózati kapcsolatokon és egyéb rendszer-erőforrásokon), a többi szubjektumnak pedig csak az összes művelet egy részhalmazához van joga. Kezdetben ennek a mindössze kétfokozatú biztonsági modellnek a felbontását nem finomította más, mint a processzek/felhasználók csoportosítása (GID), és a fájloon alkalmazott rwxrwxrwx típusú jogosultságszűrés. Ez a biztonsági modell az idők során különféle finomhangoló kiegészítőkkel bővült, pl. a setuid, setgid és sticky bitekkel; a root jogosultság ún. capabilitykre történő szétbontásával; fájlrendszer ACL-ekkel; stb. Ezen kibővített UNIX biztonsági modell házirendjének paraméterezése részben a felhasználók belátására van bízva, ezért discretionary access control (DAC) rendszer névvel illetjük, szemben az előadásban bemutatott Mandatory Access Control (MAC) rendszerekkel, amelyeknél a biztonsági házirend egy kiemelt adminisztrátori szerepkör fennhatósága alatt áll.
 
Négy viszonylag elterjedt MAC rendszert mutatok be az előadásban: az eredetileg az NSA által fejlesztett SELinuxot; az Amon Ott által szinte egyszemélyes projektként futtatott RSBAC rendszert; a kezdetben az Immunix, később a Novell, jelenleg pedig az Ubuntut kiadó Canonical által gondozott AppArmort; és a Brad Spengler irányítása alatt álló Grsecurityt. Összehasonlítom őket különféle szempontok alapján, beleérve a biztonsági modell mögött rejlő filozófiát; a rendszer bonyolultságát vagy felhasználóbarátságát; a biztonsági házirend előállításának mikéntjét; a házirendnek a futó kernelbe való betöltésének módját; a házirend-jellegű MAC szabályozáson kívüli kiegészítő biztonsági megoldásokat; az adott megoldás operációs rendszerbe történő integrálásának lépéseit; egy adott gyakorlati probléma megoldásának lehetőségeit; stb.