A FreeBSD 5.X változata új biztonsági bővítéseket vett át a TrustedBSD projektből a POSIX®.1e nyomán. A két legjelentősebb új biztonsági mechanizmus az állományrendszerekben megtalálható hozzáférés-vezérlési listák (Access Control List, ACL) és a kötelező hozzáférés-vezérlés (Mandatory Access Control, MAC). A kötelező hozzáférés-vezérlés segítségével olyan új hozzáférés-vezérlési modulok tölthetőek be, amelyek új biztonsági házirendeket implementálnak. Némelyek közülük védelmet nyújtanak a rendszer egy szűk részének, amivel így egy adott szolgáltatást bástyáznak alá. Mások minden részletre kiterjedő címkézett biztonságot szolgáltatnak alanyokon és objektumokon keresztül. A meghatározás “kötelező” része onnan fakad, hogy a szabályok betartatását a rendszergazdák és a rendszer végzik, és nem bízzák a felhasználókra, ahogy azt a System V típusú rendszerekben a szabványos állományokra és IPC-re érvényes engedélyeken keresztül a tetszés szerinti hozzáférés-vezérlés (Discretionary Access Control, DAC) teszi.
Ebben a fejezetben a kötelező hozzáférés-vezérlést övező keretrendszerre (MAC Framework) és a különböző biztonsági házirendeket megvalósító, beilleszthető modulokra fogunk összpontosítani.
A fejezet elolvasása során megismerjük:
hogy a FreeBSD jelen pillanatban milyen modulokat tartalmaz a MAC rendszeren belül és milyen mechanizmusok tartoznak hozzájuk;
hogy a MAC biztonsági házirendjeit képező modulok miket valósítanak meg, valamint mi a különbség a címkézett és címkézetlen házirendek között;
hogyan kell hatékonyan beállítani és használni rendszerünkben a MAC rendszert;
hogyan állítsuk be a MAC rendszerben található különféle biztonsági házirendeket képező modulokat;
hogyan hozzunk létre a MAC rendszer segítségével egy biztonságosabb környezetet, amire példákat is mutatunk;
hogyan teszteljük le a MAC rendszer beállításait és bizonyosodjunk meg működésének helyességéről.
A fejezet elolvasásához ajánlott:
a UNIX® és a FreeBSD alapjainak ismerete (3 fejezet)
a rendszermag beállításának és lefordításának ismerete (8 fejezet)
tisztában lenni az alapvető biztonsági kérdésekkel és azok hatásával a FreeBSD-n belül (14 fejezet)
Figyelem: Az itt ismertetésre kerülő információk helytelen alkalmazása a rendszer hozzáférhetőségének teljes elvesztését, a felhasználók bosszantását vagy az X11 által felkínált lehetőségek kirekesztését eredményezheti. Ami viszont ennél is fontosabb, hogy a MAC rendszerre nem úgy kell tekinteni, mint amitől a rendszerünk tökéletesen biztonságossá válik. A MAC segítségével csupán a meglevő biztonsági házirendeket gyarapítjuk. A szilárd biztonsági rutin és a rendszeres ellenőrzések elvégzése nélkül a rendszerünk valójában sosem lesz teljesen biztonságos.
Hozzá kell tennünk, hogy a fejezetben bemutatott példák tényleg csak példák. Senkinek sem tanácsoljuk, hogy az itt említett beállításokat egy éles rendszerre is kiterjessze. A különböző biztonsági modulok felépítése rengeteg gondolkodást és próbálgatást igényel. Aki nem érti meg az egész működését, könnyen azon kaphatja magát, hogy újra végig kell mennie a rendszeren és egyenként be kell állítania minden könyvtárat és állományt.
Ebben a fejezetben a MAC rendszerrel kapcsolatban rengeteg biztonsági kérdéssel foglalkozni fogunk. Az új MAC biztonsági modulok kifejlesztését azonban már nem érintjük. Számos olyan biztonsági modul található a MAC rendszerben, amelyek rendelkeznek az új modulok kialakításához és teszteléséhez szükséges jellemzőkkel. Ilyenek többek közt a mac_test(4), mac_stub(4) és a mac_none(4). Ezekről a biztonsági modulokról és az általuk szolgáltatott mechnanizmusokról a man oldalaik tudnak bővebb tájékoztatást adni.
Ha kérdése van a FreeBSD-vel kapcsolatban, a következő
címre írhat (angolul): <freebsd-questions@FreeBSD.org>.
Ha ezzel a dokumentummal kapcsolatban van kérdése,
kérjük erre a címre írjon: <gabor@FreeBSD.org>.