Теги (модификаторы) контекста безопасности
Используемые в ОС ОН «Стрелец» теги (модификаторы) контекста безопасности представлены в таблице:
ID | Название | Описание |
| 1 | CCnR | Container Clearance not Required. Доступ к элементам контейнера осуществляется без учета его конфиденциальности. При использовании с контейнером – позволяет хранить в нем сущности с мандатными атрибутами, отличными от мандатных атрибутов контейнера, но не превосходящими их, в отношении объектов, не являющихся контейнерами, игнорируется |
| 2 | CICnR | Container Integrity Clearance not Required. Доступ к элементам контейнера осуществляется без учета его целостности. При использовании в отношении контейнера – позволяет хранить в нем объекты с различными уровнями целостности, но не превосходящими уровень целостности контейнеров, в отношении объектов, не являющихся контейнерами, игнорируется |
| 3 | CHCTX | Возможность смены контекста объекта. При использовании субъектом позволяет ему управлять контекстом безопасности объектов, в отношении объектов игнорируется |
| 12 | SETCTX | Возможность смены контекста субъекта. При использовании субъектом позволяет ему управлять собственным контекстом безопасности, в отношении объектов игнорируется |
| 22 | EQU | Пропустить проверку МРД (конфиденциальности и целостности) для объекта. Используется с объектами, не допускающими возникновения запрещенных информационных потоков. При использовании таких объектов считается, что мандатные атрибуты контекста безопасности объекта совпадают с мандатными атрибутами контекста безопасности субъекта, который осуществляет доступ, примеры: /dev/null, /dev/full |
| 23 | ADDEQUSOCK | Автоматическая установка EQU на создаваемый сокет. При использовании субъектом при создании им объекта типа «сокет» к контексту безопасности последнего будет добавлен тег EQU, в отношении объектов игнорируется |
| 24 | SETXATTR_OMITMAC | Пропустить проверку МРД в части иерархии при установке контекста безопасности объекта файловой системы через расширенные атрибуты. При использовании субъектом, например программой резервного копирования, позволяет ему при управлении контекстом безопасности объектов, непосредственно изменяя их расширенные атрибуты (SECURITY.NESSCTX), игнорировать МРД в части иерархии. Применяется только при восстановлении резервных копий, распаковки архивов и т.д., которые содержат расширенные атрибуты контекстов безопасности, и при этом невозможно обеспечить корректность этой процедуры в части иерархии согласно МРД |
| 25 | OMIT* | Пропустить проверку МРД (конфиденциальности и целостности) для субъекта. Используется в отношении привилегированных доверенных субъектов, не допускающих возникновения запрещенных информационных потоков, в отношении объектов игнорируется |
| 26 | OMITC | Пропустить проверку МРД в части конфиденциальности для субъекта. Используется в отношении привилегированных доверенных субъектов, не допускающих возникновения запрещенных информационных потоков, в отношении объектов игнорируется; |
| 27 | OMITI | Пропустить проверку МРД в части целостности для субъекта. Используется в отношении привилегированных доверенных субъектов, не допускающих возникновения запрещенных информационных потоков, в отношении объектов игнорируется |
| 28 | INTERPRETER* | Право субъекта запускать интерпретатор в интерактивном режиме |
| 29 | NOSEUID_FIXUP | Не модифицировать теги при смене EUID, тег будет сброшен после вызова seteuid(). При использовании субъектом при успешном выполнении системного вызова seteuid() теги субъекта не будут изменены, за исключением удаления тега NOSEUID_FIXUP. При отсутствии у субъекта тега NOSEUID_FIXUP перед вызовом seteuid() набор тегов субъекта будет сброшен. Применяется в отношении субъектов, которые осуществляют имперсонацию. В отношении объектов игнорируется |
| 30 | NOSEUID_FIXUP_ PERMANENT | Не модифицировать теги при смене EUID, тег НЕ будет сброшен после вызова seteuid(). Аналогично NOSEUID_FIXUP, но данный тег не сбрасывается после успешного вызова seteuid() |
| 31 | BPRM_ADD_ TAGS | После выполнения execve добавить к контексту процесса (субъекта) теги контекста BPRM_ADD_TAGS безопасности исполняемого файла (объекта) |
| * дополнительные пояснения по указанным тегам даны в описании ниже. | ||
Тег INTERPRETER
Если установлена политика ness-policy-interpreter, на интерпретаторы устанавливается тег INTERPRETER, и тогда только субъект с тегом INTERPRETER может вызывать интерпретаторы интерактивно. В то же время всем субъектам разрешается запускать скрипты, в которых эти интерпретаторы вызываются через shebang (строки вида #!/bin/bash, #!/usr/bin/python, и т.п. в начале файла).
Для запрета исполнения произвольных скриптов требуется применять режимы ЗПС или киоска (киосков).
Примеры использования INTERPRETER:
1) Администратор (или разработчик) может поставить себе в доступные теги INTERPRETER:
либо отметив тег INTERPRETER себе в графической утилите muser.
Тогда при входе в систему появится диалог выбора контекста.
Если администратор отметит INTERPRETER, этот тег будет добавлен, и администратор сможет запускать интерактивно команды в терминале.
Если не отметит, такая возможность для его сессии будет заблокирована.
2) Администратор (или разработчик) может поставить себе в минимальные теги INTERPRETER:
либо отметив тег себе минимально в контексте INTERPRETER в графической утилите muser.
Тогда для него тег будет проставлен всегда, диалог появляться не будет (при условии, что нет других параметров для выбора), интерактивный терминал будет доступен такому пользователю всегда.
3) Пользователю следует не выдавать такой тег вообще. Тогда ему будет заблокирован интерактивный терминал.
Тег OMIT
Процессы могут видеть друг друга (с нижеследующими ограничениями). Процесс, наблюдающий за другими, считается процессом субъектом. Процесс, за которым наблюдают, считается процессом объектом.
Правила
Процесс A как субъект видит процесс B как объект, только если мандатный уровень доступа B <= мандатный уровень доступа A (условие МРД).
Процесс A как субъект видит процесс B как объект, только если мандатные категории доступа B содержатся (включаются) в мандатные категории доступа A (все мандатные категории доступа B есть у A) (условие МРД).
Процесс A как субъект видит процесс B как объект только если теги B содержатся (включаются) в тегах A (все теги B есть у A).
Процесс субъект с тегом OMIT видит все процессы объекты.
Посмотреть видеоуроки:
- Режим блокировки интерпретаторов
- Изменение контекста безопасности файла
- Изменение контекста безопасности вне домашнего каталога
mouseover