17.12. MAC олон түвшинт аюулгүй байдлын модуль

Модулийн нэр: mac_mls.ko

Цөмийн тохиргооны мөр: options MAC_MLS

Ачаалалтын тохируулга: mac_mls_load="YES"

mac_mls(4) бодлого нь систем дэх субьектууд болон обьектуудын хоорондын хандалтыг мэдээллийн урсгалын чанд бодлогын тусламжтайгаар хянаж хэрэгжүүлдэг.

MLS орчнуудад “clearance” буюу цэвэрлэгээ түвшин нь субьект болон обьектуудын хаяг/шошгонд тасалгаануудын цуг тохируулагддаг. Эдгээр цэвэрлэгээ буюу мэдрэхүйн түвшингүүд нь зургаан мянгаас их тоонд хүрч болох учир ямар ч администраторын хувьд субьект эсвэл обьект бүрийг нарийн тохируулах нь сүрдмээр ажил байдаг. Харин үүнийг хөнгөвчлөх гурван ширхэг “хормын” хаяг/шошго энэ бодлогод орсон байдаг.

Эдгээр хаяг/шошгонууд нь mls/low, mls/equal болон mls/high юм. Эдгээр хаяг/шошгонууд нь гарын авлагын хуудсанд дэлгэрэнгүй тайлбарлагдсан болохоор энд зөвхөн товчхон тайлбарлая:

• mls/low хаяг/шошго нь доод тохиргоог агуулдаг бөгөөд энэ нь түүнийг бусад бүх обьектуудаар захируулахыг зөвшөөрдөг. mls/low-ээр хаяглагдсан болгон доод цэвэрлэгээний түвшинтэй байх бөгөөд өндөр түвшний мэдээлэлд хандах нь зөвшөөрөгдөөгүй байх болно. Мөн энэ хаяг/шошго нь цэвэрлэгээний өндөр түвшингийн обьектуудад бичих эсвэл тэдгээрт мэдээлэл дамжуулахаас сэргийлдэг.

• mls/equal хаяг/шошго энэ бодлогоос чөлөөлөгдөхөөр болсон обьектуудад тавигдах ёстой.

• mls/high хаяг/шошго нь цэвэрлэгээний боломжит хамгийн өндөр түвшин юм. Энэ хаяг/шошгыг заасан обьектууд систем дэх бусад бүх обьектуудаас давуу эрхтэй байх бөгөөд гэхдээ тэдгээр нь доод ангиллын обьектуудад мэдээлэл алдагдахыг зөвшөөрөхгүй байх болно.

MLS дараах боломжуудыг олгодог:

• Шатлаагүй зэрэглэлүүдийн олонлогтой аюулгүй байдлын шаталсан түвшин;

• Тогтмол дүрмүүд: дээш уншихгүй, доош бичихгүй (субьект нь өөрөөсөө дээд түвшинд биш зөвхөн өөрийн түвшний болон доод түвшний обьектуудад унших хандалттай байж болно. Үүнтэй адилаар субьект нь өөрөөсөө доод түвшинд биш зөвхөн өөрийн түвшний болон дээд түвшний обьектуудад бичих хандалттай байж болно.);

• Нууцлаг байдал (өгөгдлийн зохисгүй ил болголтоос сэргийлэх);

• Мэдрэмжийн олон түвшингүүдэд өгөгдөлтэй зэрэгцээгээр ажиллах системүүдийн дизайны үндэс (нууц болон итгэмжлэгдсэн мэдээллийн хооронд мэдээлэл алдахгүйгээр).

Тусгай төхөөрөмжүүд болон интерфэйсүүдийн хувьд дараах sysctl-ийн тааруулах боломжтой хувьсагчууд байдаг:

• security.mac.mls.enabled нь MLS бодлогыг нээх/хаахад хэрэглэгддэг.

• security.mac.mls.ptys_equal нь бүх pty(4) төхөөрөмжүүдийг үүсгэлтийнх нь үеэр mls/equal гэж хаяглана.

• security.mac.mls.revocation_enabled нь обьектуудын хаяг/шошго доод зэргийнх уруу болж өөрчлөгдсөний дараа тэдгээрт хандах хандалтыг цуцлахад хэрэглэгддэг.

• security.mac.mls.max_compartments нь обьектуудад хамгийн их тооны тасалгааны түвшингүүдийг тохируулахад хэрэглэгддэг; үндсэндээ системд зөвшөөрөгдсөн тасалгааны хамгийн их дугаар байна.

MLS хаяг/шошгонуудтай ажиллахын тулд setfmac(8) байдаг. Обьектод хаяг/шошгыг олгохын тулд дараах тушаалыг ажиллуулна:

# setfmac mls/5 test

test файлын хувьд MLS хаяг/шошгыг авахын тулд дараах тушаалыг ажиллуулна:

# getfmac test

Энэ нь MLS бодлогын боломжуудын товч дүгнэлт юм. Өөр нэг хандлага нь MLS бодлогын мэдээллийг тохируулах мастер бодлогын файлыг /etc санд үүсгэж тэр файлыг setfmac тушаалд өгөх явдал юм. Энэ аргыг бүх бодлогуудыг авч үзсэнийхээ дараа тайлбарлах болно.