- Selinux
-
SELinux
Security-Enhanced Linux, abrégé SELinux, est un Linux security module (LSM), qui permet de définir une politique de contrôle d'accès obligatoire aux éléments d'un système basé sur Linux.
Initié par la NSA sur la base de travaux menés avec SCC et l'université d'Utah aux USA (prototypes DTMach, DTOS, projet FLASK), son architecture dissocie l'application de la politique d'accès et sa définition. Il permet notamment de classer les applications d'un système, en différents groupes, avec des niveaux d'accès plus fins. Il permet aussi d'attribuer un niveau de confidentialité pour l'accès à des objets systèmes, comme des descripteurs de fichier, selon un modèle de sécurité multiniveau (MLS pour Multi level Security). SELinux utilise le modèle Bell LaPadula avec Type enforcement de SCC pour l'intégrité. Il s'agit d'un logiciel libre, certaines parties étant sous licences GNU GPL ou BSD[réf. nécessaire].
Sommaire
Utilisation
En pratique, la base de l'innovation est de définir des attributs étendus dans le système de fichiers UNIX. En plus de la notion de "droits de lecture, écriture, exécution" pour un usager donné, SELinux définit pour chaque fichier ou processus :
- Un usager virtuel (ou collection de rôles) ;
- Un rôle ;
- Un contexte de sécurité.
Les commandes « système » sont étendues pour pouvoir manipuler ces objets et définir des politiques (règles d'accès), et des statuts (niveau de confidentialité). Par exemple la commande « ls -Z » fait apparaître les dits attributs étendus, soit :
ls -Z /etc/passwd
donne
-rw-r--r-- root root system_u:object_r:etc_t /etc/passwd
Une distribution Linux peut être livrée avec des politiques prédéfinies pour la totalité du système (mode strict), ou une partie des services / applications (mode ciblé ou targeted). Le réglage d'un certain nombre de variables booléennes prédéfinies, permet de personnaliser le comportement des applications correspondantes.
Voir aussi
Articles connexes
Liens externes
- (en) Security-Enhanced Linux
- (en) Type Enforcement Technology
- (en) Projet DTOS
- (en) Projet FLASK
- (fr) Concepts, Mécanismes et Guide d'installation
Portail de la sécurité informatique
Portail GNU/Linux
Catégorie : Sécurité du système d'exploitation
Wikimedia Foundation. 2010.
