17.3 Επεξήγηση του MAC

Έχοντας κατά νου όλους αυτούς τους καινούριους όρους, ας σκεφτούμε πώς το MAC βελτιώνει την ασφάλεια του συνολικού συστήματος. Τα διάφορα αρθρώματα πολιτικών ασφάλειας που παρέχει το πλαίσιο λειτουργιών MAC θα μπορούσαν να χρησιμοποιηθούν για να προστατέψουν το δίκτυο και τα συστήματα αρχείων, για να απαγορέψουν σε χρήστες την πρόσβαση σε ορισμένες δικτυακές πόρτες ή συνδέσεις και άλλα. Πιθανά η καλύτερη χρήση των αρθρωμάτων πολιτικής είναι η ανάμειξη τους, φορτώνοντας την ίδια στιγμή άνω του ενός αρθρώματα πολιτικών ασφαλείας για τη δημιουργία ενός περιβάλλοντος πολυεπίπεδης ασφάλειας. Σε ένα περιβάλλον πολυεπίπεδης ασφάλειας, τα πολλαπλά αρθρώματα πολιτικής βρίσκονται σε ισχύ για να ελέγχουν την ασφάλεια. Αυτό διαφέρει από μια πολιτική θωράκισης που συνήθως θωρακίζει στοιχεία του συστήματος που χρησιμοποιούνται μόνο για συγκεκριμένους σκοπούς. Το μόνο μειονέκτημα είναι η επιβάρυνση του διαχειριστικού φόρτου στις περιπτώσεις πολλαπλών χαρακτηρισμών συστημάτων αρχείων, ορισμός της δικτυακής πρόσβασης για κάθε χρήστη, κ.λπ.

Αυτά τα μειονεκτήματα είναι ελάχιστα όταν συγκριθούν με τις μακρόχρονες επενέργειες του πλαισίου· για παράδειγμα, η δυνατότητα επιλογής ποιών πολιτικών απαιτούνται για μια συγκεκριμένη διάταξη του συστήματος ελλατώνει την επιβάρυνση στις επιδόσεις του συστήματος. Η μείωση της υποστήριξης για περιττές πολιτικές μπορεί να αυξήσει τις συνολικές επιδόσεις του συστήματος όπως και να προσφέρει την ευελιξία της επιλογής. Μία καλή υλοποίηση θα λάμβανε υπόψη της τις συνολικές απαιτήσεις ασφάλειας και θα υλοποιούσε αποδοτικά τα διάφορα αρθρώματα πολιτικών ασφάλειας που προσφέρει το πλαίσιο.

Έτσι, ένα σύστημα που χρησιμοποιεί δυνατότητες MAC θα πρέπει τουλάχιστον να εγγυάται ότι δεν θα επιτραπεί σε έναν χρήστη να αλλάξει τα γνωρίσματα της πολιτικής ασφάλειας κατά το δοκούν· ότι όλα τα κύρια ή βοηθητικά προγράμματα ή τα σενάρια εντολών θα πρέπει να βρίσκονται σε λειτουργία μόνο εντός των περιορισμών των κανόνων πρόσβασης που παρέχουν τα επιλεγμένα αρθρώματα πολιτικών ασφαλείας· και ότι ο πλήρης έλεγχος των κανόνων πρόσβασης MAC βρίσκεται στα χέρια του διαχειριστή συστήματος.

Είναι αποκλειστικό καθήκον του διαχειριστή συστήματος να επιλέγει προσεκτικά τα ορθά αρθρώματα πολιτικών ασφάλειας. Κάποια περιβάλλοντα μπορούν να χρειάζονται περιορισμό του ελέγχου πρόσβασης στο δίκτυο· σε αυτές τις περιπτώσεις τα αρθρώματα πολιτικών mac_portacl(4), mac_ifoff(4) και ίσως mac_biba(4) θα μπορούσαν να αποτελέσουν καλές αφετηρίες. Σε άλλες περιπτώσεις μπορεί να απαιτείται αυστηρή εμπιστευτικότητα σχετικά με τα αντικείμενα του συστήματος αρχείων. Για τέτοιους σκοπούς υπάρχουν αρθρώματα πολιτικής όπως το mac_bsdextended(4) και το mac_mls(4)

Οι επιλογές όσον αφορά την πολιτική θα μπορούσαν να βασιστούν στη διάταξη του δικτύου. Πιθανώς θα πρέπει να επιτραπεί μόνο σε συγκεκριμένους χρήστες η πρόσβαση στις δυνατότητες που παρέχει το ssh(1) κατά τη πρόσβαση στο δίκτυο ή στο Διαδίκτυο. Σε αυτές τις περιπτώσεις το άρθρωμα πολιτικής που θα επιλέγαμε θα ήταν το mac_portacl(4). Αλλά τι θα έπρεπε να γίνει για την περίπτωση των συστημάτων αρχείων; Θα πρέπει να διακοπεί η πρόσβαση σε ορισμένους καταλόγους για άλλες ομάδες ή συγκεκριμένους χρήστες; Ή θα πρέπει να περιορίσουμε τη πρόσβαση χρηστών ή βοηθητικών προγραμμάτων σε συγκεκριμένα αρχεία ορίζοντας κάποια αντικείμενα ως απόρρητα;

Στη περίπτωση συστημάτων αρχείων, η πρόσβαση σε αντικείμενα θα πρέπει να θεωρείται εμπιστευτική για κάποιους χρήστες αλλά όχι για άλλους. Για παράδειγμα μια μεγάλη ομάδα ανάπτυξης μπορεί να υποδιαιρείται σε μικρότερες ομάδες ατόμων. Όσοι βρίσκονται στην ομάδα ανάπτυξης Α πιθανώς δεν θα επιτρέπεται να έχουν πρόσβαση σε αντικείμενα που γράφτηκαν από όσους βρίσκονται στην ομάδα ανάπτυξης Β. Αλλά πιθανώς θα χρειάζονται πρόσβαση σε αντικείμενα που δημιουργήθηκαν από την ομάδα ανάπτυξης Γ· δύσκολη κατάσταση. Χρησιμοποιώντας τα διαφορετικά αρθρώματα πολιτικών ασφάλειας που παρέχει το πλαίσιο λειτουργειών MAC οι χρήστες θα μπορούσαν να διαχωριστούν σε αυτές τις ομάδες και τότε να τους δινόταν πρόσβαση στις κατάλληλες περιοχές χωρίς τον φόβο διαρροής πληροφορίας.

Έτσι, κάθε άρθρωμα πολιτικών ασφαλείας έχει έναν μοναδικό τρόπο να αντιμετωπίζει την συνολική ασφάλεια του συστήματος. Η επιλογή των αρθρωμάτων θα πρέπει να βασίζεται μια προσεκτικά μελετημένη πολιτική ασφάλειας. Σε πολλές περιπτώσεις, η συνολική πολιτική μπορεί να πρέπει να αναθεωρηθεί και να υλοποιηθεί από την αρχή για το σύστημα. Η κατανόηση των διαφορετικών αρθρωμάτων πολιτικών ασφάλειας που προσφέρει το πλαίσιο λειτουργιών MAC θα βοηθήσει τους διαχειριστές συστημάτων να επιλέξουν την καλύτερη πολιτική για τη κατάσταση που αντιμετωπίζουν.

Ο προεπιλεγμένος πυρήνας FreeBSD δεν συμπεριλαμβάνει την δυνατότητα του πλαισίου λειτουργιών MAC· κατά συνέπεια θα πρέπει να ενεργοποιηθεί η παρακάτω δυνατότητα στον πυρήνα πρωτού δοκιμάσει κανείς κάποιο από τα παραδείγματα ή τις πληροφορίες αυτού του κεφαλαίου:

options	MAC

Και ο πυρήνας θα πρέπει να ξαναδημιουργηθεί και να εγκατασταθεί εκ νέου.

Προσοχή: Παρ'ότι οι διάφορες σελίδες τεκμηρίωσης για τα αρθρώματα πολιτικής MAC δηλώνουν ότι μπορούν να ενσωματωθούν στον πυρήνα, είναι δυνατό έτσι το σύστημα να κλειδωθεί εκτός δικτύου κ.α. Η υλοποίηση του MAC μοιάζει με την υλοποίηση ενός τείχους προστασίας (firewall), θα πρέπει να είμαστε προσεκτικοί ώστε να αποφύγουμε να κλειδωθούμε εντελώς εκτός του συστήματος. Θα πρέπει να σκεφτόμαστε την ύπαρξη ή μη της δυνατότητας επιστροφής στη προηγούμενη διαμόρφωση ενώ θα πρέπει να είμαστε εξαιρετικά προσεκτικοί κατά την υλοποίηση του MAC από απομακρυσμένο σταθμό εργασίας.

Αυτό το κείμενο, και άλλα κείμενα, μπορεί να βρεθεί στο ftp://ftp.FreeBSD.org/pub/FreeBSD/doc/.

Για ερωτήσεις σχετικά με το FreeBSD, διαβάστε την τεκμηρίωση πριν να επικοινωνήσετε με την <questions@FreeBSD.org>.
Για ερωτήσεις σχετικά με αυτή την τεκμηρίωση, στείλτε e-mail στην <doc@FreeBSD.org>.