关于SElinux

hongw

使用增强安全性的Linux
作者： TechRepublic.com
2005-01-14 11:9 AM
本文译自TechRepublic，未经许可请勿转载
增强安全性的Linux（SELinux）是美国安全部的一个研发项目，它的目的在于增强开发代码的Linux内核，以提供更强的保护措施，防止一些关于安全方面的应用程序走弯路，减轻恶意软件带来的灾难。
普通的Linux 与SELinux相比较
普通的Linux系统的安全性是依赖内核的，这个依赖是通过setuid/setgid产生的。在传统的安全机制下，暴露了一些应用授权问题、配置问题或进程运行造成整个系统的安全问题。这些问题在现在的操作系统中都存在，这是由于他们的复杂性和与其它程序的互用性造成的。
SELinux只单单依赖于系统的内核和安全配置政策。一旦你正确配置了系统，不正常的应用程序配置或错误将只返回错误给用户的程序和它的系统后台程序。其它用户程序的安全性和他们的后台程序仍然可以正常运行，并保持着它们的安全系统结构。
用简单一点的话说就是：没有任何的程序配置错误可以造成整个系统的崩溃。
安装SELinux
SELinux的内核、工具、程序/工具包，还有文档都可以到增强安全性的Linux网站上上下载你必须有一个已经存在的Linux系统来编译你的新内核，这样才能访问没有更改的系统补丁包。
开发者使用红帽Linux来测试目前的这个版本。这个Linux和目前的Linux应用程序非常兼容，并且它包含了一个考虑到安全问题的系统调用。
另外，你可以编译这个内核，使它在允许的状态下运行。这个模式允许审计安全配置政策，并决定安装用户应用程序和系统操作所需要的许可。你不需要重新安装系统，可以随时通过改变这个操作的模式来增强系统的功能。
为什么要使用SELinux?
最好的使用SELinux的原因就是，它可以增强访问控制来限制用户程序访问的最低权限。
其它好的改进是：
* 对内核对象和服务的访问控制
    * 对进程初始化、继承和程序执行的访问控制
    * 对文件系统、目录、文件和打开文件描述的访问控制
    * 对端口、信息和网络接口的访问控制。
最后的思考
SELinux减少了防止系统崩溃所需要调整的用户和系统程序。你现在就可以使用补丁包升级Linux，使它符合你的计划需要。
因为SELinux目前仍然是一个开发项目，NSA并没有向用户推荐使用这个系统来保存比较重要的信息。但是，在去年，我曾经运行过SELinux，并没有遇到过任何的系统崩溃情况。
是否好用，由你自己测试、自己决定。它是免费的，而且非常好用！


---------------------------------------------
NSA(U.S. National Security Agency)推出SELinux(Security Enhanced Linux)已经有4年了，随着安全问题日益被企业和普通消费者所关注，主流的Linux厂商纷纷表示支持SELinux，将SELinux作为其产品的标准配置，这些厂商包括Red Hat, SUSE, Debian GNU/Linux 和 Gentoo Linux。为此，Tom Adelstein采访了SELinux一书的作者Bill McCarty就有关SELinux进行了讨论，Bill McCarty在采访中表示"SELinux对于保障Linux的用户安全而言，就如同安全带对于保障汽车司机的安全一样。"有关详细内容见:
http://www.linuxjournal.com/article/7955
http://www.cnw.com.cn/issues/article.asp?filename=n22213.txt
超级安全Linux渐渐走来（一）
2002-6-17
超级安全Linux渐渐走来（一）
    给Linux操作系统增加超级安全性正逐渐成为主流。开发人员把美国国家安全局（NSA）参与开发的安全增强型Linux（SELinux）变成了一个可以在Linux操作系统上几乎无缝运行的模块。
    NSA安全系统研究室技术主管格兰特·瓦格纳表示，即使不打算把SELinux作为一个完整的安全系统，它也会对采用它的系统的安全产生重要的影响。
    NSA和开放源代码爱好者携手合作似乎有些不同寻常。毕竟这是一个在电影《国家敌人》中被描写成长期从事窥探的机构。但是对NSA来说，这不是没有联系的。除了破解密码外，NSA还负责保证美国政府机构的安全，换句话说，它还要制造密码。
    保证信息安全的任务由NSA信息保险管理处负责，这个部门还负责发布病毒警报等普通任务。
    在去年发布SELinux的时候，NSA的目标是证明可以用“强制访问控制”等附加安全特色提高主流操作系统的安全性。
    强制访问控制可以验证用户通常不能控制的信息，如IP地址。目前多数操作系统使用较传统的“自主型访问控制”方法，这种方法只验证用户随意提供给系统的凭证——如典型的用户名和密码。
    NSA的瓦格纳表示SELinux的采用率超过了他们原来的预期。SELinux的发布还使一些非Linux系统开发人员也考虑采用类似的控制。
    使SELinux成为Linux附加安全部分的决定是受Linux安全模块项目的推动。该项目试图发明一个添加安全模块的一般方法。
    瓦格纳说，“我们有一些在公共部门和私营部门成功部署SELinux的报告。这些报告表明SELinux非常有效，已经抵抗住了针对系统发动的实际攻击。”
    有关SELinux的大量工作正由志愿编程人员进行。Westcam公司高级咨询顾问马克·韦斯特曼就是这样一个志愿者，他说他的公司用SELinux通过同洛克西德马丁公司的合同为NASA工作。
    他说，“我主要是把SELinux用在安全方面。SELinux给我们提供了阻挡黑客的真正安全性。它的主要优势是强制访问控制。作为一个平台，特别是适合互联网服务的平台，SELinux可以用于Web服务器和DNS服务器。你不用再担心漏洞问题。”
    韦斯特曼在2001年1月SELinux第一个版本发布时就开始使用SELinux。他说，“我们正在开发这个多级安全项目并用另一种机制保证Linux操作系统安全。我们需要一种可以使系统拥有多种安全级的主机操作系统。SELinux就是这样的系统。”
    因为SELinux有良好的支持，所以Linux安全开发人员Shaun Savage转向了SELinux。Savage说，“我希望使用安全的Linux，因为我从事的项目要求超高安全性，而且要有较好的支持。NSA支持SELinux，而且他们经费充足。”
    他说，“在我看来，大多数服务器应该采用SELinux，因为如果出现漏洞，SELinux的限制访问特色可以保护系统。”

本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u/16307/showart_90425.html