5110-toku4-2c.indd

Size: px

Start display at page:

Download "5110-toku4-2c.indd"

もえりことじ
7 years ago
Views:

1 Linux 4 TOMOYO Linux Linus Torvalds 1 Linux 1, Linux SELinux Smack TOMOYO Linux 3 AppArmor SELinux Smack 1980 TOMOYO Linux AppArmor pathname-based security SELinux TOMOYO Linux TOMOYO Linux TOMOYO Linux David Bell Leonard LaPadula 2 2 BLP Bell-LaPadula BLP BLP Biba TCSEC 2 Trusted Computer System Evaluation Criteria, TCSEC TCSEC 1276

36 4 SELinux Smack 1980 TOMOYO Linux AppArmor pathname-based security SELinux TOMOYO Linux

2 4. TOMOYO Linux TCSEC 1999 ISO/IEC TCSEC TCSEC OS Linux OS OS Linux /tmp/../etc/shadow /etc/shadow /etc/shadow chroot mount 1277

3 Linux i i Linux i i i SELinux FAQ 3 SELinux MLS Multi Level Security MCS Multi Category Security A A B B A $ echo > /tmp/file /tmp/file A B /tmp/file A touch /tmp/ B /tmp/ A DNS DNS IP DNS IP $ nslookup nslookup Web Web 1278

4 4. TOMOYO Linux /etc/resolv.conf /etc/ /etc/nologin /etc/ resolv.conf $ ln /etc/resolv.conf /etc/nologin pam_nologin /etc/nologin /etc/resolv.conf /etc/nologin /etc/yeslogin /etc/yeslogin /etc/shadow /etc/ /etc/shadow /etc/my_shadow $ mv /etc/shadow /etc/my_shadow /etc/my_shadow /etc/ shadow /etc/shadow /etc/ my_shadow /etc/shadow /etc/shadow HTTP Apache Web.htaccess Web HTTP Web index.txt.htaccess Apache HTTP index.txt 1279

conf /etc/nologin /etc/yeslogin /etc/yeslogin /etc/shadow /etc/ /etc/shadow /etc/my_shadow $ mv

5 Linux Web コンテンツを作成する. # echo 'RedirectMatch (.*) \ > /var/www/html/index.txt Web サーバから参照すると Web コンテンツとして認識されている. # curl -I HTTP/ OK Date: Sat, 19 Sep :57:20 GMT Server: Apache/2.2.3 (Red Hat) /var/www/html に.htpasswd ファイルを作成する. # echo 'demo:$apr1$dim11...$yazfoeypoeo/gje2la0wz/' \ > /var/www/html/.htpasswd index.txt という名前で.htpasswd のシンボリックリンクを作成すると.htpasswd の内容が参照できてしまう. # ln -s.htpasswd /var/www/html/index.txt # curl demo:$apr1$dim11...$yazfoeypoeo/gje2la0wz/ Last-Modified: Sat, 19 Sep :57:14 GMT ETag: "f4565-3f-f30c7a80" Accept-Ranges: bytes Content-Length: 63 Connection: close Content-Type: text/plain; charset=utf-8 ファイルの名前を.htaccess にリネームする. # mv /var/www/html/index.txt /var/www/html/.htaccess ファイルの内容は Web コンテンツとしてではなく,Web サーバのアクセス制御情報として解釈され, 悪意あるサーバにリダイレクトされてしまう. # curl -I ssh サーバを起動する際に/etc/shadow を Banner オプションの引数として指定する. # /usr/sbin/sshd -o 'Banner /etc/shadow' Banner オプションの働きにより,ssh クライアントが接続すると, /etc/shadow の内容が表示される. # ssh localhost root:$1$d8kgaex7$pqjeiensgagpw4wwivy0c/:14217:0:99999:7::: ( 中略 ) kumaneko:$1$y1steizv$y59kj5302wpgh9rw8kgu50:14217:0:99999:7::: root@localhost's password: HTTP/ Found Date: Sat, 19 Sep :57:50 GMT Server: Apache/2.2.3 (Red Hat) Location: Connection: close Content-Type: text/html; charset=iso Apache Web FollowSymLinks Web index.txt.htpasswd HTTP.htpasswd SSH OpenSSH /etc/shadow SSH 1280

htpasswd index.txt という名前で.htpasswd のシンボリックリンクを作成すると.htpasswd の内容が参照できてしまう. # ln -s.htpasswd /var/www/html/index.txt # curl http://127.0.0.1/index.txt demo:$apr1$dim11.

6 4. TOMOYO Linux TOMOYO Linux OS TOMOYO Linux TOMOYO Linux BusyBox UNIX BusyBox md5sum cat cat TOMOYO Linux AppArmor TOMOYO Linux -3 TOMOYO Linux -4 LD_PRELOAD LD_LIBRARY_ PATH TOMOYO Linux /bin/sh -c "mail root" LD_ PATH /bin:/usr/bin 1281

TOMOYO Linux -3 TOMOYO Linux -4 LD_PRELOAD LD_LIBRARY_ PATH

7 Linux Linux 3 DAC Discretionary Access Control DAC /sbin/init execute ~ /.ssh/ authorized_keys write SSH DAC TOMOYO Linux DAC ID ID ID TOMOYO Linux ID BusyBox ioctl ioctl ioctl TOMOYO Linux AppArmor TOMOYO Linux SELinux SELinux TOMOYO Linux CGI Web.htaccess TOMOYO Linux TOMOYO Linux SELinux 1282

ID BusyBox ioctl ioctl ioctl TOMOYO Linux AppArmor TOMOYO Linux SELinux

8 4. TOMOYO Linux SELinux SELinux 1 TOMOYO Linux ID ID ID ID ID ID SELinux FAQ Linux 2.6 LSM Linux Security Modules LSM TOMOYO Linux SELinux Smack AppArmor LSM SELinux Smack AppArmor model.html 2 DOD STD Department of Defense Trusted Computer System Evaluation Criteria (Dec. 1985) 3 SELinux FAQ 4 : OS : Linux Linux Conference : TOMOYO Linux 21 ComSys haradats@nttdata.co.jp NTT 2003 handat@intellilink.co.jp NTT 2003 TOMOYO Linux 2009 Linux TOMOYO Linux 1283

jp/security/fy16/reports/access_control/policy_ model.html 2 DOD 5200 28-STD Department of Defense Trusted Computer System Evaluation Criteria (Dec. 1985) http://csrc.

使いこなせて安全なLinuxを目指して

使いこなせて安全なLinuxを目指して haradats@nttdata.co.jp Linux Linux(DAC) 2005/6/2 Copyright (C) 2005 NTT DATA CORPORATION. 1 Linux Linux NO SELinux Yes 2005/6/2 Copyright (C) 2005 NTT DATA CORPORATION. 2 2005/6/2 Copyright (C) 2005 NTT