2013年06月05日
最終更新 2013年06月08日

SELinux の私的メモ

はじめに

# /usr/bin/yum provides /usr/sbin/semanage

# /usr/bin/yum install パッケージ名

SELinux とは

Flask アーキテクチャ

NSA のSELinux サイト

わかりやすい資料

SELinuxを使ってみる入門BoF

強制アクセス制御

ポリシーによるアクセス制御

http://vault.centos.org/6.4/os/Source/SPackages/

rpm2cpio ファイル名 | cpio -id

chcon

restorecon

具体的に見ていく

/usr/sbin/getenforce

$ /usr/sbin/getenforce
Enforcing

/etc/sysconfig/selinux

/etc/selinux/config

$ cat /etc/sysconfig/selinux

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of these two values:
#     targeted - Targeted processes are protected,
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

/var/log/audit/audit.log

auditd

# /etc/init.d/auditd start

# /sbin/chkconfig --level 5 auditd on

普通の作業は普通に実行できる

Apache 2.2.15

$ ps -efZ | grep httpd | grep -v grep
unconfined_u:system_r:httpd_t:s0 root     5883     1  0 11:06 ?        00:00:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   5885  5883  0 11:06 ?        00:00:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   5886  5883  0 11:06 ?        00:00:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   5887  5883  0 11:06 ?        00:00:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   5888  5883  0 11:06 ?        00:00:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   5889  5883  0 11:06 ?        00:00:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   5890  5883  0 11:06 ?        00:00:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   5891  5883  0 11:06 ?        00:00:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   5892  5883  0 11:06 ?        00:00:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   5893  5883  0 11:06 ?        00:00:00 /usr/sbin/httpd

これはポリシー違反となり、次のようなメッセージが出力されました。

(13)Permission denied: make_sock: could not bind to address [::]:8000
(13)Permission denied: make_sock: could not bind to address 0.0.0.0:8000

May 21 23:35:10 CentOS64teresa kernel: type=1400 audit(1369125310.195:5): avc:  denied  
{ name_bind } for  pid=10153 comm="httpd" src=8000 scontext=unconfined_u:system_r:httpd
_t:s0 tcontext=system_u:object_r:soundd_port_t:s0 tclass=tcp_socket

# /usr/sbin/semanage port -l | grep 80

# /usr/sbin/semanage port -l | grep 80 | grep http_port_t
http_port_t                    tcp      80, 443, 488, 8008, 8009, 8443

# semanage port -a -t http_port_t tcp 9000

-Z

#!/bin/bash
echo "Content-type: text/html"
echo ""
echo ""
echo "<html>"
echo "<body>"
echo "Hello, CGI!<br>"
echo "</body>"
echo "</html>"

SELinux ではまらないためには、なるべくシステムの慣習に従って行動するのがコツ

/usr/sbin/getsebool -a

$ /usr/sbin/getsebool -a | grep cgi
git_cgit_read_gitosis_content --> off
httpd_enable_cgi --> on

# /usr/sbin/setsebool -P 名前 on/off

# /usr/sbin/setsebool -P httpd_enable_cgi off

#!/bin/bash
/bin/date >> /tmp/cgi_tmp.txt
echo "Content-type: text/html"
echo ""
echo ""
echo "<html>"
echo "<body>"
echo "file write OK<br>"
echo "</body>"
echo "</html>"

#!/bin/bash
cd /tmp
/usr/bin/wget http://example.com/
echo "Content-type: text/html"
echo ""
echo ""
echo "<html>"
echo "<body>"
echo "wget OK<br>"
echo "</body>"
echo "</html>"

May 24 23:00:16 CentOS64teresa kernel: type=1400 audit(1369368016.429:31135): 
avc:  denied  { name_connect } for  pid=10743 comm="wget" dest=80 scontext=unconfined_
u:system_r:httpd_sys_script_t:s0 tcontext=system_u:object_r:http_port_t:s0 tclass=tcp_socket

man httpd_selinux

# /usr/sbin/setsebool -P httpd_can_network_connect on

May 24 23:09:02 CentOS64teresa kernel: type=1405 audit(1369368542.481:31137): bool=
httpd_can_network_connect val=1 old_val=0 auid=500 ses=5
May 24 23:09:02 CentOS64teresa dbus: avc:  received policyload notice (seqno=2)
May 24 23:09:02 CentOS64teresa dbus: [system] Reloaded configuration
May 24 23:09:02 CentOS64teresa dbus: avc:  received policyload notice (seqno=2)
May 24 23:09:03 CentOS64teresa setsebool: The httpd_can_network_connect policy bool
ean was changed to on by root

man selinux

booleans(8), setsebool(8), selinuxenabled(8), togglesebool(8),
restore-con(8), setfiles(8), ftpd_selinux(8), named_selinux(8),
rsync_selinux(8), httpd_selinux(8), nfs_selinux(8), samba_selinux(8),
kerberos_selinux(8), nis_selinux(8), ypbind_selinux(8)

/var/www/svn/

# mkdir /var/www/svn

# /usr/bin/svnadmin create /var/www/svn/myrepo
# chown -R apache:apache /var/www/svn

# /sbin/restorecon -r /var/www/svn/*

httpd_sys_rw_content_t

Apache が起動している場合は停止
Apache 用WebDAV 拡張のインストール
# yum install mod_dav_svn
BASIC認証用のテスト用ユーザを作成
# htpasswd -c /etc/httpd/conf.d/svn_myrepo.basic svntest
DIGEST認証で作成してしまうと、最近のTortoise SVNは接続できなくなるようです。昔はTortoiseSVN でもDIGEST認証で問題なかったのですが。
Eclipse 等の対応のクライアントからのみ接続するのであれば、パスワードの保護に優れたDIGEST認証でも問題ありません

/etc/httpd/conf.d/subversion.conf を設定

LoadModule dav_svn_module     modules/mod_dav_svn.so
LoadModule authz_svn_module   modules/mod_authz_svn.so

<Location /svn/>
   DAV svn
   SVNListParentPath on
   SVNParentPath /var/www/svn

   AuthType Basic
   AuthName "Authorization Realm"
   AuthUserFile /etc/httpd/conf.d/svn_myrepo.basic
   Require valid-user
</Location>

httpd.conf でInclude conf.d/*.conf となっているので、このファイルは自動的にインクルードされます。

Apache を起動

Oracle11gR2 Express 版

/etc/init.d/oracle-xe configure

/etc/hosts

# rpm -ivh oracle-xe-11.2.0-1.0.x86_64.rpm

# /etc/init.d/oracle-xe configure

# /etc/init.d/oracle-xe stop

# /etc/init.d/oracle-xe start

Java 1.7.0_21

# /bin/ln -s /opt/jdk1.7.0_21 /opt/jdk

/bin/grep -r java *

java_exec_t

SELinux環境でInterstage Application Serverを使用する場合の注意事項について

/etc/selinux/targeted/contexts/files/file_contexts

(1)/usr/(.*/)?bin/java.*     --  system_u:object_r:java_exec_t:s0
(2)/opt/(.*/)?bin/java[^/]*  --  system_u:object_r:java_exec_t:s0

restorecon

(1)/usr/ の下のどこかでbin で終わる名前のディレクトリより下にある、java ではじまるファイル名のもの全て
または
(2)/opt/ の下のどこかでbin で終わる名前のディレクトリ直下にあるjava で始まる名前のファイル全て

/usr と/opt で微妙に正規表現が違います。(1)では/usr/bin/javadir/foo.txt もヒットしてしまうので、foo.txt はjava_exec_t になってしまいます。 (2)ではそのようなことはありません。正規表現で[]カッコの中の「^」はnot の意味になるので、bin の下のサブディレクトリは含まれないことになります。 (2)の正規表現の方がイケてますね。

# /sbin/restorecon -r /opt/jdk1.7.0_21/*

Tomcat v7.0.40

#!/bin/sh
export JAVA_HOME=/opt/jdk
export CATALINA_HOME=/opt/tomcat7
export CATALINA_OPTS="-server -Xmx1024m -XX:MaxPermSize=256m"

行儀がよい

# /sbin/restorecon -r /opt/apache-tomcat-7.0.40/*

javaベースのシステムを動かす場合、デフォルトのSELinux の設定ではあまりセキュリティの向上は見込めないようです

sendmail 8.14.4

SELinux の干渉はありませんでした。問題なく利用できます

ps -eZ | grep sendmail

$ ps -eZ | grep sendmail | grep -v grep
system_u:system_r:sendmail_t:s0  2521 ?        00:00:00 sendmail
system_u:system_r:sendmail_t:s0  2530 ?        00:00:00 sendmail

$ grep -r sendmail /etc/selinux

/etc/mail/sendmail.mc

外部へのメール送信は全て別に設置してあるメール転送サーバへ丸投げするために、次のように修正
```
元: dnl define(`SMART_HOST', `smtp.your.provider')dnl
新: define(`SMART_HOST', `メール転送サーバのFQDN')dnl
```
root のメールもドメインを書き換えたいので次の行はアンコメントアウト
```
元: dnl EXPOSED_USER(`root')dnl
新: EXPOSED_USER(`root')dnl
```

ローカルから送信するメールのFrom のドメイン名が localhost.localdomain のまま出て行かないように次の一連の修正を実施

元: dnl MASQUERADE_AS(`mydomain.com')dnl
新: MASQUERADE_AS(`$w.$m')dnl

次の行はアンコメントアウト

元: dnl FEATURE(masquerade_entire_domain)dnl
新: FEATURE(masquerade_entire_domain)dnl

次の行もアンコメントアウト

元: dnl FEATURE(masquerade_envelope)dnl
新: FEATURE(masquerade_envelope)dnl

IPv4 で25番ポートをLISTEN し、クライアントPC(Windows) からのメール転送要求を受信できるように、次の行を修正
```
元: DAEMON_OPTIONS(`Port=smtp,Addr=127.0.0.1, Name=MTA')dnl
新: DAEMON_OPTIONS(`Port=smtp, Name=MTA')dnl
```

ホスト名とドメイン名を明示的にセットするために、 sendmail.mc ファイル末尾に次の3行を新規に追記

Dwホスト名(wのあとには空白を空けない)
Dmドメイン名(mのあとには空白を空けない)
define(`confDOMAIN_NAME', `$w.$m')

/etc/mail/access

# /etc/init.d/sendmail stop
# cd /etc/mail
# cp sendmail.cf sendmail.cf.backup
# make sendmail.cf
# ls -l
# ls -Z

# /etc/init.d/sendmail start
# tail /var/log/maillog
# ps -eZ | grep sendmail

ファイル操作やバックアップの注意点

mv
mv は特別なオプションなしで、SELinux コンテキストを維持してくれます。問題ありません。
cp
cp は注意が必要です。そのまま使うと、SELinux コンテキストが変わってしまいます。コピー先の親ディレクトリのコンテキストが設定されてしまいます。
日本語のman cp では出てこないのですが、「-c」というオプションが追加されてます。英語のman cp や、cp --help で説明があります。「-c」は「--preserve=context」と同じ意味になります。
カレントディレクトリにあるファイルを全て、コンテキストを維持したままでdir へコピーしたい場合は「cp -pRc * dir/」を実行します。
tar
tar はデフォルトではSELinux コンテキストが維持されません。「--selinux」オプションをつけると維持されます。
tar --selinux -zcvf prj_backup.tgz prj
のように使用します。
dump/restore
dump/restore は特別なオプションなしで、SELinux コンテキストを維持してくれます。問題ありません。
その他、有償のバックアップソリューションを利用する場合は個別に確認が必要となります

作成したjar ファイルをmyjar.jar とします。
myjar.jar のタイプはuser_home_t です。
lib_t タイプのサンプルをコピー
/lib/ にあるほとんどのファイルはlib_t タイプなので、どれか適当なものを作業場所へcp -c でコンテキストを維持してコピーします。
例として、libutil-2.12.so をコピーします
cp -c /lib/libutil-2.12.so .
作成したjar ファイルをコピーしてきたファイルへ上書きコピーします
この時、jar ファイルのコンテキストで上書きしてしまわないように、「-c」はつけません
cp myjar.jar libutil-2.12.so
myjar.jar をいったん削除します
rm myjar.jar
mv でファイル名を変更します
mv libutil-2.12.so myjar.jar
mv はコンテキストを維持するので、myjar.jar のタイプはlibutil-2.12.so と同じlib_t になります。

ブーリアンの例

# /usr/sbin/getsebool -a

allow_daemons_use_tcp_wrapper
allow_smbd_anon_write
allow_ssh_keysign
allow_user_mysql_connect
allow_user_postgresql_connect
allow_ypbind
cron_can_relabel
domain_kernel_load_modules
logging_syslogd_can_sendmail
mozilla_read_content
use_lpd_server
rsync_client
samba_domain_controller
samba_enable_home_dirs
samba_export_all_rw
samba_share_nfs
squid_use_tproxy
ssh_chroot_rw_homedirs
ssh_sysadm_login
user_tcp_server
use_samba_home_dirs
xen_use_nfs
xdm_sysadm_login

結局SELinux で何がうれしいのか

/etc/hosts.{allow|deny}

(参考)認証機能の強化について

Linux のユーザとパスワード

トップページへ戻る