Linux/SELinux/06 Benutzer

Kapitel 6. Einschränkung von Benutzern

Unter Linux werden Benutzer standardmäßig dem SELinux-Benutzer „unconfined_u“ zugeordnet. Alle von „unconfined_u“ ausgeführten Prozesse befinden sich in der Domäne „unconfined_t“. Das bedeutet, dass Benutzer innerhalb der Grenzen der Standard-DAC-Richtlinie von Linux auf das gesamte System zugreifen können. In Red Hat Enterprise Linux stehen jedoch eine Reihe von eingeschränkten SELinux-Benutzern zur Verfügung. Das bedeutet, dass Benutzer auf einen begrenzten Satz von Fähigkeiten beschränkt werden können. Jeder Linux-Benutzer wird mithilfe der SELinux-Richtlinie einem SELinux-Benutzer zugeordnet, wodurch Linux-Benutzer die für SELinux-Benutzer geltenden Einschränkungen erben können, beispielsweise (je nach Benutzer) die Unfähigkeit:

• das X Window System auszuführen
• Netzwerkfunktionen nutzen
• Setuid-Anwendungen ausführen (es sei denn, die SELinux-Richtlinie erlaubt dies)
• oder die Befehle „su“ und „sudo“ ausführen.

Beispielsweise befinden sich Prozesse, die vom SELinux-Benutzer „user_u“ ausgeführt werden, in der Domäne „user_t“. Solche Prozesse können eine Verbindung zum Netzwerk herstellen, aber nicht die Befehle „su“ oder „sudo“ ausführen. Dies trägt dazu bei, das System vor dem Benutzer zu schützen. Weitere Informationen zu eingeschränkten Benutzern und ihren Fähigkeiten finden Sie in Abschnitt 3.3, „Eingeschränkte und uneingeschränkte Benutzer“, Tabelle 3.1, „SELinux-Benutzerfähigkeiten“.

Zuordnungen zwischen Linux- und SELinux-Benutzern

Geben Sie als root den folgenden Befehl ein, um die Zuordnung zwischen Linux-Benutzern und SELinux-Benutzern anzuzeigen:

sudo semanage login -l

Anmeldename SELinux-Benutzer MLS/MCS-Bereich Dienst

__default__ unconfined_u s0-s0:c0.c1023 *
root unconfined_u s0-s0:c0.c1023 *
system_u system_u s0-s0:c0.c1023 *

In Red Hat Enterprise Linux werden Linux-Benutzer standardmäßig dem SELinux-Login „__default__“ zugeordnet (das wiederum dem SELinux-Benutzer „unconfined_u“ zugeordnet ist). Wenn ein Linux-Benutzer mit dem Befehl „useradd“ erstellt wird und keine Optionen angegeben werden, wird er dem SELinux-Benutzer „unconfined_u“ zugeordnet.

Das Folgende definiert die Standardzuordnung:

__default__ unconfined_u s0-s0:c0.c1023 *

Einschränkung neuer Linux-Benutzer: useradd

Linux-Benutzer, die dem SELinux-Benutzer „unconfined_u“ zugeordnet sind, laufen in der Domäne „unconfined_t“.

Dies lässt sich durch Ausführen des Befehls ‚'id -Z‘' erkennen, während man als Linux-Benutzer angemeldet ist, der ‚'unconfined_u‘' zugeordnet ist:

id -Z
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

Wenn Linux-Benutzer in der Domäne „unconfined_t“ laufen, werden SELinux-Richtlinienregeln angewendet, es gibt jedoch Richtlinienregeln, die Linux-Benutzern in der Domäne „unconfined_t“ nahezu uneingeschränkten Zugriff gewähren. Wenn nicht eingeschränkte Linux-Benutzer eine Anwendung ausführen, für die die SELinux-Richtlinie einen Übergang von der Domäne „unconfined_t“ in ihre eigene eingeschränkte Domäne definiert, unterliegen diese nicht eingeschränkten Linux-Benutzer dennoch den Einschränkungen dieser eingeschränkten Domäne.

Der Sicherheitsvorteil dabei ist, dass, obwohl ein Linux-Benutzer uneingeschränkt arbeitet, die Anwendung eingeschränkt bleibt und somit die Ausnutzung einer Schwachstelle in der Anwendung durch die Richtlinie begrenzt werden kann.

Hinweis

Dies schützt das System nicht vor dem Benutzer. Stattdessen werden der Benutzer und das System vor möglichen Schäden geschützt, die durch eine Schwachstelle in der Anwendung verursacht werden.

Verwenden Sie beim Erstellen von Linux-Benutzern mit dem Befehl „useradd“ die Option „-Z“, um anzugeben, welchem SELinux-Benutzer sie zugeordnet werden sollen. Das folgende Beispiel erstellt einen neuen Linux-Benutzer namens „useruuser“ und ordnet diesen Benutzer dem SELinux-Benutzer „user_u“ zu. Linux-Benutzer, die dem SELinux-Benutzer „user_u“ zugeordnet sind, laufen in der Domäne „user_t“. In dieser Domäne können Linux-Benutzer keine Setuid-Anwendungen ausführen, es sei denn, die SELinux-Richtlinie erlaubt dies (z. B. „passwd“), und sie können den Befehl „su“ oder „sudo“ nicht ausführen, wodurch verhindert wird, dass sie mit diesen Befehlen zum Root-Benutzer werden.

Einen neuen Linux-Benutzer auf den SELinux-Benutzer „user_u“ beschränken

1. Erstellen Sie als Root einen neuen Linux-Benutzer („useruuser“), der dem SELinux-Benutzer „user_u“ zugeordnet ist.

sudo useradd -Z user_u useruuser

1. Um die Zuordnung zwischen „useruuser“ und „user_u“ anzuzeigen, geben Sie als Root den folgenden Befehl ein:

sudo semanage login -l

Anmeldename SELinux-Benutzer MLS/MCS-Bereich Dienst

__default__ unconfined_u s0-s0:c0.c1023 *
root unconfined_u s0-s0:c0.c1023 *

system_u system_u s0-s0:c0.c1023 *

useruuser user_u s0 *

1. Weisen Sie als root dem Linux-Benutzer ‚'useruuser‘' ein Passwort zu:

sudo passwd useruuser
Passwort für Benutzer useruuser ändern.

Neues Passwort: ‚'Geben Sie ein Passwort ein‘'

Neues Passwort erneut eingeben: ‚'Geben Sie dasselbe Passwort erneut ein‘'
passwd: Alle Authentifizierungstoken wurden erfolgreich aktualisiert.

1. Melden Sie sich von Ihrer aktuellen Sitzung ab und melden Sie sich als Linux-Benutzer ‚'useruuser‘' an. Wenn Sie sich anmelden, ordnet das Modul ‚'pam_selinux‘' den Linux-Benutzer einem SELinux-Benutzer zu (in diesem Fall ‚'user_u‘') und richtet den resultierenden SELinux-Kontext ein. Die Shell des Linux-Benutzers wird dann mit diesem Kontext gestartet. Geben Sie den folgenden Befehl ein, um den Kontext eines Linux-Benutzers anzuzeigen:

~]$ id -Z
user_u:user_r:user_t:s0

1. Melden Sie sich von der Sitzung des Linux-Benutzers „useruuser“ ab und melden Sie sich mit Ihrem Konto wieder an. Wenn Sie den Linux-Benutzer „useruuser“ nicht mehr benötigen, geben Sie den folgenden Befehl als Root ein, um ihn zusammen mit seinem Home-Verzeichnis zu entfernen:

sudo userdel -Z -r useruuser

Bestehende Linux-Benutzer einschränken: semanage login

Wenn ein Linux-Benutzer dem SELinux-Benutzer ‚'unconfined_u‘' zugeordnet ist (das Standardverhalten) und Sie ändern möchten, welchem SELinux-Benutzer er zugeordnet ist, verwenden Sie den Befehl ‚'semanage login‘'. Das folgende Beispiel erstellt einen neuen Linux-Benutzer namens ‚'newuser‘' und ordnet diesen Linux-Benutzer dann dem SELinux-Benutzer ‚'user_u‘' zu:

Zuordnung von Linux-Benutzern zu SELinux-Benutzern

1. Erstellen Sie als root einen neuen Linux-Benutzer (‚'newuser‘'). Da für diesen Benutzer die Standardzuordnung gilt, erscheint er nicht in der Ausgabe von ‚'semanage login -l‘':

sudo useradd newuser
sudo semanage login -l

Anmeldename SELinux-Benutzer MLS/MCS-Bereich Dienst

__default__ unconfined_u s0-s0:c0.c1023 *

root unconfined_u s0-s0:c0.c1023 *
system_u system_u s0-s0:c0.c1023 *

1. Um den Linux-Benutzer „newuser“ dem SELinux-Benutzer „user_u“ zuzuordnen, geben Sie als root den folgenden Befehl ein:

sudo semanage login -a -s user_u newuser

Die Option „-a“ fügt einen neuen Eintrag hinzu, und die Option „-s“ gibt den SELinux-Benutzer an, dem ein Linux-Benutzer zugeordnet werden soll. Das letzte Argument, ‚'newuser‘', ist der Linux-Benutzer, den Sie dem angegebenen SELinux-Benutzer zuordnen möchten.

1. Um die Zuordnung zwischen dem Linux-Benutzer ‚'newuser‘' und ‚'user_u‘' anzuzeigen, verwenden Sie erneut das Dienstprogramm ‚'semanage‘':

sudo semanage login -l

Anmeldename SELinux-Benutzer MLS/MCS-Bereich Dienst

__default__ unconfined_u s0-s0:c0.c1023 *
newuser user_u s0 *
root unconfined_u s0-s0:c0.c1023 *
system_u system_u s0-s0:c0.c1023 *

1. Weisen Sie als root dem Linux-Benutzer ‚'newuser‘' ein Passwort zu:

sudo passwd newuser
Passwort für Benutzer newuser ändern.
Neues Passwort: ‚'Geben Sie ein Passwort ein‘'
Neues Passwort erneut eingeben: ‚'Geben Sie dasselbe Passwort erneut ein‘'
passwd: Alle Authentifizierungstoken wurden erfolgreich aktualisiert.

1. Melden Sie sich von Ihrer aktuellen Sitzung ab und melden Sie sich als Linux-Benutzer ‚'newuser‘' an. Geben Sie den folgenden Befehl ein, um den SELinux-Kontext von ‚'newuser‘' anzuzeigen:

id -Z
user_u:user_r:user_t:s0

1. Melden Sie sich von der Sitzung des Linux-Benutzers ‚'newuser‘' ab und melden Sie sich wieder mit Ihrem Konto an. Wenn Sie den Linux-Benutzer ‚'newuser‘' nicht benötigen, geben Sie den folgenden Befehl als root ein, um ihn zusammen mit seinem Home-Verzeichnis zu entfernen:

sudo userdel -r newuser

Entfernen Sie als root die Zuordnung zwischen dem Linux-Benutzer ‚'newuser‘' und ‚'user_u‘':

sudo semanage login -d newuser
sudo semanage login -l

Anmeldename SELinux-Benutzer MLS/MCS-Bereich Dienst

__default__ unconfined_u s0-s0:c0.c1023 *
root unconfined_u s0-s0:c0.c1023 *

system_u system_u s0-s0:c0.c1023 *

Ändern der Standardzuordnung

Unter Linux werden Benutzer standardmäßig dem SELinux-Login „__default__“ zugeordnet (der wiederum dem SELinux-Benutzer „unconfined_u“ zugeordnet ist).

Wenn Sie möchten, dass neue Linux-Benutzer sowie Linux-Benutzer, die nicht ausdrücklich einem SELinux-Benutzer zugeordnet sind, standardmäßig eingeschränkt werden, ändern Sie die Standardzuordnung mit dem Befehl ‚'semanage login‘'. 

Geben Sie beispielsweise als Root den folgenden Befehl ein, um die Standardzuordnung von ‚'unconfined_u‘' auf ‚'user_u‘' zu ändern:

sudo semanage login -m -S targeted -s „user_u“ -r s0 __default__

Überprüfen Sie, ob der ‚'__default__‘'-Login auf ‚'user_u‘' zugeordnet ist:

sudo semanage login -l

Login-Name SELinux-Benutzer MLS/MCS-Bereich Dienst

__default__ user_u s0-s0:c0.c1023 *

root unconfined_u s0-s0:c0.c1023 *
system_u system_u s0-s0:c0.c1023 *

Wenn ein neuer Linux-Benutzer angelegt wird und kein SELinux-Benutzer angegeben ist, oder wenn sich ein bestehender Linux-Benutzer anmeldet und nicht mit einem bestimmten Eintrag aus der Ausgabe von ‚'semanage login -l‘' übereinstimmt, wird er gemäß der ‚'__default__‘'-Anmeldung dem ‚'user_u‘' zugeordnet.

Um zum Standardverhalten zurückzukehren, geben Sie als Root den folgenden Befehl ein, um die Anmeldung „__default__“ dem SELinux-Benutzer „unconfined_u“ zuzuordnen:

sudo semanage login -m -S targeted -s „unconfined_u“ -r s0-s0:c0.c1023 __default__

xguest: Kiosk-Modus

Das xguest-Paket stellt ein Kiosk-Benutzerkonto bereit. Dieses Konto dient zur Sicherung von Rechnern, an denen sich Benutzer spontan anmelden und diese nutzen, wie beispielsweise in Bibliotheken, Banken, Flughäfen, Informationskiosken und Cafés. Das Kiosk-Benutzerkonto ist stark eingeschränkt: Im Wesentlichen erlaubt es einem Benutzer lediglich, sich anzumelden und mit ‚‘'Firefox'‚‘ im Internet zu surfen. Der Gastbenutzer ist ‚'xguest_u‘' zugewiesen, siehe Tabelle 3.1, „SELinux-Benutzerfähigkeiten“. Alle Änderungen, die während der Anmeldung mit diesem Konto vorgenommen werden, wie das Erstellen von Dateien oder das Ändern von Einstellungen, gehen beim Abmelden verloren.

So richten Sie das Kiosk-Konto ein:

1. Installieren Sie als Root das xguest-Paket. Installieren Sie die erforderlichen Abhängigkeiten:

sudo yum install xguest

1. Damit das Kiosk-Konto von verschiedenen Personen genutzt werden kann, ist es nicht passwortgeschützt; daher kann das Konto nur geschützt werden, wenn SELinux im Enforcing-Modus läuft. Bevor Sie sich mit diesem Konto anmelden, überprüfen Sie mit dem Dienstprogramm ‚'getenforce‘', ob SELinux im Enforcing-Modus läuft:

~]$ getenforce

Enforcing Ist dies nicht der Fall, finden Sie in Abschnitt 4.4, „Dauerhafte Änderungen an SELinux-Zuständen und -Modi“, Informationen zum Wechsel in den Enforcing-Modus. Es ist nicht möglich, sich mit diesem Konto anzumelden, wenn SELinux im Permissive-Modus läuft oder deaktiviert ist.

1. Sie können sich nur über den GNOME Display Manager (GDM) bei diesem Konto anmelden. Sobald das xguest-Paket installiert ist, wird dem GDM-Anmeldebildschirm ein „Guest“-Konto hinzugefügt.

Boolesche Werte für Benutzer, die Anwendungen ausführen

Wenn Linux-Benutzern nicht gestattet wird, Anwendungen (die die Berechtigungen der Benutzer erben) in ihren Home-Verzeichnissen und im Verzeichnis „/tmp“ auszuführen, auf das sie Schreibzugriff haben, wird verhindert, dass fehlerhafte oder bösartige Anwendungen Dateien ändern, die den Benutzern gehören.

Es stehen Boolesche Werte zur Verfügung, um dieses Verhalten zu ändern; diese werden mit dem Dienstprogramm „setsebool“ konfiguriert, das als Root ausgeführt werden muss. Der Befehl „setsebool -P“ nimmt dauerhafte Änderungen vor. Verwenden Sie die Option ‚‘-P'‚ nicht, wenn Sie nicht möchten, dass die Änderungen über Neustarts hinweg bestehen bleiben: 

guest_t

Um Linux-Benutzern in der Domäne ‘'guest_t'‚ die Ausführung von Anwendungen in ihren Home-Verzeichnissen und im Verzeichnis ‘'/tmp'‚ zu ‘'verhindern: sudo setsebool -P guest_exec_content off

xguest_t

Um zu ‚'verhindern‘', dass Linux-Benutzer in der ‚'xguest_t‘'-Domäne Anwendungen in ihren Home-Verzeichnissen und in ‚‘/tmp ausführen:

sudo setsebool -P xguest_exec_content off

user_t

Um zu ‚'verhindern‘', dass Linux-Benutzer in der Domäne ‚'user_t‘' Anwendungen in ihren Home-Verzeichnissen und in ‚‘/tmp ausführen: sudo setsebool -P user_exec_content off

staff_t

Um zu ‚'verhindern‘', dass Linux-Benutzer in der Domäne ‚'staff_t‘' Anwendungen in ihren Home-Verzeichnissen und in ‚‘/tmp ausführen: sudo setsebool -P staff_exec_content offUm den Booleschen Wert ‚'staff_exec_content‘' zu aktivieren und Linux-Benutzern in der Domäne ‚'staff_t‘' zu ‚'erlauben‘', Anwendungen in ihren Home-Verzeichnissen und in ‚‘/tmp auszuführen: sudo setsebool -P staff_exec_content on