Zum Inhalt springen

Linux/SELinux/02 Kontext: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen VersionsunterschiedZum nächsten Versionsunterschied →

Dirkwagner (Diskussion | Beiträge)

3 Benutzergruppen
150.038 Bearbeitungen
VisuellWikitext
Keine Bearbeitungszusammenfassung
Zeile 1: Zeile 1:
'''SELinux/Contexts'''
'''SELinux/DOC/02 Contexts'''


== Beschreibung ==
== Beschreibung ==
Processes and files are labeled with an SELinux context that contains additional information, such as an SELinux user, role, type, and, optionally, a level.  
Prozesse und Dateien werden mit einem SELinux-Kontext gekennzeichnet, der zusätzliche Informationen enthält, wie beispielsweise einen SELinux-Benutzer, eine Rolle, einen Typ und optional eine Sicherheitsstufe.  
* When running SELinux, all of this information is used to make access control decisions.  
* Bei der Ausführung von SELinux werden all diese Informationen herangezogen, um Entscheidungen zur Zugriffskontrolle zu treffen.  
* In Red Hat Enterprise Linux, SELinux provides a combination of Role-Based Access Control (RBAC), Type Enforcement (TE), and, optionally, Multi-Level Security (MLS).
* In Red Hat Enterprise Linux bietet SELinux eine Kombination aus rollenbasierter Zugriffskontrolle (RBAC), Typdurchsetzung (TE) und optional mehrstufiger Sicherheit (MLS).


The following is an example showing SELinux context.  
Das folgende Beispiel zeigt einen SELinux-Kontext.
* SELinux contexts are used on processes, Linux users, and files, on Linux operating systems that run SELinux.  
* SELinux-Kontexte werden auf Prozessen, Linux-Benutzern und Dateien unter Linux-Betriebssystemen verwendet, auf denen SELinux läuft.
* Use the following command to view the SELinux context of files and directories:
* Verwenden Sie den folgenden Befehl, um den SELinux-Kontext von Dateien und Verzeichnissen anzuzeigen:


  ~ ls -Z file1
  ~ ls -Z file1
  -rwxrw-r-- user1 group1 unconfined_u:object_r:user_home_t:s0 file1
  -rwxrw-r-- user1 group1 unconfined_u:object_r:user_home_t:s0 file1


SELinux contexts follow the ''SELinux user:role:type:level'' syntax.  
SELinux-Kontexte folgen der Syntax „SELinux user:role:type:level“.  


; The fields are as follows:
; Die Felder lauten wie folgt:
{| class="wikitable options big"
{| class="wikitable options big"
! Bestandteil
! Bestandteil
Zeile 22: Zeile 23:
|-
|-
| user
| user
| ''<name>_u''
| ‚‘<name>_u''
| SELinux User.  
| SELinux-Benutzer.  
* Dieser Teil des Kontexts beschreibt die SELinux-Identität eines Subjekts oder Objekts.
* Dieser Teil des Kontexts beschreibt die SELinux-Identität eines Subjekts oder Objekts.
|-
|-
| role
| role
| ''<name>_r''
| ‚‘<name>_r'‚
| SELinux Role.  
| SELinux-Rolle.  
* Sie wird vor allem bei Prozessen und beim Login verwendet und legt fest, welche Domänen einem Subjekt zugeordnet werden dürfen.
* Sie wird vor allem bei Prozessen und beim Login verwendet und legt fest, welche Domänen einem Subjekt zugeordnet werden dürfen.
|-
|-
| type
| type
| ''<name>_t''
| ‘'<name>_t'‚
| SELinux Type - '''der wichtigste Bestandteil''' im Type-Enforcement-Modell.  
| SELinux-Typ – ‘''der wichtigste Bestandteil'‚‘ im Type-Enforcement-Modell.
* Der Typ wird in Zugriffsregeln ausgewertet und '''bestimmt maßgeblich, welche Zugriffe für Prozesse und Objekte erlaubt sind'''.
* Der Typ wird in Zugriffsregeln ausgewertet und ‚‘'bestimmt maßgeblich, welche Zugriffe für Prozesse und Objekte erlaubt sind'‚‘.
|-
|-
| level
| level
| ''s0''
| ‚'s0‘'
| SELinux Level - die Sicherheitsstufe.  
| SELinux-Level – die Sicherheitsstufe.  
* In MLS- oder MCS-Szenarien kann dieser Teil auch einen Bereich mit Kategorien enthalten.  
* In MLS- oder MCS-Szenarien kann dieser Teil auch einen Bereich mit Kategorien enthalten.
* In vielen Standardszenarien erscheint hier einfach ''s0''.
* In vielen Standardszenarien erscheint hier einfach ‚'s0‘'.
|}
|}


; ''SELinux user''
; ‚'SELinux-Benutzer‘'


; The SELinux user identity is an identity known to the policy that is authorized for a specific set of roles, and for a specific MLS/MCS range.  
; Die SELinux-Benutzeridentität ist eine der Richtlinie bekannte Identität, die für eine bestimmte Gruppe von Rollen und für einen bestimmten MLS/MCS-Bereich autorisiert ist.  
* Each Linux user is mapped to an SELinux user using SELinux policy.  
* Jeder Linux-Benutzer wird mithilfe der SELinux-Richtlinie einem SELinux-Benutzer zugeordnet.
* This allows Linux users to inherit the restrictions placed on SELinux users.  
* The mapped SELinux user identity is used in the SELinux context for processes in that session, in order to define what roles and levels they can enter.  
* Dadurch können Linux-Benutzer die für SELinux-Benutzer geltenden Einschränkungen übernehmen.  
* Enter the following command as root to view a list of mappings between SELinux and Linux user accounts (you need to have the policycoreutils-python package installed):  
* Die zugeordnete SELinux-Benutzeridentität wird im SELinux-Kontext für Prozesse in dieser Sitzung verwendet, um zu definieren, welche Rollen und Ebenen sie betreten dürfen.  
 
* Geben Sie den folgenden Befehl als root ein, um eine Liste der Zuordnungen zwischen SELinux- und Linux-Benutzerkonten anzuzeigen (das Paket policycoreutils-python muss installiert sein):
sudo semanage login -l
 
  Login Name SELinux User MLS/MCS Range Service
sudo semanage login -l
  Anmeldename SELinux-Benutzer MLS/MCS-Bereich Dienst
   
   
  __default__ unconfined_u s0-s0:c0.c1023 <nowiki>*</nowiki>
  __default__ unconfined_u s0-s0:c0.c1023 <nowiki>*</nowiki>
  root unconfined_u s0-s0:c0.c1023 <nowiki>*</nowiki>
  root unconfined_u s0-s0:c0.c1023 <nowiki>*</nowiki>
  system_u system_u s0-s0:c0.c1023 <nowiki>*</nowiki>
   
system_u system_u s0-s0:c0.c1023 <nowiki>*</nowiki>


; Output may differ slightly from system to system: * The <tt>Login Name</tt> column lists Linux users.
; Die Ausgabe kann von System zu System leicht abweichen: * Die Spalte <tt>Login Name</tt> listet Linux-Benutzer auf.
* The <tt>SELinux User</tt> column lists which SELinux user the Linux user is mapped to.  
* Die Spalte <tt>SELinux User</tt> listet auf, welchem SELinux-Benutzer der Linux-Benutzer zugeordnet ist.
* For processes, the SELinux user limits which roles and levels are accessible.
* The <tt>MLS/MCS Range</tt> column, is the level used by Multi-Level Security (MLS) and Multi-Category Security (MCS).
* Bei Prozessen legt der SELinux-Benutzer fest, auf welche Rollen und Ebenen zugegriffen werden kann.
* The <tt>Service</tt> column determines the correct SELinux context, in which the Linux user is supposed to be logged in to the system.  
* Die Spalte <tt>MLS/MCS-Bereich</tt> gibt die Ebene an, die von Multi-Level Security (MLS) und Multi-Category Security (MCS) verwendet wird.
* By default, the asterisk (<tt><nowiki>*</nowiki></tt>) character is used, which stands for any service.
* Die Spalte <tt>Dienst</tt> bestimmt den korrekten SELinux-Kontext, in dem der Linux-Benutzer am System angemeldet sein soll.
* Standardmäßig wird das Sternchen (<tt><nowiki>*</nowiki></tt>) verwendet, das für jeden beliebigen Dienst steht.


; ''role''
; ‚'Rolle‘'


; Part of SELinux is the Role-Based Access Control (RBAC) security model.  
; Teil von SELinux ist das Sicherheitsmodell der rollenbasierten Zugriffskontrolle (RBAC).  
* The role is an attribute of RBAC.  
* Die Rolle ist ein Attribut von RBAC.  
* SELinux users are authorized for roles, and roles are authorized for domains.  
* SELinux-Benutzer sind für Rollen autorisiert, und Rollen sind für Domänen autorisiert.
* The role serves as an intermediary between domains and SELinux users.  
* The roles that can be entered determine which domains can be entered; ultimately, this controls which object types can be accessed.  
* Die Rolle dient als Vermittler zwischen Domänen und SELinux-Benutzern.
* This helps reduce vulnerability to privilege escalation attacks.  
* Die Rollen, auf die zugegriffen werden kann, bestimmen, auf welche Domänen zugegriffen werden kann; letztendlich steuert dies, auf welche Objekttypen zugegriffen werden kann.
* Dies trägt dazu bei, die Anfälligkeit für Angriffe zur Rechteausweitung zu verringern.


; ''type''
; ‚'Typ‘'


; The type is an attribute of Type Enforcement.  
; Der Typ ist ein Attribut der Typdurchsetzung.
* The type defines a domain for processes, and a type for files.  
* Der Typ definiert eine Domäne für Prozesse und einen Typ für Dateien.
* SELinux policy rules define how types can access each other, whether it be a domain accessing a type, or a domain accessing another domain.  
* Access is only allowed if a specific SELinux policy rule exists that allows it.  
* SELinux-Richtlinienregeln definieren, wie Typen aufeinander zugreifen können, sei es eine Domäne, die auf einen Typ zugreift, oder eine Domäne, die auf eine andere Domäne zugreift.  
* Zugriff ist nur erlaubt, wenn eine spezifische SELinux-Richtlinienregel existiert, die dies zulässt.  


; ''level''
; ‚'level‘'


; The level is an attribute of MLS and MCS.  
; Die Stufe ist ein Attribut von MLS und MCS.  
* An MLS range is a pair of levels, written as ''lowlevel-highlevel'' if the levels differ, or ''lowlevel'' if the levels are identical (<tt>s0-s0</tt> is the same as <tt>s0</tt>).  
* Ein MLS-Bereich ist ein Paar von Stufen, das als ‚'lowlevel-highlevel‘' geschrieben wird, wenn sich die Stufen unterscheiden, oder als ‚'lowlevel‘', wenn die Stufen identisch sind (<tt>s0-s0</tt> entspricht <tt>s0</tt>).
* Each level is a sensitivity-category pair, with categories being optional.  
* If there are categories, the level is written as ''sensitivity:category-set''.  
* Jede Stufe ist ein Paar aus Sensitivitätsstufe und Kategorie, wobei Kategorien optional sind.  
* If there are no categories, it is written as ''sensitivity''.  
* Wenn Kategorien vorhanden sind, wird die Stufe als ‚'Sensitivitätsstufe:Kategoriengruppe‘' geschrieben.  
* Wenn keine Kategorien vorhanden sind, wird sie als ‚'Sensitivitätsstufe‘' geschrieben.  


; If the category set is a contiguous series, it can be abbreviated.  
; Wenn die Kategoriengruppe eine zusammenhängende Reihe ist, kann sie abgekürzt werden.  
* For example, <tt>c0.c3</tt> is the same as <tt>c0,c1,c2,c3</tt>.  
* Beispielsweise entspricht <tt>c0.c3</tt> dem Ausdruck <tt>c0,c1,c2,c3</tt>.  
* The <tt>/etc/selinux/targeted/setrans.conf</tt> file maps levels (<tt>s0:c0</tt>) to human-readable form (that is <tt>CompanyConfidential</tt>).  
* Die Datei <tt>/etc/selinux/targeted/setrans.conf</tt> ordnet Stufen (<tt>s0:c0</tt>) einer für Menschen lesbaren Form zu (nämlich <tt>CompanyConfidential</tt>).
* In Red&nbsp;Hat&nbsp;Enterprise&nbsp;Linux, targeted policy enforces MCS, and in MCS, there is just one sensitivity, <tt>s0</tt>.  
* MCS in Red&nbsp;Hat&nbsp;Enterprise&nbsp;Linux supports 1024 different categories: <tt>c0</tt> through to <tt>c1023</tt>. <tt>s0-s0:c0.c1023</tt> is sensitivity <tt>s0</tt> and authorized for all categories.  
* In Red Hat Enterprise Linux setzt die gezielte Richtlinie MCS durch, und in MCS gibt es nur eine Sensitivitätsstufe, <tt>s0</tt>.
* MCS in Red Hat Enterprise Linux unterstützt 1024 verschiedene Kategorien: <tt>c0</tt> bis <tt>c1023</tt>. <tt>s0-s0:c0.c1023</tt> entspricht der Sensitivitätsstufe <tt>s0</tt> und ist für alle Kategorien autorisiert.


; MLS enforces the Bell-La Padula Mandatory Access Model, and is used in Labeled Security Protection Profile (LSPP) environments.  
; MLS setzt das Bell-La-Padula-Modell für zwingenden Zugriff durch und wird in LSPP-Umgebungen (Labeled Security Protection Profile) verwendet.  
* To use MLS restrictions, install the selinux-policy-mls package, and configure MLS to be the default SELinux policy.  
* Um MLS-Einschränkungen zu nutzen, installieren Sie das Paket selinux-policy-mls und konfigurieren Sie MLS als Standard-SELinux-Richtlinie.
* The MLS policy shipped with Red&nbsp;Hat&nbsp;Enterprise&nbsp;Linux omits many program domains that were not part of the evaluated configuration, and therefore, MLS on a desktop workstation is unusable (no support for the X Window System); however, an MLS policy from the upstream SELinux Reference Policy can be built that includes all program domains.  
* For more information on MLS configuration, see [https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html-single/selinux_users_and_administrators_guide/index#mls Section 4.13, “Multi-Level Security (MLS)”].
* Die mit Red Hat Enterprise Linux gelieferte MLS-Richtlinie lässt viele Programmdomänen außer Acht, die nicht Teil der evaluierten Konfiguration waren, weshalb MLS auf einer Desktop-Workstation unbrauchbar ist (keine Unterstützung für das X Window System); es kann jedoch eine MLS-Richtlinie aus der vorgelagerten SELinux-Referenzrichtlinie erstellt werden, die alle Programmdomänen enthält.
* Weitere Informationen zur MLS-Konfiguration finden Sie unter [https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html-single/selinux_users_and_administrators_guide/index#mls Abschnitt 4.13, „Multi-Level Security (MLS)“].


== Domain Transitions ==
== Domänenübergänge ==
# [https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html-single/selinux_users_and_administrators_guide/index#sect-Security-Enhanced_Linux-SELinux_Contexts-Domain_Transitions 2.1. Domain Transitions]
# [https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html-single/selinux_users_and_administrators_guide/index#sect-Security-Enhanced_Linux-SELinux_Contexts-Domain_Transitions 2.1. Domänenübergänge]


A process in one domain transitions to another domain by executing an application that has the <tt>entrypoint</tt> type for the new domain.  
Ein Prozess in einer Domäne wechselt in eine andere Domäne, indem er eine Anwendung ausführt, die den Typ <tt>entrypoint</tt> für die neue Domäne hat.  
* The <tt>entrypoint</tt> permission is used in SELinux policy and controls which applications can be used to enter a domain.  
* Die Berechtigung <tt>entrypoint</tt> wird in der SELinux-Richtlinie verwendet und steuert, welche Anwendungen zum Betreten einer Domäne verwendet werden können.  
* The following example demonstrates a domain transition:
* Das folgende Beispiel veranschaulicht einen Domänenwechsel:


'''Procedure&nbsp;2.1.&nbsp;An Example of a Domain Transition'''
‚‘'Vorgehensweise 2.1. Ein Beispiel für einen Domänenübergang'‚‘
# A user wants to change their password.  
# Ein Benutzer möchte sein Passwort ändern.  
* To do this, they run the <tt>passwd</tt> utility.  
* Dazu führt er das Dienstprogramm <tt>passwd</tt> aus.  
* The <tt>/usr/bin/passwd</tt> executable is labeled with the <tt>passwd_exec_t</tt> type: <br/>
* Die ausführbare Datei <tt>/usr/bin/passwd</tt> ist mit dem Typ <tt>passwd_exec_t</tt> gekennzeichnet: <br/>
~ ls -Z /usr/bin/passwd<br/>-rwsr-xr-x root root system_u:object_r:passwd_exec_t:s0 /usr/bin/passwd<br/>The <tt>passwd</tt> utility accesses <tt>/etc/shadow</tt>, which is labeled with the <tt>shadow_t</tt> type: <br/>
~ ls -Z /usr/bin/passwd<br/> -rwsr-xr-x root root system_u:object_r:passwd_exec_t:s0 /usr/bin/passwd<br/>Das Dienstprogramm <tt>passwd</tt> greift auf <tt>/etc/shadow</tt> zu, das mit dem Typ <tt>shadow_t</tt> gekennzeichnet ist: <br/>
~ ls -Z /etc/shadow<br/>-r--------.  
~ ls -Z /etc/shadow<br/>-r--------.  
* root root system_u:object_r:shadow_t:s0 /etc/shadow<br/>
* root root system_u:object_r:shadow_t:s0 /etc/shadow<br/>


# An SELinux policy rule states that processes running in the <tt>passwd_t</tt> domain are allowed to read and write to files labeled with the <tt>shadow_t</tt> type.  
# Eine SELinux-Richtlinienregel besagt, dass Prozesse, die in der <tt>passwd_t</tt>-Domäne laufen, Dateien lesen und schreiben dürfen, die mit dem Typ <tt>shadow_t</tt> gekennzeichnet sind.
* The <tt>shadow_t</tt> type is only applied to files that are required for a password change.  
* This includes <tt>/etc/gshadow</tt>, <tt>/etc/shadow</tt>, and their backup files.
* Der Typ <tt>shadow_t</tt> wird nur auf Dateien angewendet, die für eine Passwortänderung erforderlich sind.  
# An SELinux policy rule states that the <tt>passwd_t</tt> domain has its <tt>entrypoint</tt> permission set to the <tt>passwd_exec_t</tt> type.
* Dazu gehören <tt>/etc/gshadow</tt>, <tt>/etc/shadow</tt> und deren Sicherungsdateien.
# When a user runs the <tt>passwd</tt> utility, the user's shell process transitions to the <tt>passwd_t</tt> domain.  
# Eine SELinux-Richtlinienregel besagt, dass für die <tt>passwd_t</tt>-Domäne die <tt>entrypoint</tt>-Berechtigung auf den Typ <tt>passwd_exec_t</tt> gesetzt ist.
* With SELinux, since the default action is to deny, and a rule exists that allows (among other things) applications running in the <tt>passwd_t</tt> domain to access files labeled with the <tt>shadow_t</tt> type, the <tt>passwd</tt> application is allowed to access <tt>/etc/shadow</tt>, and update the user's password.
# Wenn ein Benutzer das Dienstprogramm <tt>passwd</tt> ausführt, wechselt der Shell-Prozess des Benutzers in die <tt>passwd_t</tt>-Domäne.
* Da bei SELinux die Standardaktion „Verweigern“ ist und eine Regel existiert, die (unter anderem) Anwendungen, die in der <tt>passwd_t</tt>-Domäne laufen, den Zugriff auf Dateien mit dem Typ <tt>shadow_t</tt> erlaubt, darf die <tt>passwd</tt>-Anwendung auf <tt>/etc/shadow</tt> zugreifen und das Passwort des Benutzers aktualisieren.


This example is not exhaustive, and is used as a basic example to explain domain transition.  
Dieses Beispiel ist nicht erschöpfend und dient als grundlegendes Beispiel zur Erläuterung des Domänenwechsels.  
* Although there is an actual rule that allows subjects running in the <tt>passwd_t</tt> domain to access objects labeled with the <tt>shadow_t</tt> file type, other SELinux policy rules must be met before the subject can transition to a new domain.  
* Obwohl es eine tatsächliche Regel gibt, die es Subjekten, die in der <tt>passwd_t</tt>-Domäne laufen, erlaubt, auf Objekte zuzugreifen, die mit dem Dateityp <tt>shadow_t</tt> gekennzeichnet sind, müssen andere SELinux-Richtlinienregeln erfüllt sein, bevor das Subjekt in eine neue Domäne wechseln kann.
* In this example, Type Enforcement ensures: * The <tt>passwd_t</tt> domain can only be entered by executing an application labeled with the <tt>passwd_exec_t</tt> type; can only execute from authorized shared libraries, such as the <tt>lib_t</tt> type; and cannot execute any other applications.
* Only authorized domains, such as <tt>passwd_t</tt>, can write to files labeled with the <tt>shadow_t</tt> type.  
* In diesem Beispiel stellt die Typdurchsetzung Folgendes sicher: * Die <tt>passwd_t</tt>-Domäne kann nur durch die Ausführung einer Anwendung betreten werden, die mit dem Typ <tt>passwd_exec_t</tt> gekennzeichnet ist; sie darf nur aus autorisierten gemeinsam genutzten Bibliotheken, wie z. B. dem Typ <tt>lib_t</tt>, ausführen; und sie darf keine anderen Anwendungen ausführen.
* Even if other processes are running with superuser privileges, those processes cannot write to files labeled with the <tt>shadow_t</tt> type, as they are not running in the <tt>passwd_t</tt> domain.
* Nur autorisierte Domänen, wie z. B. <tt>passwd_t</tt>, können in Dateien schreiben, die mit dem Typ <tt>shadow_t</tt> gekennzeichnet sind.  
* Only authorized domains can transition to the <tt>passwd_t</tt> domain.  
* Selbst wenn andere Prozesse mit Superuser-Rechten laufen, können diese Prozesse nicht in Dateien schreiben, die mit dem Typ <tt>shadow_t</tt> gekennzeichnet sind, da sie nicht in der Domäne <tt>passwd_t</tt> laufen.
* For example, the <tt>sendmail</tt> process running in the <tt>sendmail_t</tt> domain does not have a legitimate reason to execute <tt>passwd</tt><nowiki>; therefore, it can never transition to the </nowiki><tt>passwd_t</tt> domain.
* Nur autorisierte Domänen können in die <tt>passwd_t</tt>-Domäne wechseln.  
* Processes running in the <tt>passwd_t</tt> domain can only read and write to authorized types, such as files labeled with the <tt>etc_t</tt> or <tt>shadow_t</tt> types.  
* Beispielsweise hat der in der <tt>sendmail_t</tt>-Domäne laufende <tt>sendmail</tt>-Prozess keinen legitimen Grund, <tt>passwd</tt><nowiki> auszuführen; daher kann er niemals in die </nowiki><tt>passwd_t</tt>-Domäne wechseln.
* This prevents the <tt>passwd</tt> application from being tricked into reading or writing arbitrary files.
* Prozesse, die in der <tt>passwd_t</tt>-Domäne laufen, können nur auf autorisierte Typen lesen und schreiben, wie z. B. Dateien, die mit den Typen <tt>etc_t</tt> oder <tt>shadow_t</tt> gekennzeichnet sind.  
* Dies verhindert, dass die <tt>passwd</tt>-Anwendung dazu verleitet wird, beliebige Dateien zu lesen oder zu schreiben.


== SELinux Contexts for Processes] ==
== SELinux-Kontexte für Prozesse] ==
# [https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html-single/selinux_users_and_administrators_guide/index#sect-Security-Enhanced_Linux-SELinux_Contexts-SELinux_Contexts_for_Processes 2.2. SELinux Contexts for Processes]
# [https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html-single/selinux_users_and_administrators_guide/index#sect-Security-Enhanced_Linux-SELinux_Contexts-SELinux_Contexts_for_Processes 2.2. SELinux-Kontexte für Prozesse]


Use the <tt>ps -eZ</tt> command to view the SELinux context for processes.  
Verwenden Sie den Befehl <tt>ps -eZ</tt>, um den SELinux-Kontext für Prozesse anzuzeigen.  


For example:
Beispiel:
'''Procedure&nbsp;2.2.&nbsp;View the SELinux Context for the <tt>passwd</tt> Utility'''# Open a terminal, such as '''Applications''' → '''System Tools''' → '''Terminal'''.
‚‘'Vorgehensweise 2.2. Anzeigen des SELinux-Kontexts für das Dienstprogramm <tt>passwd</tt>‚‘'# Öffnen Sie ein Terminal, z. B. über ‚‘'Anwendungen'‚‘ → ‚‘'Systemwerkzeuge'‚‘ → ‚‘'Terminal'‚‘ .
# Run the <tt>passwd</tt> utility.  
# Führen Sie das Dienstprogramm <tt>passwd</tt> aus.
* Do not enter a new password: <br/>~ passwd<br/>Changing password for user ''user_name''.<br/>Changing password for ''user_name''.<br/>(current) UNIX password:
* Geben Sie kein neues Passwort ein: <br/>~ passwd<br/>Passwort für Benutzer ‚'user_name‘' ändern.<br/>Passwort für ‚'user_name‘' ändern.<br/>(aktuelles) UNIX-Passwort:
# Open a new tab, or another terminal, and enter the following command.  
# Öffnen Sie einen neuen Tab oder ein weiteres Terminal und geben Sie den folgenden Befehl ein.
* The output is similar to the following: <br/>~ ps -eZ | grep passwd<br/>unconfined_u:unconfined_r:passwd_t:s0-s0:c0.c1023 13212 pts/1 00:00:00 passwd
# In the first tab/terminal, press <tt>'''Ctrl+C'''</tt> to cancel the <tt>passwd</tt> utility.
* Die Ausgabe sieht in etwa wie folgt aus: <br/>~ ps -eZ | grep passwd<br/>unconfined_u:unconfined_r:passwd_t:s0-s0:c0.c1023 13212 pts/1 00:00:00 passwd
# Drücken Sie im ersten Tab/Terminal <tt>‚‘'Strg+C'‚‘</tt>, um das Dienstprogramm <tt>passwd</tt> abzubrechen.


In this example, when the <tt>passwd</tt> utility (labeled with the <tt>passwd_exec_t</tt> type) is executed, the user's shell process transitions to the <tt>passwd_t</tt> domain.  
In diesem Beispiel wechselt der Shell-Prozess des Benutzers in die Domäne <tt>passwd_t</tt>, wenn das Dienstprogramm <tt>passwd</tt> (mit dem Typ <tt>passwd_exec_t</tt> gekennzeichnet) ausgeführt wird.  
* Remember that the type defines a domain for processes, and a type for files.
* Beachten Sie, dass der Typ eine Domäne für Prozesse und einen Typ für Dateien definiert.


To view the SELinux contexts for all running processes, run the <tt>ps</tt> utility again.  
Um die SELinux-Kontexte aller laufenden Prozesse anzuzeigen, führen Sie das Dienstprogramm <tt>ps</tt> erneut aus.  


Note that below is a truncated example of the output, and may differ on your system:
Beachten Sie, dass es sich bei der folgenden Ausgabe um ein gekürztes Beispiel handelt, das auf Ihrem System abweichen kann:
  ps -eZ
  ps -eZ
  system_u:system_r:dhcpc_t:s0 1869 ? 00:00:00 dhclient
  system_u:system_r:dhcpc_t:s0 1869 ? 00:00:00 dhclient
Zeile 159: Zeile 177:
  system_u:system_r:crond_t:s0-s0:c0.c1023 1991 ? 00:00:00 atd
  system_u:system_r:crond_t:s0-s0:c0.c1023 1991 ? 00:00:00 atd


The <tt>system_r</tt> role is used for system processes, such as daemons.  
Die Rolle <tt>system_r</tt> wird für Systemprozesse wie Daemons verwendet.  
* Type Enforcement then separates each domain.
* Type Enforcement trennt dann jede Domäne.


== Contexts for Users ==
== Kontexte für Benutzer ==
# [https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html-single/selinux_users_and_administrators_guide/index#sect-Security-Enhanced_Linux-SELinux_Contexts-SELinux_Contexts_for_Users 2.3. SELinux Contexts for Users]
# [https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html-single/selinux_users_and_administrators_guide/index#sect-Security-Enhanced_Linux-SELinux_Contexts-SELinux_Contexts_for_Users 2.3. SELinux-Kontexte für Benutzer]


Use the following command to view the SELinux context associated with your Linux user:
Verwenden Sie den folgenden Befehl, um den SELinux-Kontext anzuzeigen, der Ihrem Linux-Benutzer zugeordnet ist:
  ~ id -Z
  ~ id -Z
  unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
  unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023


In Red&nbsp;Hat&nbsp;Enterprise&nbsp;Linux, Linux users run unconfined by default.  
Unter Red Hat Enterprise Linux laufen Linux-Benutzer standardmäßig in der unconfined-Rolle.  
* This SELinux context shows that the Linux user is mapped to the SELinux <tt>unconfined_u</tt> user, running as the <tt>unconfined_r</tt> role, and is running in the <tt>unconfined_t</tt> domain. <tt>s0-s0</tt> is an MLS range, which in this case, is the same as just <tt>s0</tt>.  
* Dieser SELinux-Kontext zeigt, dass der Linux-Benutzer dem SELinux-Benutzer <tt>unconfined_u</tt> zugeordnet ist, in der Rolle <tt>unconfined_r</tt> läuft und in der Domäne <tt>unconfined_t</tt> ausgeführt wird. <tt>s0-s0</tt> ist ein MLS-Bereich, der in diesem Fall mit <tt>s0</tt> identisch ist.  
* The categories the user has access to is defined by <tt>c0.c1023</tt>, which is all categories (<tt>c0</tt> through to <tt>c1023</tt>).
* Die Kategorien, auf die der Benutzer Zugriff hat, werden durch <tt>c0.c1023</tt> definiert, was alle Kategorien (<tt>c0</tt> bis <tt>c1023</tt>) umfasst.


== Links ==
== Links ==
# [https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html-single/selinux_users_and_administrators_guide/index#chap-Security-Enhanced_Linux-SELinux_Contexts Chapter 2. SELinux Contexts]
# [https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html-single/selinux_users_and_administrators_guide/index#chap-Security-Enhanced_Linux-SELinux_Contexts Kapitel 2. SELinux-Kontexte]


[[Kategorie:SELinux/DOC]]
[[Kategorie:SELinux/DOC]]

Version vom 21. März 2026, 11:01 Uhr

SELinux/DOC/02 Contexts

Beschreibung

Prozesse und Dateien werden mit einem SELinux-Kontext gekennzeichnet, der zusätzliche Informationen enthält, wie beispielsweise einen SELinux-Benutzer, eine Rolle, einen Typ und optional eine Sicherheitsstufe.

  • Bei der Ausführung von SELinux werden all diese Informationen herangezogen, um Entscheidungen zur Zugriffskontrolle zu treffen.
  • In Red Hat Enterprise Linux bietet SELinux eine Kombination aus rollenbasierter Zugriffskontrolle (RBAC), Typdurchsetzung (TE) und optional mehrstufiger Sicherheit (MLS).

Das folgende Beispiel zeigt einen SELinux-Kontext.

  • SELinux-Kontexte werden auf Prozessen, Linux-Benutzern und Dateien unter Linux-Betriebssystemen verwendet, auf denen SELinux läuft.
  • Verwenden Sie den folgenden Befehl, um den SELinux-Kontext von Dateien und Verzeichnissen anzuzeigen:
~ ls -Z file1
-rwxrw-r-- user1 group1 unconfined_u:object_r:user_home_t:s0 file1

SELinux-Kontexte folgen der Syntax „SELinux user:role:type:level“.

Die Felder lauten wie folgt
Bestandteil Beispiel Beschreibung
user ‚‘<name>_u SELinux-Benutzer.
  • Dieser Teil des Kontexts beschreibt die SELinux-Identität eines Subjekts oder Objekts.
role ‚‘<name>_r'‚ SELinux-Rolle.
  • Sie wird vor allem bei Prozessen und beim Login verwendet und legt fest, welche Domänen einem Subjekt zugeordnet werden dürfen.
type ‘'<name>_t'‚ SELinux-Typ – ‘der wichtigste Bestandteil'‚‘ im Type-Enforcement-Modell.
  • Der Typ wird in Zugriffsregeln ausgewertet und ‚‘'bestimmt maßgeblich, welche Zugriffe für Prozesse und Objekte erlaubt sind'‚‘.
level ‚'s0‘' SELinux-Level – die Sicherheitsstufe.
  • In MLS- oder MCS-Szenarien kann dieser Teil auch einen Bereich mit Kategorien enthalten.
  • In vielen Standardszenarien erscheint hier einfach ‚'s0‘'.
‚'SELinux-Benutzer‘'
Die SELinux-Benutzeridentität ist eine der Richtlinie bekannte Identität, die für eine bestimmte Gruppe von Rollen und für einen bestimmten MLS/MCS-Bereich autorisiert ist.
  • Jeder Linux-Benutzer wird mithilfe der SELinux-Richtlinie einem SELinux-Benutzer zugeordnet.
  • Dadurch können Linux-Benutzer die für SELinux-Benutzer geltenden Einschränkungen übernehmen.
  • Die zugeordnete SELinux-Benutzeridentität wird im SELinux-Kontext für Prozesse in dieser Sitzung verwendet, um zu definieren, welche Rollen und Ebenen sie betreten dürfen.
  • Geben Sie den folgenden Befehl als root ein, um eine Liste der Zuordnungen zwischen SELinux- und Linux-Benutzerkonten anzuzeigen (das Paket policycoreutils-python muss installiert sein):

sudo semanage login -l 

Anmeldename SELinux-Benutzer MLS/MCS-Bereich Dienst

__default__ unconfined_u s0-s0:c0.c1023 *
root unconfined_u s0-s0:c0.c1023 *

system_u system_u s0-s0:c0.c1023 *

Die Ausgabe kann von System zu System leicht abweichen
* Die Spalte Login Name listet Linux-Benutzer auf.
  • Die Spalte SELinux User listet auf, welchem SELinux-Benutzer der Linux-Benutzer zugeordnet ist.
  • Bei Prozessen legt der SELinux-Benutzer fest, auf welche Rollen und Ebenen zugegriffen werden kann.
  • Die Spalte MLS/MCS-Bereich gibt die Ebene an, die von Multi-Level Security (MLS) und Multi-Category Security (MCS) verwendet wird.
  • Die Spalte Dienst bestimmt den korrekten SELinux-Kontext, in dem der Linux-Benutzer am System angemeldet sein soll.
  • Standardmäßig wird das Sternchen (*) verwendet, das für jeden beliebigen Dienst steht.
‚'Rolle‘'
Teil von SELinux ist das Sicherheitsmodell der rollenbasierten Zugriffskontrolle (RBAC).
  • Die Rolle ist ein Attribut von RBAC.
  • SELinux-Benutzer sind für Rollen autorisiert, und Rollen sind für Domänen autorisiert.
  • Die Rolle dient als Vermittler zwischen Domänen und SELinux-Benutzern.
  • Die Rollen, auf die zugegriffen werden kann, bestimmen, auf welche Domänen zugegriffen werden kann; letztendlich steuert dies, auf welche Objekttypen zugegriffen werden kann.
  • Dies trägt dazu bei, die Anfälligkeit für Angriffe zur Rechteausweitung zu verringern.
‚'Typ‘'
Der Typ ist ein Attribut der Typdurchsetzung.
  • Der Typ definiert eine Domäne für Prozesse und einen Typ für Dateien.
  • SELinux-Richtlinienregeln definieren, wie Typen aufeinander zugreifen können, sei es eine Domäne, die auf einen Typ zugreift, oder eine Domäne, die auf eine andere Domäne zugreift.
  • Zugriff ist nur erlaubt, wenn eine spezifische SELinux-Richtlinienregel existiert, die dies zulässt.
‚'level‘'
Die Stufe ist ein Attribut von MLS und MCS.
  • Ein MLS-Bereich ist ein Paar von Stufen, das als ‚'lowlevel-highlevel‘' geschrieben wird, wenn sich die Stufen unterscheiden, oder als ‚'lowlevel‘', wenn die Stufen identisch sind (s0-s0 entspricht s0).
  • Jede Stufe ist ein Paar aus Sensitivitätsstufe und Kategorie, wobei Kategorien optional sind.
  • Wenn Kategorien vorhanden sind, wird die Stufe als ‚'Sensitivitätsstufe:Kategoriengruppe‘' geschrieben.
  • Wenn keine Kategorien vorhanden sind, wird sie als ‚'Sensitivitätsstufe‘' geschrieben.
Wenn die Kategoriengruppe eine zusammenhängende Reihe ist, kann sie abgekürzt werden.
  • Beispielsweise entspricht c0.c3 dem Ausdruck c0,c1,c2,c3.
  • Die Datei /etc/selinux/targeted/setrans.conf ordnet Stufen (s0:c0) einer für Menschen lesbaren Form zu (nämlich CompanyConfidential).
  • In Red Hat Enterprise Linux setzt die gezielte Richtlinie MCS durch, und in MCS gibt es nur eine Sensitivitätsstufe, s0.
  • MCS in Red Hat Enterprise Linux unterstützt 1024 verschiedene Kategorien: c0 bis c1023. s0-s0:c0.c1023 entspricht der Sensitivitätsstufe s0 und ist für alle Kategorien autorisiert.
MLS setzt das Bell-La-Padula-Modell für zwingenden Zugriff durch und wird in LSPP-Umgebungen (Labeled Security Protection Profile) verwendet.
  • Um MLS-Einschränkungen zu nutzen, installieren Sie das Paket selinux-policy-mls und konfigurieren Sie MLS als Standard-SELinux-Richtlinie.
  • Die mit Red Hat Enterprise Linux gelieferte MLS-Richtlinie lässt viele Programmdomänen außer Acht, die nicht Teil der evaluierten Konfiguration waren, weshalb MLS auf einer Desktop-Workstation unbrauchbar ist (keine Unterstützung für das X Window System); es kann jedoch eine MLS-Richtlinie aus der vorgelagerten SELinux-Referenzrichtlinie erstellt werden, die alle Programmdomänen enthält.

Domänenübergänge

  1. 2.1. Domänenübergänge

Ein Prozess in einer Domäne wechselt in eine andere Domäne, indem er eine Anwendung ausführt, die den Typ entrypoint für die neue Domäne hat.

  • Die Berechtigung entrypoint wird in der SELinux-Richtlinie verwendet und steuert, welche Anwendungen zum Betreten einer Domäne verwendet werden können.
  • Das folgende Beispiel veranschaulicht einen Domänenwechsel:

‚‘'Vorgehensweise 2.1. Ein Beispiel für einen Domänenübergang'‚‘

  1. Ein Benutzer möchte sein Passwort ändern.
  • Dazu führt er das Dienstprogramm passwd aus.
  • Die ausführbare Datei /usr/bin/passwd ist mit dem Typ passwd_exec_t gekennzeichnet:

~ ls -Z /usr/bin/passwd
-rwsr-xr-x root root system_u:object_r:passwd_exec_t:s0 /usr/bin/passwd
Das Dienstprogramm passwd greift auf /etc/shadow zu, das mit dem Typ shadow_t gekennzeichnet ist:
~ ls -Z /etc/shadow
-r--------.

  • root root system_u:object_r:shadow_t:s0 /etc/shadow
  1. Eine SELinux-Richtlinienregel besagt, dass Prozesse, die in der passwd_t-Domäne laufen, Dateien lesen und schreiben dürfen, die mit dem Typ shadow_t gekennzeichnet sind.
  • Der Typ shadow_t wird nur auf Dateien angewendet, die für eine Passwortänderung erforderlich sind.
  • Dazu gehören /etc/gshadow, /etc/shadow und deren Sicherungsdateien.
  1. Eine SELinux-Richtlinienregel besagt, dass für die passwd_t-Domäne die entrypoint-Berechtigung auf den Typ passwd_exec_t gesetzt ist.
  2. Wenn ein Benutzer das Dienstprogramm passwd ausführt, wechselt der Shell-Prozess des Benutzers in die passwd_t-Domäne.
  • Da bei SELinux die Standardaktion „Verweigern“ ist und eine Regel existiert, die (unter anderem) Anwendungen, die in der passwd_t-Domäne laufen, den Zugriff auf Dateien mit dem Typ shadow_t erlaubt, darf die passwd-Anwendung auf /etc/shadow zugreifen und das Passwort des Benutzers aktualisieren.

Dieses Beispiel ist nicht erschöpfend und dient als grundlegendes Beispiel zur Erläuterung des Domänenwechsels.

  • Obwohl es eine tatsächliche Regel gibt, die es Subjekten, die in der passwd_t-Domäne laufen, erlaubt, auf Objekte zuzugreifen, die mit dem Dateityp shadow_t gekennzeichnet sind, müssen andere SELinux-Richtlinienregeln erfüllt sein, bevor das Subjekt in eine neue Domäne wechseln kann.
  • In diesem Beispiel stellt die Typdurchsetzung Folgendes sicher: * Die passwd_t-Domäne kann nur durch die Ausführung einer Anwendung betreten werden, die mit dem Typ passwd_exec_t gekennzeichnet ist; sie darf nur aus autorisierten gemeinsam genutzten Bibliotheken, wie z. B. dem Typ lib_t, ausführen; und sie darf keine anderen Anwendungen ausführen.
  • Nur autorisierte Domänen, wie z. B. passwd_t, können in Dateien schreiben, die mit dem Typ shadow_t gekennzeichnet sind.
  • Selbst wenn andere Prozesse mit Superuser-Rechten laufen, können diese Prozesse nicht in Dateien schreiben, die mit dem Typ shadow_t gekennzeichnet sind, da sie nicht in der Domäne passwd_t laufen.
  • Nur autorisierte Domänen können in die passwd_t-Domäne wechseln.
  • Beispielsweise hat der in der sendmail_t-Domäne laufende sendmail-Prozess keinen legitimen Grund, passwd auszuführen; daher kann er niemals in die passwd_t-Domäne wechseln.
  • Prozesse, die in der passwd_t-Domäne laufen, können nur auf autorisierte Typen lesen und schreiben, wie z. B. Dateien, die mit den Typen etc_t oder shadow_t gekennzeichnet sind.
  • Dies verhindert, dass die passwd-Anwendung dazu verleitet wird, beliebige Dateien zu lesen oder zu schreiben.

SELinux-Kontexte für Prozesse]

  1. 2.2. SELinux-Kontexte für Prozesse

Verwenden Sie den Befehl ps -eZ, um den SELinux-Kontext für Prozesse anzuzeigen.

Beispiel: ‚‘'Vorgehensweise 2.2. Anzeigen des SELinux-Kontexts für das Dienstprogramm passwd‚‘'# Öffnen Sie ein Terminal, z. B. über ‚‘'Anwendungen'‚‘ → ‚‘'Systemwerkzeuge'‚‘ → ‚‘'Terminal'‚‘ .

  1. Führen Sie das Dienstprogramm passwd aus.
  • Geben Sie kein neues Passwort ein:
    ~ passwd
    Passwort für Benutzer ‚'user_name‘' ändern.
    Passwort für ‚'user_name‘' ändern.
    (aktuelles) UNIX-Passwort:
  1. Öffnen Sie einen neuen Tab oder ein weiteres Terminal und geben Sie den folgenden Befehl ein.
  • Die Ausgabe sieht in etwa wie folgt aus:
    ~ ps -eZ | grep passwd
    unconfined_u:unconfined_r:passwd_t:s0-s0:c0.c1023 13212 pts/1 00:00:00 passwd
  1. Drücken Sie im ersten Tab/Terminal ‚‘'Strg+C'‚‘, um das Dienstprogramm passwd abzubrechen.

In diesem Beispiel wechselt der Shell-Prozess des Benutzers in die Domäne passwd_t, wenn das Dienstprogramm passwd (mit dem Typ passwd_exec_t gekennzeichnet) ausgeführt wird.

  • Beachten Sie, dass der Typ eine Domäne für Prozesse und einen Typ für Dateien definiert.

Um die SELinux-Kontexte aller laufenden Prozesse anzuzeigen, führen Sie das Dienstprogramm ps erneut aus.

Beachten Sie, dass es sich bei der folgenden Ausgabe um ein gekürztes Beispiel handelt, das auf Ihrem System abweichen kann: 

ps -eZ
system_u:system_r:dhcpc_t:s0 1869 ? 00:00:00 dhclient
system_u:system_r:sshd_t:s0-s0:c0.c1023 1882 ? 00:00:00 sshd
system_u:system_r:gpm_t:s0 1964 ? 00:00:00 gpm
system_u:system_r:crond_t:s0-s0:c0.c1023 1973 ? 00:00:00 crond
system_u:system_r:kerneloops_t:s0 1983 ? 00:00:05 kerneloops
system_u:system_r:crond_t:s0-s0:c0.c1023 1991 ? 00:00:00 atd

Die Rolle system_r wird für Systemprozesse wie Daemons verwendet.

  • Type Enforcement trennt dann jede Domäne.

Kontexte für Benutzer

  1. 2.3. SELinux-Kontexte für Benutzer

Verwenden Sie den folgenden Befehl, um den SELinux-Kontext anzuzeigen, der Ihrem Linux-Benutzer zugeordnet ist: 

~ id -Z
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

Unter Red Hat Enterprise Linux laufen Linux-Benutzer standardmäßig in der unconfined-Rolle.

  • Dieser SELinux-Kontext zeigt, dass der Linux-Benutzer dem SELinux-Benutzer unconfined_u zugeordnet ist, in der Rolle unconfined_r läuft und in der Domäne unconfined_t ausgeführt wird. s0-s0 ist ein MLS-Bereich, der in diesem Fall mit s0 identisch ist.
  • Die Kategorien, auf die der Benutzer Zugriff hat, werden durch c0.c1023 definiert, was alle Kategorien (c0 bis c1023) umfasst.
  1. Kapitel 2. SELinux-Kontexte
Abgerufen von „https://wiki.foxtom.de/index.php?title=Linux/SELinux/02_Kontext&oldid=161780“