Tutorials - Ein sicheres Linux System aufsetzen Teil 1.0 - Security Enhanced Linux: Installation

Sprachenübersicht/Betriebssysteme/Linux/Security

Ein sicheres Linux System aufsetzen Teil 1.0 - Security Enhanced Linux: Installation

Diese Seite wurde 8865 mal aufgerufen.

Dieser Artikel wurde in einem Wikiweb System geschrieben, das heißt, Sie können die Artikel jederzeit editieren, wenn Sie einen Fehler gefunden haben, oder etwas hinzufügen wollen.

Editieren Versionen Linkpartnerschaft Bottom Printversion

Keywords: SELinux, SE Linux, Installieren, sicher, Linux

Inhaltsverzeichnis

• Vorwort
  
• Tutorials in dieser Artikelserie
  
• Einführung in SELinux
  
• Der Inhalt von SELinux
  
• Kernel builden
  
• SELinux per Backport installieren
  
• Alternative Installation mit den NSA Sources
  
• setools
  
• Weblinks
  
• Schlusswort
  

Vorwort Top

Diese Tutorialserie beschäftigt sich damit, ein sicheres Linux-System aufzusetzen. Dazu werden wir den NSA Linux Sub-Kernel, SELinux verwenden, der im Kernel 2.6 enthalten ist.

In diesem Teil geht es nur darum SELinux zu installieren; wie man es konfiguriert wird im zweiten Teil beschrieben.

Tutorials in dieser Artikelserie Top

• Teil 0.0 - Linux härten

• Teil 1.0 - Security Enhanced Linux: Installation

• Teil 1.1 - Security Enhanced Linux: SELinux Modell

• Teil 1.2 - Security Enhanced Linux: Die Policy

• Teil 2.0 - Linux mit /proc härten

• Teil 3.0 - Festplattenverschlüsselung

Einführung in SELinux Top

Security Enhanced Linux, das auch als SELinux bezeichnet wird ist eine Sammlung von Programmen, Programmpatches, und einer Kernelerweiterung, die ein Linux-System sicherer machen soll. Die Haupterweiterung ist ein erweitertes Privilegien-System, ein Mandatory Access Controll (MAC) Systen, das eine stärkere Einschränkung von Benutzern erlaubt. Dadurch können Programme so eingeschränkt werden, das sie nur noch auf Dinge zugreifen können die sie auch wirklich benötigen. Diese Programme können dann nur noch Daten oder Programme lesen, schreiben oder verändern die sie brauchen. Sie können nicht mehr mit anderen Prozessen kommunizieren, auf Netzwerkdevices zugreifen, ...

Durch dieses System kann können Dienste, die kompromittiert wurden so eingeschränkt werden, dass sie keinen Schaden am System anrichten, was ein nützliches Mittel gegen 0-days ist.

Wir werden in diesem Teil die Installation von SELinux besprechen. Als erstes kompilieren wir uns einen Kernel, der SELinux unterstützt. Anschließend werden wir die Tools für SELinux installieren und dann die benötigten Patches für weitere Programme einspielen.

Die Installation, die ich hier beschreibe ist für Debian stable: sarge, ohne X Server, und mit der Kernelversion 2.6. Bei anderen Betriebssystemen sieht die Installation total anders aus, einige Betriebssysteme haben keine Unterstützung für SELinux. Auf google.com finden Sie mehr dazu.

Der Inhalt von SELinux Top

Damit wir SELinux benutzen wollen, müssen wir die folgenden Pakete installieren:

• libsepol
  
  libsepol stellt die Schnittstelle zum Zugriff auf die binäre policy dar.

• libselinux
  
  libselinux ist die Schnittstelle zu sicherheitsbewussten Applikationen.

• libsemanage
  
  libsemanage ist die libary, die die Schnittstelle zum SELinux Management darstellt.

• checkpolicy
  
  checkpolicy beinhaltet den checkpolicy policy compiler, der die policy in ein binäres Format kompiliert, das vom Kernel benutzt wird.

• policycoreutils
  
  policycoreutils beinhaltet die core-Elemente der policy, unter anderem load_policy, newrole, setfiles, und run_init.

• policy
  
  policy beinhaltet eine Beispiel policy, die Flask files, und Konfigurations-Dateien.

• Kernel
  
  Der Kernel wird verändert, damit SELinux benutzt werden kann. Seit der Version 2.6 ist SELinux standardmäßig im Kernel integriert.
  

• Ausserdem werden noch folgende Programme modifiziert:
  
  cp, mv, install, ls und andere Standardprogramme
  
  wird modifiziert damit die file labels benutzt werden können.
  
  id
  
  wird modifiziert, damit die Benutzer Rechte angezeigt werden können.
  
  ps
  
  kann nach der Modifikation die neuen Rechte der Prozesse anzeigen.
  
  Weitere Programme die modifiziert werden:
  
  cron, ssh, login, logrotate, pam, andere Programme die /etc/passwd, oder /etc/shadow benutzen

Slat, und setools werden in diesem Tutorial nicht benutzt, können aber hilfreich sein:

• slat
  
  Eine Sammlung von policy Tools, von Tresys Technology.
  
  

• setools
  
  Eine Sammlung von Tools, die für die Analyse der policy, und das Management der Benutzer zuständig ist.
  
  Dazu zählen:
  
  - SeAudit
  
  Ein GUI Tool, für die Analyse von log Einträgen.
  
  - Apol
  
  Ein Tool zur analyse der policy.conf.
  
  - SeCmds
  
  Eine Sammlung von nicht-GUI Tools für die Analyse der policy.conf.
  
  -SePCuT
  
  Ein GUI Tool, das das komfortable Browsen und Editieren von SELinux policy file ermöglicht.
  
  - SeUser
  
  Eine GUI und ein nicht-GUI Tool, das bei der Verwaltung von SELinux, und Linux-Benutzerkonten hilft.
  

Kernel builden Top

Als erstes kompilieren wir uns den Kernel so, das er selinux unterstützt. Wir ziehen uns den neuesten Kernel, der von Selinux untersützt wird, auf der NSA Selinux Seite finden wir den neusten Download: www.nsa.gov/selinux/code/download5.cfm.

In meinem Fall ist es 2.6.14. Wir laden den Kernel von www.kernel.org, und den Kernelpatch von der NSA Seite herunter.

Damit wir make menuconfig machen können, müssen wir libncurses5-dev installieren:

Als nächstes entpacken wir den Kernel, patchen, und konfigurieren ihn:

Jetzt schmeissen wir alles raus, was wir nicht brauchen, beachten aber dass, das wir folgende einkompilieren:

Unter Code Maturity muss folgendes aktiviert sein:

Prompt for development and/or incomplete code/drivers

Unter Devices Drivers -> Character Devices:

Unix98 PTY aktivieren
Legacy (BSD) PTY support nicht aktivieren

Unter File systems:

Second extended fs support
Ext2 extended attributes
Ext2 security labels
Ext3 journaling file system support
Ext3 extended attributes
Ext3 security labels

Aktivieren Sie nicht POSIX access controll lists für ext2 oder ext3.

Unter Pseudo filesystems:

/dev/pts Extended Attributes
/dev/pts Secrutiy labels

Wählen Sie nicht /dev/file system support aus.

Zum Schluss wählen wir noch folgendes unter Security Options aus:


Enable different security models
Socket and networking security hocks
Default Linux capabilities
NSA SELinux
NSA SELinux boot parameter
NSA SELinux Development support


Ich muss bei mir noch unter Device Drivers->Parallel port support Parallel port support einkompilieren, und dann unter Device Drivers->Block devices: Parallel port IDE device support und unter Device Drivers->ATA/ATAPI/MFM/RLL support:


ATA/ATAPI/MFM/RLL support
Enhanced IDE/MFM/RLL disk/cdrom/tape/floppy support
Include IDE/ATA-2 DISK support
generic/default IDE chipset support


einkompilieren einstellen.

Meine .config Datei kann hier heruntergeladen werden.

Jetzt können wir den Kernel kompilieren, und Grub konfigurieren:

Unter Grub fügen wir jetzt die folgenden Zeilen hinzu, und löschen die alten:

nach einem reboot sollte der Kernel laufen.

Jetzt haben wir die Wahl zwischen vom Backport installieren (nächstes Kapitel), und von den sources installieren (übernächstes Kapitel).

SELinux per Backport installieren Top

Jetzt installieren wir SELinux, wir verwenden dazu einen inoffiziellen Backport, selinux.alioth.debian.org/.

Mit nano /etc/apt/sources.list öffnen wir die Datei für die backports, und fügen die folgende Zeile hinzu:

deb http://selinux.alioth.debian.org/sesarge ./

Jetzt müssen wir noch apt updaten:

Als nächstes müssen wir die Installation der SELinux Pakete vorbereiten, wir müssen dafür sorgen das glibc nicht upgedatet wird.

Dazu holen wir uns zuerst die Pakete:

Jetzt editieren wir libc6, und libc6-dev von install auf hold.

Als nächstes fügen wir die Liste wieder zu dpkg hinzu:

Jetzt wird libc6 und libc6-dev immer zurück gehalten wenn es erneuert werden sollte.

Als nächstes installieren wir die folgenden Pakete:

Jetzt sollte SELinux installiert sein, als letztes müssen wir noch ein paar Schritte durchführen:

Wir fügen den folgende Zeile in /etc/fstab ein:

Ich habe ausserdem noch die root Partition /dev/hda1 per 0 0 so eingestellt, das sie nicht mehr überprüft wird.

Zuletzt fügen wir noch folgende Zeile in /etc/pam.d/login, und /etc/pam.d/ssh ein:

und kompilieren noch die policy:

Jetzt nochmal neustarten, und das Dateisystem nochmal relabeln:

Damit ist die Installation abgeschlossen.

Alternative Installation mit den NSA Sources Top

Ich beschreibe hier noch einen alternativen Weg, den ich gerne benutze. Ich kompiliere die SELinux-Sources direkt von der NSA, und benutzte die veränderten Programme vom Backport. Wenn Sie lieber alles per Source installieren, finden Sie hier einen Hint für Linux From Scratch, der auch für Debian funktionieren sollte: www.blankersfamily.com/lfs/selinux/.

Als erstes laden wir uns die Tarballs von der NSA-Seite herunter: www.nsa.gov/selinux/code/download5.cfm.

Jetzt bereiten wir uns vor. Sie sollten ein installiertes python2.4, python2.4-dev, gcc-3.4 und g++-3.4 haben, beachten Sie das bei der Installation vom gcc nur /usr/bin/gcc-3.4 angelegt wird, allerdings gcc noch einen softlink auf gcc-3.3 hat, mit rm gcc && ln -s gcc-3.4 gcc können Sie einen link erzeugen. Das gleiche gilt für g++ und python.

Kopieren Sie die Dateien nach /opt/selinux, nachdem Sie sie heruntergeladen haben. slat, und setools lassen wir vorläufig weg, die brauchen wir im moment nicht.

Jetzt entpacken wir libsepol-1.10.tgz, und kompilieren es:

Jetzt entpacken wir libselinux-1.28.tgz, und kompilieren es:

Als nächstes entpacken wir den Tarball libsemanage-1.4.tgz, und kompilieren es:

Und checkpolicy-1.28.tgz:

Als nächstes installieren wir policycoreutils-1.28.tgz, dazu müssen wir aber zuerst libpam0g-dev und gettext installieren.

Da wir jetzt die modifizierte Version von libpam0g-dev brauchen, kommen jetzt die Sources ins Spiel, wir installieren sie mit apt-get.

Mit nano /etc/apt/sources.list öffnen wir die Datei für die Backports und fügen die folgende Zeile hinzu:

deb http://selinux.alioth.debian.org/sesarge ./


Jetzt müssen wir noch apt updaten:

Dazu holen wir uns zuerst die Pakete:

Jetzt editieren wir libc6, und libc6-dev von install auf hold.

Als nächstes fügen wir die Liste wieder zu dpkg hinzu:

Jetzt wird libc6 und libc6-dev immer zurück gehalten, wenn es erneuert werden sollte, wir können die Pakete installieren:

Dabei wird auch libsepol1, und libselinux1 installiert, da wir die neusten haben, gehen wir nochmal in die beiden Verzeichnisse zurück und fahren mit make install nochmal drüber. Zur Sicherheit auch noch über libsemanage[/]

Jetzt gehen wir zurück in das policy-coreutils Verzeichniss, entpacken, und installieren es:

Jetzt haben wir alles, bis auf die policy installiert.

Die installieren wir jetzt:

Jetzt fügen wir die folgende Zeile zu /etc/fstab hinzu:

und ändern die root partition auf 0 0, damit sie nicht überprüft wird.

Zuletzt fügen wir noch folgende Zeile in [i]/etc/pam.d/login und /etc/pam.d/ssh ein:

Jetzt mounten wir das /selinux pseudofilesystem, installieren die policy, und relabeln das Dateisystem:

Als nächstes müssen wir noch in der makefile von /opt/selinux/policy-1.28 Type von strict auf targeted umstellen.

Jetzt können wir die policy installieren:

Jetzt können wir neustarten, und danach die neuen Dateien auch relabeln:

setools Top

Wir haben setools nicht installiert, da das Tutorial bis jetzt nur die Installation ohne X beschreibt.

Hier ist noch eine kurzte Beschreibung, falls Sie die policy tools für X benutzen wollen.

Als erstes brauchen wir ein paar Programme, welche wir mit den folgenden Befehlen installieren:

Jetzt haben wir noch ein Problem. Die Header von tcl8.4 und tk8.4 liegen in /usr/include/tcl8.4, SELinux vermutet die Dateien aber, wie in anderen Distributionen üblich in /usr/include.

Deshalb müssen Sie entweder die Quellcode Dateien von setools ändern, oder die Header Dateien als Softlink in /usr/include erzeugen.

Dies geschieht mit ln -s tcl8.4/datei datei.

Wenn das erledigt ist, können Sie setools installieren.

Weblinks Top

• www.nsa.gov/selinux/

• www.coker.com.au/selinux/

• selinux.alioth.debian.org/

• wiki.debian.org/SELinux

• en.wikipedia.org/wiki/Selinux

• www.blankersfamily.com/lfs/selinux/

Schlusswort Top

In diesem Kapitel haben Sie, was SELinux ist, und wie man es installiert. Das nächste Kapitel wird beschrieben wie man SELinux konfiguriert.

Gibt es noch irgendwelche Fragen, oder wollen Sie über den Artikel diskutieren?

Editieren Versionen Linkpartnerschaft Top Printversion

Haben Sie einen Fehler gefunden? Dann klicken Sie doch auf Editieren, und beheben den Fehler, keine Angst, Sie können nichts zerstören, das Tutorial kann wiederhergestellt werden

Sprachenübersicht/Betriebssysteme/Linux/Security/Ein sicheres Linux System aufsetzen Teil 1.0 - Security Enhanced Linux: Installation