From owner-p4-projects@FreeBSD.ORG Tue Feb 12 17:13:13 2008 Return-Path: Delivered-To: p4-projects@freebsd.org Received: by hub.freebsd.org (Postfix, from userid 32767) id 30EAA16A421; Tue, 12 Feb 2008 17:13:13 +0000 (UTC) Delivered-To: perforce@FreeBSD.org Received: from mx1.freebsd.org (mx1.freebsd.org [IPv6:2001:4f8:fff6::34]) by hub.freebsd.org (Postfix) with ESMTP id CFE3F16A417 for ; Tue, 12 Feb 2008 17:13:12 +0000 (UTC) (envelope-from pgj@FreeBSD.org) Received: from repoman.freebsd.org (repoman.freebsd.org [IPv6:2001:4f8:fff6::29]) by mx1.freebsd.org (Postfix) with ESMTP id BD48113C455 for ; Tue, 12 Feb 2008 17:13:12 +0000 (UTC) (envelope-from pgj@FreeBSD.org) Received: from repoman.freebsd.org (localhost [127.0.0.1]) by repoman.freebsd.org (8.14.1/8.14.1) with ESMTP id m1CHDCGd009796 for ; Tue, 12 Feb 2008 17:13:12 GMT (envelope-from pgj@FreeBSD.org) Received: (from perforce@localhost) by repoman.freebsd.org (8.14.1/8.14.1/Submit) id m1CHDCfS009759 for perforce@freebsd.org; Tue, 12 Feb 2008 17:13:12 GMT (envelope-from pgj@FreeBSD.org) Date: Tue, 12 Feb 2008 17:13:12 GMT Message-Id: <200802121713.m1CHDCfS009759@repoman.freebsd.org> X-Authentication-Warning: repoman.freebsd.org: perforce set sender to pgj@FreeBSD.org using -f From: Gabor Pali To: Perforce Change Reviews Cc: Subject: PERFORCE change 135261 for review X-BeenThere: p4-projects@freebsd.org X-Mailman-Version: 2.1.5 Precedence: list List-Id: p4 projects tree changes List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Tue, 12 Feb 2008 17:13:13 -0000 http://perforce.freebsd.org/chv.cgi?CH=135261 Change 135261 by pgj@disznohal on 2008/02/12 17:12:24 Add initial Hungarian translation of Chapter 16: Mandatory Access Control. Raw translation of Part III is completed =) Affected files ... .. //depot/projects/docproj_hu/books/handbook/mac/chapter.sgml#2 edit Differences ... ==== //depot/projects/docproj_hu/books/handbook/mac/chapter.sgml#2 (text+ko) ==== @@ -3,470 +3,722 @@ $FreeBSD: doc/en_US.ISO8859-1/books/handbook/mac/chapter.sgml,v 1.70 2007/06/27 11:49:40 chinsan Exp $ --> - + + + Tom Rhodes - Written by + Írta: - Mandatory Access Control + Kötelezõ + hozzáférésvezérlés - Synopsis + Áttekintés MAC - Mandatory Access Control + kötelezõ + hozzáférésvezérlés MAC - &os; 5.X introduced new security extensions from the - TrustedBSD project based on the &posix;.1e draft. Two of the most - significant new security mechanisms are file system Access Control - Lists (ACLs) and Mandatory Access Control - (MAC) facilities. Mandatory Access Control allows - new access control modules to be loaded, implementing new security - policies. Some provide protections of a narrow subset of the - system, hardening a particular service. Others provide - comprehensive labeled security across all subjects and objects. - The mandatory part - of the definition comes from the fact that the enforcement of - the controls is done by administrators and the system, and is - not left up to the discretion of users as is done with - discretionary access control (DAC, the standard - file and System V IPC permissions on &os;). + A &os; 5.X változata új biztonsági + bõvítéseket vett a TrustedBSD projektbõl a + &posix;.1e nyomán. A két legjelentõsebb + új biztonsági mechanizmus az + állományrendszerekben megtalálható + hozzáférés-vezérlési + listák (Access Control List, ACL) + és a kötelezõ + hozzáférésvezérlés (Mandatory + Access Control, MAC). A kötelezõ + hozzáférésvezérlés + segítségével olyan új + hozzáférésvezérlési modulok + tölthetõek be, amelyek új biztonsági + házirendeket implementálnak. Némelyek + közülük védelmet nyújtanak a rendszer + egy szûk részének, amivel így egy adott + szolgáltatást bástyáznak alá. + Mások minden részletre kiterjedõ + címkézett biztonságot szolgáltatnak + alanyokon és objektumokon keresztül. A + meghatározás kötelezõ + része onnan fakad, hogy a szabályok + betartatását a rendszergazdák és a + rendszer végzik, és nem bízzák a + felhasználókra, ahogy azt a System V + típusú rendszerekben a szabványos + állományokra és IPC-re + érvényes engedélyeken keresztül a + tetszés szerinti + hozzáférésvezérlés + (Discretionary Access Control, DAC) + teszi. - This chapter will focus on the - Mandatory Access Control Framework (MAC Framework), and a set - of pluggable security policy modules enabling various security - mechanisms. + Ebben a fejezetben a kötelezõ + hozzáférésvezérlést + övezõ keretrendszerre (MAC Framework) + és a különbözõ biztonsági + házirendeket megvalósító + beilleszthetõ modulokra fogunk + összpontosítani. - After reading this chapter, you will know: + A fejezet elolvasása során + megismerjük: - What MAC security policy modules are currently - included in &os; and their associated mechanisms. + a &os; jelen pillanatban milyen modulokat tartalmaz a + MAC rendszeren belül és milyen + mechanizmusok tartoznak hozzájuk - What MAC security policy modules implement as - well as the difference between a labeled and non-labeled - policy. + a MAC biztonsági + házirendjeit képezõ modulok miket + valósítanak meg, valamint mint a + különbség a címkézett és + címkézetlen házirendek + között - How to efficiently configure a system to use - the MAC framework. + hogyan kell hatékonyan beállítani + és használni rendszerünkben a + MAC rendszert - How to configure the different security policy modules included with the - MAC framework. + hogyan állítsuk be a MAC + rendszerben található különféle + biztonsági házirendeket képezõ + modulokat - How to implement a more secure environment using the - MAC framework and the examples - shown. + hogyan hozzunk létre a MAC + rendszer segítségével egy + biztonságosabb környezetet, amire + példákat is mutatunk - How to test the MAC configuration - to ensure the framework has been properly implemented. + hogyan teszteljük le a MAC + rendszer beállításait és + bizonyosodjunk meg mûködésének + helyességérõl - Before reading this chapter, you should: + A fejezet elolvasásához ajánlott: - Understand &unix; and &os; basics - (). + a &unix; és a &os; alapjainak ismerete () - Be familiar with - the basics of kernel configuration/compilation - (). + a rendszermag beállításának + és lefordításának ismerete () - Have some familiarity with security and how it - pertains to &os; (). + tisztában lenni az alapvetõ biztonsági + kérdésekkel és azok hatásával + a &os;-n belül () - The improper use of the - information contained herein may cause loss of system access, - aggravation of users, or inability to access the features - provided by X11. More importantly, MAC should not - be relied upon to completely secure a system. The - MAC framework only augments - existing security policy; without sound security practices and - regular security checks, the system will never be completely - secure. + Az itt ismertetésre kerülõ + információk helytelen alkalmazása a rendszer + hozzáférhetõségének teljes + elvesztését, a felhasználók + bosszantását vagy az X11 által + felkínált lehetõségek + kirekesztését eredményezheti. De ami + ennél is fontosabb, hogy a MAC + rendszerre nem úgy kell tekinteni, mint amitõl a + rendszerünk tökéletesen + biztonságossá válik. A + MAC segítségével + csupán a meglevõ biztonsági + házirendeket gyarapítjuk. A szilárd + biztonsági rutin és a rendszeres + ellenõrzések elvégzése + nélkül a rendszerünk valójában + sosem lesz teljesen biztonságos. - It should also be noted that the examples contained - within this chapter are just that, examples. It is not - recommended that these particular settings be rolled out - on a production system. Implementing the various security policy modules takes - a good deal of thought and testing. One who does not fully understand - exactly how everything works may find him or herself going - back through the entire system and reconfiguring many files - or directories. + Valamint hozzá kell tennünk, hogy a fejezetben + bemutatott példák tényleg csak + példák. Senkinek sem tanácsoljuk, hogy az + itt említett beállításokat egy + éles rendszerre is kiterjessze. A + különbözõ biztonsági modulok + felépítése rengeteg gondolkodást + és próbálgatást igényel. Aki + nem érti meg az egész + mûködését, könnyen azon kaphatja + magát, hogy újra végig kell mennie a + rendszeren és egyenként be kell + állítania minden könyvtárat és + állományt. - What Will Not Be Covered + Amivel itt nem foglalkozunk + + Ebben a fejezetben a MAC rendszerrel + kapcsolatban rengeteg biztonsági kérdéssel + foglalkozni fogunk. Azonban az új MAC + biztonsági modulok kifejlesztését + már nem érintjük. Számos olyan + biztonsági modul található a + MAC rendszerben, amelyek rendelkeznek az + új modulok kialakításához és + teszteléséhez szükséges + jellemzõkkel. Ilyenek többek közt a + &man.mac.test.4;, &man.mac.stub.4; és a &man.mac.none.4;. + Ezekrõl a biztonsági modulokról és az + általuk szolgáltatott mechnanizmusokról a + man oldalaik tudnak bõvebb + tájékoztatást adni. - This chapter covers a broad range of security issues relating - to the MAC framework. The - development of new MAC security policy modules - will not be covered. A number of security policy modules included with the - MAC framework have specific characteristics - which are provided for both testing and new module - development. These include the &man.mac.test.4;, - &man.mac.stub.4; and &man.mac.none.4;. - For more information on these security policy modules and the various - mechanisms they provide, please review the manual pages. - Key Terms in this Chapter + A fejezet fontosabb fogalmai - Before reading this chapter, a few key terms must be - explained. This will hopefully clear up any confusion that - may occur and avoid the abrupt introduction of new terms - and information. + A fejezet tartalmának kifejtéséhez + szükségünk lesz néhány fontosabb + alapfogalom tisztázására. + Segítségükkel vélhetõen + sikerül eloszlatni a téma feldolgozása + során felmerülõ + félreértéseket illetve elkerülni az + új fogalmak és információk + váratlan felbukkanását. - - compartment: A compartment is a - set of programs and data to be partitioned or separated, - where users are given explicit access to specific components - of a system. Also, a compartment represents a grouping, - such as a work group, department, project, or topic. Using - compartments, it is possible to implement a need-to-know - security policy. + + alany: Alanynak tekintünk a + rendszerben minden olyan aktív egyedet, ami + információt áramoltat az + objektumok, tehát a + felhasználók, a processzorok, a rendszerben + futó programok stb. között. A &os;-ben + majdnem minden esetben a felhasználók egy + szálon keresztül vezérlik a futó + programokat. - - high water mark: A high water mark - policy is one which permits the raising of security levels - for the purpose of accessing higher level information. In - most cases, the original level is restored after the process - is complete. Currently, the &os; MAC - framework does not have a policy for this, but the definition - is included for completeness. + + címke: A címke egy + olyan biztonsági tulajdonság, ami vonatkozhat + állományokra, könyvtárakra vagy a + rendszer más elemeire. Egy címke + tekinthetõ a bizalmasságot jelzõ + pecsétnek is: ha egy állományra + címkét teszünk, akkor benne megadjuk a + rá vonatkozó biztonsági jellemzõket, + és csak a hozzá hasonló biztonsági + beállításokkal rendelkezõ + állományok, felhasználók, + erõforrások stb. érhetik el. A + címkék jelentését és + értelmezését a házirendek + beállítása határozza meg: + míg egyes házirendek a címkéket + egy objektum sértetlenségének vagy + titkosságának tekintik, addig mások a + hozzáféréssel kapcsolatos + szabályokat rögzítik bennük. - integrity: Integrity, as a key - concept, is the level of trust which can be placed on data. - As the integrity of the data is elevated, so does the ability - to trust that data. + egycímkés: + Egycímkés esetrõl akkor + beszélünk, amikor az adat + áramlásának + szabályozására az egész + állományrendszer egyetlen címkét + alkalmaz. Ha ezt beállítjuk egy + állományrendszernél, de nem adjuk meg + vele együtt a opciót, + akkor az összes állományra ugyanaz a + címke érvényes. - - label: A label is a security - attribute which can be applied to files, directories, or - other items in the system. It could be considered - a confidentiality stamp; when a label is placed on - a file it describes the security properties for that specific - file and will only permit access by files, users, resources, - etc. with a similar security setting. The meaning and - interpretation of label values depends on the policy configuration: while - some policies might treat a label as representing the - integrity or secrecy of an object, other policies might use - labels to hold rules for access. + + erõs vízjel: Az erõs + vízjel házirendje szerint a biztonsági + szint akkor növelhetõ, ha magasabb szintû + információkhoz akarunk hozzájutni. A + legtöbb esetben a folyamatok befejezõdése + után visszaállítódik az eredeti + szint. A &os; MAC rendszere pillanatnyilag + ehhez nem tartalmaz házirendet, de a teljesség + kedvéért megadtuk ennek a + definícióját is. - - level: The increased or decreased - setting of a security attribute. As the level increases, - its security is considered to elevate as well. + + gyenge vízjel: A gyenge + vízjel házirendje szerint a biztonsági + szint csökkenthetõ az alacsonyabb szintû + információk elérése + érdekében. A legtöbb esetben a folyamatok + befejezõdése után + visszaállítódik az eredeti szint. A + &os;-ben ezt a házirendet egyedül a + &man.mac.lomac.4; alkalmazza. - low water mark: A low water mark - policy is one which permits lowering of the security levels - for the purpose of accessing information which is less - secure. In most cases, the original security level of the - user is restored after the process is complete. The only - security policy module in &os; to use this is - &man.mac.lomac.4;. + házirend: Szabályok + olyan gyûjteménye, ami megadja, hogy miként + kell a célokat teljesíteni. Egy + házirend általában + az egyes elemek kezelését rögzíti. + Ebben a fejezetben a házirend + kifejezés alatt a biztonsági + házirendet értjük, tehát + olyan szabályok gyûjteményét, + amelyek az adatok és az információ + áramlását határozzák meg, + továbbá megadják, hogy + közülük ki mihez férhet + hozzá. - multilabel: The - property is a file system option - which can be set in single user mode using the - &man.tunefs.8; utility, during the boot operation - using the &man.fstab.5; file, or during the creation of - a new file system. This option will permit an administrator - to apply different MAC labels on different - objects. This option - only applies to security policy modules which support labeling. + kényesség: + Általában az MLS + tárgyalásakor kerül elõ. Az + kényesség szintjével az adatok + fontosságát vagy titkosságát + szokták jelölni. A kényességi szint + növekedésével növekszik az adat + titkosságának vagy bizalmasságának + szintje. - - object: An object or system - object is an entity through which information flows - under the direction of a subject. - This includes directories, files, fields, screens, keyboards, - memory, magnetic storage, printers or any other data - storage/moving device. Basically, an object is a data container or - a system resource; access to an object - effectively means access to the data. + + objektum: Objektum vagy + rendszerobjektum minden olyan egyed, amelyen + információ folyik keresztül az + alanyok + irányításával. Ezek lehetnek + többek közt könyvtárak, + állományok, mezõk, képernyõk, + billentyûzetek, memória, mágneses + tárolóeszközök, nyomtatók vagy + bármilyen más + adattároló/hordozó eszköz. Az + objektumok alapvetõen adattárolók vagy a + rendszer erõforrásai. Egy + objektum elérésén + gyakorlatilag az adatok elérését + értjük. - policy: A collection of rules - which defines how objectives are to be achieved. A - policy usually documents how certain - items are to be handled. This chapter will - consider the term policy in this - context as a security policy; i.e. - a collection of rules which will control the flow of data - and information and define whom will have access to that - data and information. + rekesz: Egy rekeszbe soroljuk az + elrekeszteni vagy elkülöníteni + kívánt programok és adatok + összeségét, ahol a + felhasználók explicit módon + képesek hozzáférni a rendszer bizonyos + komponenseihez. Emellett a rekesz utalhat egy + tetszõleges csoportosításra is, + például munkacsoportra, osztályra, + projektre vagy témára. A rekeszek + használata elengedhetetlen a biztonsági + házirendek kialakításához. - sensitivity: Usually used when - discussing MLS. A sensitivity level is - a term used to describe how important or secret the data - should be. As the sensitivity level increases, so does the - importance of the secrecy, or confidentiality of the data. + sértetlenség: A + sértetlenség, mint kulcsfogalom, az adatok + megbízhatóságának szintje. + Minél sértetlenebb az adat, annál + inkább tekinthetjük + megbízhatónak. - single label: A single label is - when the entire file system uses one label to - enforce access control over the flow of data. When a file - system has this set, which is any time when the - option is not set, all - files will conform to the same label setting. + szint: Egy biztonsági + tulajdonság megnövelt vagy lecsökkentett + beállítása. A szint + növekedésével együtt a + biztonság mértéke is + növekszik. - subject: a subject is any - active entity that causes information to flow between - objects; e.g. a user, user processor, - system process, etc. On &os;, this is almost always a thread - acting in a process on behalf of a user. + többcímkés: A + vagyis + többcímkés jellemzõ az + állományrendszerek esetén fordulhat + elõ, és a &man.tunefs.8; segédprogrammal + állítható be + egyfelhasználós módban vagy a rendszer + indítása során az &man.fstab.5; + állományon keresztül, esetleg egy új + állományrendszer létrehozásakor. + Ezzel a beállítással a rendszergazda + különféle MAC + címkéket rendelhet különbözõ + objektumokhoz. Ez a beállítás + természetesen csak olyan biztonsági modulok + esetén él, amelyek tudnak + címkézni. - + + - Explanation of MAC + A MAC ismertetése - With all of these new terms in mind, consider how the - MAC framework augments the security of - the system as a whole. The various security policy modules provided by - the MAC framework could be used to - protect the network and file systems, block users from - accessing certain ports and sockets, and more. Perhaps - the best use of the policy modules is to blend them together, by loading - several security policy modules at a time for a multi-layered - security environment. In a multi-layered security environment, - multiple policy modules are in effect to keep security in check. This - is different to a hardening policy, which typically hardens - elements of a system that is used only for specific purposes. - The only downside is administrative overhead in cases of - multiple file system labels, setting network access control - user by user, etc. + Az imént definiált új fogalmak + tükrében most nézzük meg, hogy a + MAC rendszer alkalmazásával + miként javíthatunk rendszerünk + biztonságán. A MAC rendszerhez + készített különbözõ + biztonsági modulok alkalmasak a hálózat + és az állományrendszerek + védelmére, valamint segítségükkel + megakadályozhatjuk, hogy a felhasználók + elérhessenek bizonyos portokat és + csatlakozásokat stb. A házirendeket + formázó modulokat talán együttesen + tudjuk a leghatékonyabban alkalmazni, és ha + egyszerre több modul betöltésével egy + többrétegû védelmi rendszert + alakítunk ki. Ez nem ugyanaz, mint a rendszer + megerõsítése, ahol a rendszer + összetevõit jellemzõ módon csak bizonyos + célok tekintetében edzzük meg. A + módszer egyedüli hátulütõi a + többszörös állományrendszeri + címkékkel, a felhasználónként + beállítandó hálózati + eléréssel stb. járó + adminisztrációs költségek. - These downsides are minimal when compared to the lasting - effect of the framework; for instance, the ability to pick and choose - which policies are required for a specific configuration keeps - performance overhead down. The reduction of support for unneeded - policies can increase the overall performance of the system as well as - offer flexibility of choice. A good implementation would - consider the overall security requirements and effectively implement - the various security policy modules offered by the framework. + Ezek a hátrányok azonban eltörpülnek a + létrehozott rendszer tartósságával + szemben. Például ha képesek vagyunk + megmondani, hogy az adott konfigurációban milyen + házirendek alkalmazására van + szükség, akkor ezzel az adminisztrációs + költségek visszaszoríthatóak. A + szükségtelen házirendek + eltávolításával még + növelhetjük is a rendszer + összteljesítményét, valamint az + így felkínált rugalmasságot. Egy + jó kialakításban figyelembe kell venni az + összes biztonsági elõírást + és hatékonyan megvalósítani ezeket a + rendszer által felajánlott + különféle biztonsági modulokkal. - Thus a system utilizing MAC features - should at least guarantee that a user will not be permitted - to change security attributes at will; all user utilities, - programs and scripts must work within the constraints of - the access rules provided by the selected security policy modules; and - that total control of the MAC access - rules are in the hands of the system administrator. + Ezért tehát a MAC + lehetõségeit kihasználó rendszerekben + legalább annyit meg kell tudni oldani, hogy a + felhasználók ne változtathassák + kedvükre a biztonsági tulajdonságokat. Az + összes felhasználói segédprogramnak, + programnak és szkriptnek a kiválasztott + biztonsági modulokban szereplõ + hozzáférési szabályokkal + kifeszített kereten belül kell mozognia. A + MAC totális + irányítása pedig a rendszergazda + kezében van. - It is the sole duty of the system administrator to - carefully select the correct security policy modules. Some environments - may need to limit access control over the network; in these - cases, the &man.mac.portacl.4;, &man.mac.ifoff.4; and even - &man.mac.biba.4; policy modules might make good starting points. In other - cases, strict confidentiality of file system objects might - be required. Policy modules such as &man.mac.bsdextended.4; - and &man.mac.mls.4; exist for this purpose. + A rendszergazda így egyedül csak a megfelelõ + biztonsági modulok gondos + összeválogatásáért felelõs. + Bizonyos környezetekben szükséges lehet a + hálózaton keresztüli + hozzáférések korlátozása is. + Ilyen esetekben a &man.mac.portacl.4;, &man.mac.ifoff.4; vagy a + &man.mac.biba.4; moduloktól érdemes elindulnunk. + Más esetekben az állományrendszerek + objektumainak bizalmasságát kell csupán + megõriznünk. Erre a célra a + &man.mac.bsdextended.4; és &man.mac.mls.4; modulok a + legalkalmasabbak. - Policy decisions could be made based on network - configuration. Perhaps only certain users should be permitted - access to facilities provided by &man.ssh.1; to access the - network or the Internet. The &man.mac.portacl.4; would be - the policy module of choice for these situations. But what should be - done in the case of file systems? Should all access to certain - directories be severed from other groups or specific - users? Or should we limit user or utility access to specific - files by setting certain objects as classified? + A házirendekhez kapcsolódó + döntések a hálózati + beállítások alapján is + meghozhatóak. Elképzelhetõ, hogy csak bizonyos + felhasználók férhetnek hozzá az + &man.ssh.1; szolgáltatásain keresztül a + hálózathoz vagy az internethez. A + &man.mac.portacl.4; pontosan ilyen helyzetekben tud a + segítségünkre sietni. De mit tegyünk az + állományrendszerek esetén? Vágjunk el + adott felhasználókat vagy csoportokat bizonyos + könyvtáraktól? Vagy korlátozzuk a + felhasználók vagy segédprogramok + hozzáférését adott + állományokhoz bizonyos objektumok bizalmassá + nyilvánításával? - In the file system case, access to objects might be - considered confidential to some users, but not to others. - For an example, a large development team might be broken - off into smaller groups of individuals. Developers in - project A might not be permitted to access objects written - by developers in project B. Yet they might need to access - objects created by developers in project C; that is quite a - situation indeed. Using the different security policy modules provided by - the MAC framework; users could - be divided into these groups and then given access to the - appropriate areas without fear of information - leakage. + Az állományrendszerek esetében az + objektumokat néhány felhasználó + elérheti, mások pedig nem. Például + egy nagyobb fejlesztõcsapat kisebb csoportokra + bontható. Az A projektben résztvevõ + fejlesztõk nem férhetnek hozzá a B projektben + dolgozó fejlesztõk munkájához. Ellenben + szükségük lehet a C projekten + munkálkodó fejlesztõk által + létrehozott objektumokra. Ez egy igen érdekes + helyzet. A MAC rendszer által + felkínált különbözõ + biztonsági modulokra építkezve azonban + könnyedén csoportokba tudjuk szervezni a + felhasználókat, és a megfelelõ + területekhez az információ + kiszivárgása nélkül hozzá tudjuk + õket engedni. - Thus, each security policy module has a unique way of dealing with - the overall security of a system. Module selection should be based - on a well thought out security policy. In many cases, the - overall policy may need to be revised and reimplemented on - the system. Understanding the different security policy modules offered by - the MAC framework will help administrators - choose the best policies for their situations. + Ennek következtében minden egyes biztonsági + modul a maga módján gondoskodik az egész + rendszer biztonságáról. A céljainknak + megfelelõ modulokat egy jól átgondolt + biztonsági házirend alapján válasszuk + ki. Sok esetben az egész házirendet át kell + tekinteni és újra kell alkalmazni a rendszerben. A + MAC által felajánlott + különbözõ biztonsági modulok + megértése segít a rendszergazdáknak + megválasztani az adott helyzetben legjobban + alkalmazható házirendeket. - The default &os; kernel does not include the option for - the MAC framework; thus the following - kernel option must be added before trying any of the examples or - information in this chapter: + A &os; rendszermagja alapból nem tartalmazza a + MAC rendszert. Ezért a fejezetben + szereplõ példák vagy az itt leírtak + kipróbálásához az alábbi + beállítást kell hozzátennünk a + rendszermag beállításait tartalmazó + állományhoz: options MAC - And the kernel will require a rebuild and a reinstall. + Majd fordítsuk és telepítsük + újra a rendszermagot. - While the various manual pages for MAC - policy modules state that they may be built into the kernel, - it is possible to lock the system out of - the network and more. Implementing MAC - is much like implementing a firewall, care must be taken - to prevent being completely locked out of the system. The - ability to revert back to a previous configuration should be - considered while the implementation of MAC - remotely should be done with extreme caution. + Miközben a MAC rendszerhez + készült különbözõ modulok a + saját man oldalaik szerint szintén igénylik + a beépítésüket, vigyázzunk + velük, mert ezzel a rendszerüket pillanatok alatt ki + tudjuk zárni a hálózatból és + így tovább. A MAC alapú + védelem felépítése leginkább + egy tûzfal + összeállításához + hasonlítható, ahol ugyanígy számolni + kell azzal, hogy egy óvatlan paranccsal + kizárhatjuk magunkat a rendszerbõl. Valamilyen + módon mindig próbáljunk gondoskodni a + rendszer elõzõ állapotának + visszaállíthatóságáról, + és a MAC távoli + adminisztrációját mindig nagyfokú + körültekintéssel végezzük. + - Understanding MAC Labels + Bõvebben a MAC címkéirõl - A MAC label is a security attribute - which may be applied to subjects and objects throughout - the system. + A MAC-címke egy olyan + biztonsági tulajdonság, amelyet a rendszerben + található alanyokhoz és objektumokhoz + rendelhetünk. - When setting a label, the user must be able to comprehend - what it is, exactly, that is being done. The attributes - available on an object depend on the policy module loaded, and that - policy modules interpret their attributes in different - ways. If improperly configured due to lack of comprehension, or - the inability to understand the implications, the result will - be the unexpected and perhaps, undesired, behavior of the - system. + Egy címke beállításához a + felhasználónak pontosan ismernie kell, hogy ilyenkor + mi történik. Az objektumokhoz tartozó + tulajdonságok a betöltött moduloktól + függenek, és az egyes modulok eltérõ + módon értelmezik ezeket a tulajdonságokat. + Ha a precíz megértésük + hiányában helytelenül állítjuk be + ezeket, vagy nem vagyunk képesek tisztázni a + velük járó következményeket, akkor + az a rendszerünk kiszámíthatatlan és + valószínûleg kedvezõtlen + viselkedését eredményezi. - The security label on an object is used as a part of a - security access control decision by a policy. With some - policies, the label by itself contains all information necessary - to make a decision; in other models, the labels may be processed - as part of a larger rule set, etc. + A házirendek az objektumhoz rendelt biztonsági + címkéket a hozzáféréssel + kapcsolatos döntések meghozásában + használják fel. Bizonyos házirendek + esetében már maga a címke elegendõ + információt tartalmaz a döntés + megformálásához. Máshol viszont a + címkék egy nagyobb szabályrendszer + részeként dolgozódnak fel stb. - For instance, setting the label of biba/low - on a file will represent a label maintained by the Biba security policy module, - with a value of low. + Például ha egy állományra + beállítjuk a biba/low + címkét, akkor az arra fog utalni, hogy a + címkét a Biba nevû biztonsági modul + kezeli és értéke low. - A few policy modules which support the labeling feature in - &os; offer three specific predefined labels. These - are the low, high, and equal labels. Although they enforce - access control in a different manner with each policy module, you - can be sure that the low label will be the lowest setting, - the equal label will set the subject or object to be disabled - or unaffected, and the high label will enforce the highest - setting available in the Biba and MLS - policy modules. + Az a néhány modul, ami a &os;-ben + támogatja a címkézés + lehetõségét, három speciális + címkét definiál elõre. Ezek rendre a + low (alacsony), high (magas) + és equal (egyezõ) címkék. + Habár az egyes modulok esetén eltérõ + módon képesek vezérelni a + hozzáférést, azt mindig biztosra + vehetjük, hogy a low a legalacsonyabb + érték, az equal címke + hatására az adott alanyt vagy objektumot + érintetlenül hagyják, és a + high értékû címke a Biba + és MLS modulok esetében a + legmagasabb beállítást jelenti. - Within single label file system environments, only one label may be - used on objects. This will enforce one set of - access permissions across the entire system and in many - environments may be all that is required. There are a few - cases where multiple labels may be set on objects - or subjects in the file system. For those cases, the - option may be passed to - &man.tunefs.8;. + Az egycímkés állományrendszerek + használata során az egyes objektumonkhoz csak egyetlen + címkét rendelhetünk hozzá. Ezzel az + egész rendszerben csak egyfajta engedélyt + alkalmazunk, ami sok esetben pontosan elegendõ. + Létezik néhány különleges eset, + amikor az állományrendszerben levõ alanyokhoz + vagy objektumokhoz egyszerre több címkét is + hozzá kell rendelnünk. Ilyenkor a + opciót kell átadnunk a + &man.tunefs.8; segédprogramnak. - In the case of Biba and MLS, a numeric - label may be set to indicate the precise level of hierarchical - control. This numeric level is used to partition or sort - information into different groups of say, classification only - permitting access to that group or a higher group level. + A Biba és az MLS esetében + elõfordulhat, hogy egy numerikus címkével fogjuk + jelölni a hierarchikus irányítás pontos + szintjét. A numerikus szintek használatával + tudjuk az információt különbözõ + csoportokba szétosztani vagy elrendezni, mondjuk + úgy, hogy csak az adott szintû vagy a felette + álló csoportok számára + engedélyezzük a + hozzáférést. - In most cases the administrator will only be setting up a - single label to use throughout the file system. + Az esetek többségében a + rendszergazdának csak egyetlen címkét kell + beállítania az egész + állományrendszerre. - Hey wait, this is similar to DAC! - I thought MAC gave control strictly to the - administrator. That statement still holds true, to some - extent as root is the one in control and who - configures the policies so that users are placed in the - appropriate categories/access levels. Alas, many policy modules can - restrict the root user as well. Basic - control over objects will then be released to the group, but - root may revoke or modify the settings - at any time. This is the hierarchal/clearance model covered - by policies such as Biba and MLS. + Hé, álljunk csak meg! De akkor ez + pont olyan, mint a DAC! Én azt hittem, + hogy a MAC szigorúan a rendszergazda + kezébe adja az irányítást. + Ez az állítás továbbra is + fennáll, mivel bizonyos értelemben a + root lesz az, aki beállítja a + házirendeket, tehát õ mondja meg, hogy a + felhasználók milyen kategóriákba vagy + hozzáférési szintekbe sorolódnak. + Sajna sok biztonsági modul még magát a + root felhasználót is + korlátozza. Az objektumok feletti + irányítás ilyenkor a csoportra száll, + de a root bármikor visszavonhatja vagy + módosíthatja a beállításokat. + Ezzel a hierarchikus/engedély alapú modellel a Biba + és MLS nevû házirendek + foglalkoznak. - Label Configuration + A címkék + beállítása - Virtually all aspects of label policy module configuration - will be performed using the base system utilities. These - commands provide a simple interface for object or subject - configuration or the manipulation and verification of - the configuration. + A címkézéshez kapcsolódó + összes beállítást gyakorlatilag az + alapvetõ rendszerprogramokkal végezhetjük el. + Ezek a parancsok az objektumok és az alanyok + szabályozásához, valamint a + konfiguráció + módosításához és + ellenõrzéséhez adnak egy egyszerû + kezelõfelületet. - All configuration may be done by use of the - &man.setfmac.8; and &man.setpmac.8; utilities. - The setfmac command is used to set - MAC labels on system objects while the - setpmac command is used to set the labels - on system subjects. Observe: + Az összes konfigurációs >>> TRUNCATED FOR MAIL (1000 lines) <<<