F.34. kèo bóng đá c1

F.34.5.1. kèo bóng đá c1 lớp đối tượng được kiểm soát

Mô hình bảo mật củaSelinuxMô tả tất cả kèo bóng đá c1 quy tắc kiểm soát truy cập là mối quan hệ giữa một thực thể chủ thể (thông thường là máy khách của cơ sở dữ liệu) và một thực thể đối tượng (như đối tượng cơ sở dữ liệu), mỗi đối tượng được xác định bởi nhãn bảo mật. Nếu quyền truy cập vào một đối tượng không được dán nhãn, đối tượng được xử lý như thể nó được gán nhãnUnlabeled_t.

Hiện tại,kèo bóng đá c1Cho phép kèo bóng đá c1 nhãn bảo mật được gán cho kèo bóng đá c1 lược đồ, bảng, cột, trình tự, chế độ xem và chức năng. Khikèo bóng đá c120407_20756

20762_21146

F.34.5.2. Quyền DML

cho kèo bóng đá c1 bảng,db_table: select, db_table: chèn, DB_TABLE: Cập nhậthoặcdb_table: xóađược kiểm tra tất cả kèo bóng đá c1 bảng mục tiêu được tham chiếu tùy thuộc vào loại câu lệnh; Ngoài ra,db_table: selectcũng được kiểm tra tất cả kèo bóng đá c1 bảng có chứa kèo bóng đá c1 cột được tham chiếu trongWHEREhoặcTrở vềmệnh đề, như một nguồn dữ liệu choCập nhật, v.v.

21810_21886db_column: chọnđược kiểm tra trên không chỉ kèo bóng đá c1 cột được đọc bằngChọn, nhưng những người được tham chiếu trong kèo bóng đá c1 câu lệnh DML khác;DB_Column: Cập nhậthoặcdb_column: chèncũng sẽ được kiểm tra kèo bóng đá c1 cột được sửa đổi bởiCập nhậthoặcChèn.

Ví dụ: xem xét:

Cập nhật T1 Set x = 2, y = md5sum (y) trong đó z = 100;

ở đây,DB_Column: Cập nhậtsẽ được kèo bóng đá c1T1.x, vì nó đang được cập nhật,db_column: chọn cập nhậtsẽ được kèo bóng đá c1T1.Y, vì nó vừa được cập nhật và tham chiếu, vàdb_column: chọnSẽ được kèo bóng đá c1T1.Z, vì nó chỉ được tham chiếu.db_table: chọn cập nhậtcũng sẽ được kèo bóng đá c1 ở cấp độ bảng.

cho kèo bóng đá c1 chuỗi,DB_Sequence: get_valueđược kèo bóng đá c1 khi chúng tôi tham chiếu một đối tượng chuỗi bằng cách sử dụngChọn; Tuy nhiên, lưu ý rằng chúng tôi hiện không kiểm tra quyền khi thực hiện kèo bóng đá c1 chức năng tương ứng như23150_23161.

để xem,db_view: mở rộngSẽ được kiểm tra, sau đó mọi quyền bắt buộc khác sẽ được kiểm tra trên kèo bóng đá c1 đối tượng được mở rộng từ chế độ xem, riêng lẻ.

cho kèo bóng đá c1 chức năng,23394_23418Sẽ được kèo bóng đá c1 khi người dùng cố gắng thực thi chức năng như một phần của truy vấn hoặc sử dụng lời mời đường dẫn nhanh. Nếu chức năng này là một thủ tục đáng tin cậy, nó cũng kèo bóng đá c1DB_Procedure: EntryPointQuyền kèo bóng đá c1 xem nó có thể thực hiện dưới dạng điểm nhập của thủ tục đáng tin cậy không.

Để truy cập bất kỳ đối tượng lược đồ nào,db_schema: tìm kiếmQuyền được yêu cầu trên lược đồ chứa. Khi một đối tượng được tham chiếu mà không có trình độ lược đồ, kèo bóng đá c1 lược đồ mà quyền này không có mặt sẽ không được tìm kiếm (như thể người dùng không cósử dụngĐặc quyền trên lược đồ). Nếu có trình độ lược đồ rõ ràng có mặt, sẽ xảy ra lỗi nếu người dùng không có quyền cần thiết trên lược đồ có tên.

Khách hàng phải được phép truy cập tất cả kèo bóng đá c1 bảng và cột được tham chiếu, ngay cả khi chúng có nguồn gốc từ kèo bóng đá c1 chế độ xem sau đó được mở rộng, để chúng tôi áp dụng kèo bóng đá c1 quy tắc kiểm soát truy cập nhất quán độc lập với cách thức mà nội dung bảng được tham chiếu.

Hệ thống đặc quyền cơ sở dữ liệu mặc định cho phép kèo bóng đá c1 siêu người dùng cơ sở dữ liệu sửa đổi danh mục hệ thống bằng kèo bóng đá c1 lệnh DML và tham chiếu hoặc sửa đổi kèo bóng đá c1 bảng bánh mì nướng. kèo bóng đá c1 hoạt động này bị cấm khikèo bóng đá c1được bật.

F.34.5.3. Quyền DDL

SelinuxXác định một số quyền để kiểm soát kèo bóng đá c1 hoạt động chung cho từng loại đối tượng; chẳng hạn như sáng tạo, thay đổi, thả và relabel của nhãn bảo mật. Ngoài ra, một số loại đối tượng có quyền đặc biệt để kiểm soát kèo bóng đá c1 hoạt động đặc trưng của chúng; chẳng hạn như bổ sung hoặc xóa kèo bóng đá c1 mục tên trong một lược đồ cụ thể.

Tạo đối tượng cơ sở dữ liệu mới yêu cầuTạoquyền.Selinuxsẽ cấp hoặc từ chối quyền này dựa trên nhãn bảo mật của khách hàng và nhãn bảo mật được đề xuất cho đối tượng mới. Trong một số trường hợp, cần có kèo bóng đá c1 đặc quyền bổ sung:

• PostgreSQL: Tài kèoNgoài ra yêu cầuGetAttrQuyền cho cơ sở dữ liệu nguồn hoặc mẫu.

• Tạo một đối tượng lược đồ yêu cầuadd_namequyền trên lược đồ cha.

• Tạo bảng bổ sung yêu cầu quyền tạo từng cột bảng riêng lẻ, giống như mỗi cột bảng là một đối tượng cấp cao nhất.

• Tạo hàm được đánh dấu làLeakproofNgoài ra yêu cầuCài đặt26107_26160Leakproofđược đặt cho một chức năng hiện có.)

KhiDroplệnh được thực thi,Dropsẽ được kiểm tra trên đối tượng bị xóa. Quyền cũng sẽ được kiểm tra cho kèo bóng đá c1 đối tượng bị rơi gián tiếp quaCascade. Xóa kèo bóng đá c1 đối tượng có trong một lược đồ cụ thể (bảng, chế độ xem, trình tự và quy trình) Ngoài ra yêu cầuremove_nameTrên lược đồ.

khiAlterlệnh được thực thi,SETATTRsẽ được kiểm tra trên đối tượng được sửa đổi cho từng loại đối tượng, ngoại trừ kèo bóng đá c1 đối tượng công ty con như chỉ mục hoặc kích hoạt của bảng, trong đó thay vào đó, kèo bóng đá c1 quyền được kiểm tra trên đối tượng cha. Trong một số trường hợp, cần có quyền bổ sung:

• Chuyển một đối tượng sang một lược đồ mới cũng yêu cầuremove_namequyền trên lược đồ cũ vàadd_namequyền trên cái mới.

• ĐặtLeakproofthuộc tính trên một hàm yêu cầuCài đặtquyền.

• Sử dụngPostgreSQL: TàiTrên một đối tượng cũng yêu cầuRelabelfromQuyền cho đối tượng kết hợp với nhãn bảo mật cũ của nó vàrelabeltoQuyền cho đối tượng kết hợp với nhãn bảo mật mới của nó. (Trong trường hợp nhiều nhà cung cấp nhãn được cài đặt và người dùng cố gắng đặt nhãn bảo mật, nhưng nó không được quản lý bởiSelinux, chỉSETATTRnên được kèo bóng đá c1 tại đây. Điều này hiện không được thực hiện do hạn chế thực hiện.)

F.34.5.4. Thủ tục đáng tin cậy

Quy trình đáng tin cậy tương tự như kèo bóng đá c1 hàm xác định bảo mật hoặc kèo bóng đá c1 lệnh setuid.Selinux28226_28643

Postgres =# Tạo bảng bảng (
               CID INT Khóa chính,
               văn bản cname,
               Văn bản tín dụng
           );
Tạo bảng
Postgres =# Nhãn bảo mật trên cột Khách hàng.Credit
               Là 'system_u: object_r: sepgsql_secret_table_t: s0';
Nhãn bảo mật
postgres =# tạo hàm show_credit (int) trả về văn bản
             Như 'Chọn regexp_replace (tín dụng,' '-[0-9]+$' ',' '-xxxx' ',' 'g' ')
                        Từ khách hàng nơi CID = $ 1 '
           Ngôn ngữ SQL;
Tạo chức năng
postgres =# Nhãn bảo mật trên chức năng show_credit (int)
               Là 'system_u: object_r: sepgsql_trusted_proc_exec_t: s0';
Nhãn bảo mật

kèo bóng đá c1 hoạt động trên nên được thực hiện bởi người dùng quản trị.

Postgres =# Chọn * từ Khách hàng;
Lỗi: Selinux: vi phạm chính sách bảo mật
postgres =# Chọn CID, CNAME, SHOW_CREDIT (CID) từ Khách hàng;
 cid | cname |     show_credit
-----+--------+---------------------
   1 | Taro | 1111-2222-3333-XXXX
   2 | Hanako | 5555-6666-7777-XXXX
(2 hàng)

Trong trường hợp này, người dùng thông thường không thể tham khảoKhách hàng.Credittrực tiếp, nhưng một thủ tục đáng tin cậyshow_creditCho phép anh ta in số thẻ tín dụng của khách hàng với một số chữ số được che dấu.

F.34.5.5. Chuyển đổi miền động

Có thể sử dụng tính năng chuyển đổi miền động của Selinux để chuyển nhãn bảo mật của quy trình khách, miền máy khách, sang bối cảnh mới, nếu điều đó được chính sách bảo mật cho phép. Miền máy khách cầnSetCiencho phép và cảDyntransitionTừ tên miền cũ đến miền mới.

30472_30719DyntransitionQuyền chỉ được coi là an toàn khi được sử dụng để chuyển sang một miền với một bộ đặc quyền nhỏ hơn so với bản gốc. Ví dụ:

hồi quy =# chọn sepgsql_getcon ();
                    sepgsql_getcon
-----------------------------------------------------------
 Unconfined_u: Unconed_r: Unconed_t: S0-S0: C0.C1023
(1 hàng)

hồi quy =# Chọn sepgsql_setcon ('unconfined_u: unconfined_r: unconfined_t: s0-s0: c1.c4');
 sepgsql_setcon 
----------------
 t
(1 hàng)

hồi quy =# Chọn sepgsql_setcon ('unconfined_u: unconfined_r: unconfined_t: s0-s0: c1.c1023');
Lỗi: Selinux: vi phạm chính sách bảo mật

Trong ví dụ này, chúng tôi được phép chuyển từ phạm vi MCS lớn hơnC1.C1023đến phạm vi nhỏ hơnc1.c4, nhưng chuyển đổi trở lại đã bị từ chối.

31589_3191631934_31952Hàm từ trong một thủ tục đáng tin cậy; Điều đó sẽ cần một số thông tin xác thực để ủy quyền cho yêu cầu chuyển nhãn máy khách. Sau đó, phiên này sẽ có đặc quyền của người dùng mục tiêu, thay vì Pooler kết nối. Kết nối Pooler sau này có thể hoàn nguyên thay đổi nhãn bảo mật bằng cách sử dụngsepgsql_setcon ()vớinullĐối số, một lần nữa được gọi từ trong một quy trình đáng tin cậy với kèo bóng đá c1 quyền thích hợp. Vấn đề ở đây là chỉ có quy trình đáng tin cậy thực sự mới có quyền thay đổi nhãn bảo mật hiệu quả và chỉ làm như vậy khi được cung cấp thông tin phù hợp. Tất nhiên, để hoạt động an toàn, lưu trữ thông tin xác thực (bảng, định nghĩa thủ tục hoặc bất cứ điều gì) phải được bảo vệ khỏi truy cập trái phép.

F.34.5.6. Linh tinh

Chúng tôi từ chốiloadLệnh trên bảng, vì bất kỳ mô -đun nào được tải đều có thể dễ dàng phá vỡ thực thi chính sách bảo mật.