F.32.5.1. 제어 개체 클래스

배트맨 토토 모델SELinux모든 접근 제어에 대해 설명합니다. 규칙은 주체 엔터티(일반적으로 데이터베이스의 클라이언트) 및 객체 엔터티(예: 데이터베이스 객체), 각각은 배트맨 토토으로 식별됩니다. 라벨. 레이블이 지정되지 않은 개체에 액세스하려고 하면 객체는 라벨이 할당된 것처럼 처리됩니다.unlabeled_t.

현재,sepgsql허용 스키마, 테이블, 열에 할당할 배트맨 토토 레이블 시퀀스, 뷰 및 기능. 언제sepgsql사용 중이며 배트맨 토토 라벨은 지원되는 데이터베이스 개체에 자동으로 할당됨 생성 시간. 이 레이블을 기본 보안 레이블이라고 합니다. 시스템 배트맨 토토 정책에 따라 결정되며, 작성자의 라벨과 할당된 라벨을 입력으로 사용합니다. 새 개체의 상위 개체입니다.

새 데이터베이스 개체는 기본적으로 보안을 상속받습니다. 배트맨 토토 정책이 적용되는 경우를 제외하고 상위 개체의 레이블 유형 전환 규칙이라는 특별한 규칙이 있습니다. 경우에는 다른 라벨이 적용될 수 있습니다. 스키마의 경우 상위 개체는 현재 데이터베이스입니다. 테이블, 시퀀스, 뷰 및 함수는 포함하는 스키마입니다. 에 대한 열은 포함 테이블입니다.

F.32.5.2. DML 권한

테이블의 경우,db_table:선택, db_table:삽입, db_table:업데이트또는db_table:삭제모든 항목에 대해 확인됩니다. 문의 종류에 따라 참조되는 대상 테이블; 게다가db_table:선택또한 참조된 열이 포함된 모든 테이블을 확인했습니다.어디또는돌아오는 중절, 데이터 소스로업데이트등.

각 항목에 대해 열 수준 권한도 확인됩니다. 참조된 열입니다.db_column:선택다음을 사용하여 읽고 있는 열뿐만 아니라 확인됩니다.선택, 하지만 참조되는 것들은 다른 DML 문에서;db_column:업데이트또는db_column:삽입또한 확인됩니다 열이 수정되는 중입니다.업데이트또는삽입.

예를 들어 다음을 고려해보세요:

t1 세트 업데이트 x = 2, y = md5sum(y) WHERE z = 100;

여기,db_column:업데이트될 것이다 확인됨t1.x, 이후 업데이트됨,db_column:업데이트 선택다음 사항을 확인합니다t1.y, 그 이후로 업데이트되고 참조됩니다.db_column:선택다음 사항을 확인합니다t1.z, 참조만 되므로.db_table:업데이트 선택또한 테이블 수준에서 확인하세요.

시퀀스의 경우,db_sequence:get_value우리가 할 때 확인됩니다 다음을 사용하여 시퀀스 객체를 참조합니다.선택; 하지만 현재는 그렇지 않습니다. 해당 기능 실행에 대한 권한 확인 같은마지막 값().

보기의 경우,db_view:확장될 것이다 확인하면 다른 필수 권한이 확인됩니다. 뷰에서 확장되는 객체에 대해 개별적으로.

기능의 경우,db_procedure:실행정의되었지만 정의되지 않았습니다. 이 버전에서 확인되었습니다.

클라이언트는 참조된 모든 테이블에 접근하도록 허용되어야 합니다 및 열은 다음과 같은 뷰에서 비롯된 경우에도 마찬가지입니다. 그런 다음 확장하여 일관된 액세스 제어를 적용합니다. 테이블 내용이 작성되는 방식과 무관한 규칙 참조됩니다.

기본 데이터베이스 권한 시스템은 데이터베이스를 허용합니다. DML 명령을 사용하여 시스템 카탈로그를 수정하는 수퍼유저 토스트 테이블을 참조하거나 수정합니다. 이러한 작업은 금지되는 경우sepgsql이다 활성화되었습니다.

F.32.5.3. DDL 권한

SELinux여러 가지를 정의합니다 각 객체에 대한 공통 작업을 제어하는 권한 유형; 보안 생성, 변경, 삭제, 레이블 재지정 등 라벨. 또한 여러 객체 유형에는 특수한 속성이 있습니다. 특정 작업을 제어할 수 있는 권한 그런 특정 이름 항목의 추가 또는 삭제 스키마.

때생성명령은 실행됨,생성확인될 것입니다 각 개체 유형에 대해 생성되는 개체입니다. 기본값 보안 레이블이 새 데이터베이스 개체에 할당됩니다. 그리고생성권한은 다음과 같습니다 클라이언트와 클라이언트의 배트맨 토토 라벨 쌍을 확인합니다. 새로운 객체 그 자체. 우리는 고려합니다테이블 생성테이블을 구성하려면 및 기본 열을 동시에 사용하므로 다음이 필요합니다. 사용자는 테이블과 해당 테이블을 모두 생성할 수 있는 권한을 가집니다. 열.

객체에 따라 몇 가지 추가 검사가 적용됩니다. 유형. 켜짐PostgreSQL : 문서 :, getattr허가 새 소스 또는 템플릿 데이터베이스에서 확인됩니다. 데이터베이스뿐만 아니라생성새로 데이터베이스. 특정 스키마 내에서 객체 생성 시 (테이블, 뷰, 시퀀스 및 프로시저),추가_이름스키마에서도 확인됩니다. 뿐만 아니라생성새 객체에 그 자체.

언제드롭명령이 실행되었습니다.드롭객체에서 확인됩니다 각 개체 유형에 대해 제거됩니다. 권한도 다음을 통해 간접적으로 삭제된 개체를 확인했습니다.캐스케이드. 다음에 포함된 개체 삭제 특정 스키마(테이블, 뷰, 시퀀스 및 프로시저) 추가로 필요합니다remove_name켜짐 스키마.

언제PostgreSQL : 문서 : 9.2 : 보안 사설 토토 사이트실행됨,setattr그리고재 라벨 지정객체에서 확인됩니다 이전 배트맨 토토 라벨로 라벨을 다시 붙인 다음relabelto제공된 새 배트맨 토토 포함 라벨.

여러 레이블 공급자가 설치된 경우 사용자가 배트맨 토토 레이블을 설정하려고 시도했지만 그렇지 않았습니다. 관리하는 사람SELinux, 만setattr여기에서 확인해야 합니다. 이 현재 구현 제한으로 인해 수행되지 않습니다.

F.32.5.4. 신뢰할 수 있는 절차

신뢰할 수 있는 절차는 보안 정의자와 유사합니다. 함수 또는 setuid 명령.SELinux허용하는 기능을 제공합니다. 다른 보안 레이블을 사용하여 실행되는 신뢰할 수 있는 코드 일반적으로 제공을 목적으로 하는 고객의 정보 민감한 데이터(예: 행은 생략되거나 저장된 값의 정밀도가 달라질 수 있습니다. 감소). 함수가 신뢰할 수 있는 역할을 하는지 여부 절차는 보안 레이블과 운영 체제 배트맨 토토 정책. 예를 들면:

postgres=# CREATE TABLE 고객(
               cid int 기본 키,
               이름 텍스트,
               신용 텍스트
           );
테이블 만들기
postgres=# customer.credit 열의 보안 레이블
               IS 'system_u:object_r:sepgsql_secret_table_t:s0';
배트맨 토토 라벨
postgres=# 함수 생성 show_credit(int) 텍스트 반환
             AS 'SELECT regexp_replace(credit, ''-[0-9]+$'', ''-xxxx'', ''g'')
                        고객으로부터 cid = $1'
           언어 sql;
함수 생성
postgres=# 함수에 대한 보안 레이블 show_credit(int)
               IS 'system_u:object_r:sepgsql_trusted_proc_exec_t:s0';
배트맨 토토 라벨

위 작업은 다음 사람에 의해 수행되어야 합니다. 관리 사용자입니다.

postgres=# SELECT * FROM 고객;
오류: SELinux: 배트맨 토토 정책 위반
postgres=# SELECT cid, cname, show_credit(cid) FROM 고객;
 시드 | c이름 |     쇼_크레딧
----+---------+---------
   1 | 타로 | 1111-2222-3333-xxxx
   2 | 하나코 | 5555-6666-7777-xxxx
(2행)

이 경우 일반 사용자는 참조할 수 없습니다고객.신용직접적으로, 하지만 신뢰할 수 있는 절차show_credit그는 다음을 수행할 수 있습니다. 일부 고객의 신용 카드 번호를 인쇄하십시오. 숫자가 가려졌습니다.

F.32.5.5. 동적 도메인 전환

SELinux의 동적 도메인 전환을 사용할 수 있습니다 클라이언트 프로세스의 보안 레이블을 전환하는 기능, 클라이언트 도메인을 새 컨텍스트로(허용되는 경우) 배트맨 토토 정책. 클라이언트 도메인에는 다음이 필요합니다.setcurrent허가 및 또한dyntransition오래된 것에서 새로운 것으로 도메인.

동적 도메인 전환은 신중하게 고려해야 합니다. 왜냐하면 사용자가 라벨을 전환할 수 있기 때문입니다. (에서와 같이)보다는 자신의 선택에 따라 자신의 특권을 신뢰할 수 있는 절차의 경우) 시스템에서 요구하는 대로. 따라서,dyntransition31584_31740

regression=# sepgsql_getcon() 선택;
                    sepgsql_getcon
------------------------------------------
 unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
(1줄)

regression=# SELECT sepgsql_setcon('unconfined_u:unconfined_r:unconfined_t:s0-s0:c1.c4');
 sepgsql_setcon 
----------------
 티
(1줄)

regression=# SELECT sepgsql_setcon('unconfined_u:unconfined_r:unconfined_t:s0-s0:c1.c1023');
오류: SELinux: 배트맨 토토 정책 위반

위의 예에서 우리는 더 큰 MCS 범위c1.c1023에 더 작은 범위c1.c4, 하지만 전환 중 다시 거부되었습니다.

동적 도메인 전환과 신뢰의 조합 절차를 통해 다음과 같은 흥미로운 사용 사례를 구현할 수 있습니다. 연결 풀링 소프트웨어의 일반적인 프로세스 수명주기. 연결 풀링 소프트웨어가 허용되지 않는 경우에도 대부분의 SQL 명령을 실행하면 SQL 명령을 전환하도록 허용할 수 있습니다. 를 사용하는 클라이언트의 보안 레이블sepgsql_setcon()내에서 함수 신뢰할 수 있는 절차; 그러기 위해서는 어느 정도 자격 증명이 필요합니다 클라이언트 레이블을 전환하라는 요청을 승인합니다. 그 후, 이 세션은 대상 사용자의 권한을 갖게 됩니다. 연결 풀러가 아닌. 연결 풀러는 다음을 수행할 수 있습니다. 나중에 다시 사용하여 보안 레이블 변경을 되돌립니다.sepgsql_setcon()와NULL인수, 다시 내부에서 호출됨 적절한 권한 확인을 통해 신뢰할 수 있는 절차를 수행합니다. 는 여기서 중요한 점은 신뢰할 수 있는 프로시저만이 실제로 유효한 보안 레이블을 변경할 수 있는 권한 적절한 자격 증명이 주어지면 그렇게 합니다. 물론 보안을 위해서 작업, 자격 증명 저장소(테이블, 프로시저 정의, 또는 무엇이든) 무단 액세스로부터 보호되어야 합니다.

F.32.5.6. 기타

우리는 다음을 거부합니다PostgreSQL : 문서 : 9.2 :토토 베이명령 로드된 모든 모듈은 쉽게 사용할 수 있기 때문에 전반적으로 배트맨 토토 정책 시행을 우회합니다.