F.32.5.1. 제어 객체 클래스

의 배트맨 토토 모델Selinux모든 액세스 제어를 설명합니다 주제 간의 관계로서 규칙 (일반적으로 a 데이터베이스의 클라이언트) 및 객체 엔티티 (예 : 데이터베이스 개체), 각각은 배트맨 토토에 의해 식별됩니다. 상표. 끊임없는 물체에 대한 액세스가 시도되면 객체는 레이블이 할당 된 것처럼 취급됩니다unlabeled_t.

현재,Sepgsql허용 Schemas, 테이블, 열에 할당 할 배트맨 토토 레이블 sequences, views, and functions. 언제Sepgsql사용 중이며 배트맨 토토 레이블이 있습니다 지원되는 데이터베이스 개체에 자동으로 할당됩니다 창조 시간. 이 레이블은 기본 배트맨 토토 레이블이라고합니다. 시스템 보안 정책에 따라 결정됩니다. Creator의 레이블과 할당 된 레이블을 입력하는 것으로 간주합니다. 새 개체의 부모 객체.

새 데이터베이스 개체는 기본적으로 배트맨 토토을 상속합니다 배트맨 토토 정책을 제외하고 부모 객체의 레이블 유형 변환 규칙으로 알려진 특별 규칙이 있습니다 사례 다른 레이블이 적용될 수 있습니다. 스키마의 경우 부모 객체는 현재 데이터베이스입니다. 테이블, 시퀀스, 뷰 및 함수는 포함 된 스키마입니다. ~을 위한 열, 그것은 포함 테이블입니다.

F.32.5.2. DML 권한

테이블 용db_table : select, db_table : 삽입, db_table : 업데이트또는db_table : delete모든 것을 확인합니다 진술의 종류에 따라 참조 된 대상 테이블; 게다가,db_table : select도 있습니다 참조 된 열이 포함 된 모든 테이블을 확인했습니다. 그만큼여기서또는반환조항, 데이터 소스로업데이트등.

열 수준의 권한도 각각에 대해 확인됩니다 참조 열.db_column : select를 사용하여 읽는 열을 확인할뿐 아니라select그러나 참조되는 것들 다른 DML 문에서;DB_COLUMN : 업데이트또는db_column : 삽입도 확인됩니다 에 의해 수정되는 열업데이트또는삽입.

예를 들어, 다음과 같이 고려하십시오.

업데이트 T1 세트 x = 2, y = md5sum (y) 여기서 z = 100;

여기,DB_COLUMN : 업데이트확인T1.X이기 때문에 업데이트,DB_COLUMN : SELECT확인T1.Y이후 업데이트되고 참조되고db_column : select확인T1.Z, 그것은 참조되므로.db_table : update테이블 레벨에서 확인하십시오.

시퀀스 용DB_Sequence : get_value우리가있을 때 확인됩니다 를 사용하여 시퀀스 객체를 참조하십시오.select; 그러나 현재는 그렇지 않습니다 해당 기능 실행에 대한 권한을 확인하십시오 와 같은lastVal ().

보기,db_view : 확장확인하면 다른 필요한 권한이 확인됩니다 뷰에서 확장되는 객체에서 개별적으로.

함수,db_procedure : execute정의되었지만 그렇지 않습니다 이 버전에서 체크 됨.

클라이언트는 모든 참조 테이블에 액세스 할 수 있어야합니다. 그리고 열은 그런 다음 확장하여 일관된 액세스 제어를 적용합니다 테이블 내용 방식과 독립적 인 규칙 참조됩니다.

기본 데이터베이스 권한 시스템은 데이터베이스를 허용합니다 DML 명령을 사용하여 시스템 카탈로그를 수정하는 슈퍼 사용자 및 토스트 테이블을 참조하거나 수정하십시오. 이러한 작업은입니다 금지Sepgsqlis 활성화.

F.32.5.3. DDL 권한

Selinux여러 가지를 정의합니다 각 객체에 대한 공통 작업을 제어 할 권한 유형; 보안의 창조, 변경, 드롭 및 릴라벨과 같은 상표. 또한 여러 객체 유형에는 특별합니다 특징적인 작업을 제어 할 권한; 그런 특정 내에서 이름 항목의 추가 또는 삭제로 개요.

a생성명령 IS 실행,Create확인됩니다 각 객체 유형에 대해 구성되는 객체. 기본값 배트맨 토토 레이블은 새 데이터베이스 개체에 할당됩니다. 그리고생성허가가 있습니다 클라이언트의 배트맨 토토 레이블 쌍을 확인했습니다. 새로운 객체 자체. 우리는 고려테이블 생성테이블을 구성합니다 기본 열을 동시에 사용자는 테이블과 그 둘 다를 만들 수있는 권한을 갖도록 열.

개체에 따라 몇 가지 추가 점검이 적용됩니다 유형. 에PostgreSQL : 문서, getAttr허가 새로운 소스 또는 템플릿 데이터베이스에서 확인됩니다. 데이터베이스뿐만 아니라생성새 데이터 베이스. 특정 스키마 내에서 객체 생성시 (테이블, 뷰, 시퀀스 및 절차),add_name스키마에서도 확인됩니다. 비단생성새 개체에서 그 자체.

언제드롭명령이 실행됩니다,드롭개체에서 확인됩니다 각 객체 유형에 대해 제거됩니다. 권한도 있습니다 객체가 간접적으로 삭제 된 객체를 확인했습니다캐스케이드. 내부에 포함 된 물체의 삭제 특정 스키마 (테이블, 뷰, 시퀀스 및 절차) 추가로 필요remove_nameon 스키마.

whenPostgreSQL : 문서 : 9.2 : 보안 사설 토토실행,setattrandrelabelfrom개체에서 확인됩니다 오래된 배트맨 토토 레이블과 관련이있는 다음Relabelto제공된 새로운 배트맨 토토 상표.

여러 레이블 제공 업체가 설치된 경우 그리고 사용자는 배트맨 토토 레이블을 설정하려고하지만 관리Selinux, 만setattr여기에서 확인해야합니다. 이것 구현 제한으로 인해 현재 수행되지 않습니다.

F.32.5.4. 신뢰할 수있는 절차

신뢰할 수있는 절차는 Security Definer와 유사합니다 함수 또는 setUID 명령.Selinux허용 기능을 제공합니다 신뢰할 수있는 코드와는 다른 배트맨 토토 레이블을 사용하여 실행됩니다. 일반적으로 제공 할 목적으로 고객의 민감한 데이터에 대한 고도로 제어되는 액세스 (예 : 행은 가능합니다 생략되거나 저장된 값의 정밀도는 줄인). 기능이 신뢰할 수있는 역할을하는지 여부 절차는 배트맨 토토 레이블과 운영 체제 배트맨 토토 정책. 예를 들어:

postgres =# 테이블 고객 만들기 (
               CID int 기본 키,
               cname 텍스트,
               신용 텍스트
           );
테이블을 만듭니다
Postgres =# 열 고객의 배트맨 토토 레이블
               'system_u : object_r : sepgsql_secret_table_t : s0';
배트맨 토토 레이블
postgres =# function show_credit (int) 텍스트를 반환합니다
             'regexp_replace를 선택하십시오 (신용', '-[0-9]+$' ','-xxxx '', 'g' ')
                        CID = $ 1 '에서 고객에게서
           언어 SQL;
기능을 만듭니다
postgres =# function show_credit (int)의 배트맨 토토 레이블
               'system_u : object_r : sepgsql_trusted_proc_exec_t : s0';
배트맨 토토 레이블

위의 작업은 An에 의해 수행되어야합니다 관리 사용자.

postgres =# 고객에서 선택 *;
오류 : SELINUX : 배트맨 토토 정책 위반
Postgres =# 고객에서 CID, CNAME, SHOW_CREDIT (CID)를 선택하십시오.
 cid | cname |     show_credit
-----+--------+--------------------------
   1 | 타로 | 1111-222-3333-xxxx
   2 | 하나코 | 5555-6666-7777-xxxx
(2 줄)

이 경우 일반 사용자는 참조 할 수 없습니다customer.credit직접적이지만 신뢰할 수 있습니다 절차show_credit고객의 신용 카드 번호를 일부로 인쇄하십시오. 숫자가 가려진다.

F.32.5.5. 동적 도메인 전환

Selinux의 동적 도메인 전환을 사용할 수 있습니다 클라이언트 프로세스의 배트맨 토토 레이블을 전환하는 기능 클라이언트 도메인, 새로운 맥락에서 배트맨 토토 정책. 클라이언트 도메인에는가 필요합니다.SetCurrent허가 및 또한Dyntransition구식에서 새로 도메인.

동적 도메인 전환은 신중하게 고려해야합니다. 사용자가 레이블을 전환 할 수있게하므로 그들의 선택에 따라 그들의 특권은 ( 신뢰할 수있는 절차) 시스템에 의해 의무적으로. 따라서, 그만큼Dyntransition허가는 전용입니다 도메인으로 전환하는 데 사용될 때 안전한 것으로 간주 원래 특권보다 작은 특권 세트. 을 위한 예:

회귀 =# sepgsql_getcon ();
                    sepgsql_getcon
---------------------------------------------------------------------
 UnconFined_U : UnconFined_R : UnconFined_T : S0-S0 : C0.C1023
(1 줄)

회귀 =# sepgsql_setcon ( 'unconfined_u : unconfined_r : unconfined_t : s0-s0 : c1.c4');
 sepgsql_setcon 
---------------
 티
(1 줄)

회귀 =# sepgsql_setcon ( 'unconfined_u : unconfined_r : unconfined_t : s0-s0 : c1.c1023');
오류 : Selinux : 보안 정책 위반

위 의이 예에서 우리는 더 큰 MCS 범위C1.C1023더 작은 범위C1.C4그러나 스위칭 뒤로 거부 당했다.

동적 도메인 전환의 조합과 신뢰 절차는에 맞는 흥미로운 사용 사례를 가능하게합니다 연결 풀링 소프트웨어의 일반적인 프로세스 수명주기. 연결 풀링 소프트웨어가 허용되지 않더라도 대부분의 SQL 명령을 실행하면 전환 할 수 있습니다. 를 사용하여 클라이언트의 배트맨 토토 레이블sepgsql_setcon ()내에서의 함수 신뢰할 수있는 절차; 그것은 자격 증명을 취해야합니다 클라이언트 레이블을 전환하라는 요청을 승인합니다. 이후, 이 세션에는 대상 사용자의 권한이 있습니다. 연결 풀러보다는. 연결 풀러는 할 수 있습니다 나중에 다시 사용하여 배트맨 토토 레이블 변경을 되돌립니다.sepgsql_setcon ()withNULL인수는 다시 a 적절한 권한 점검이있는 신뢰할 수있는 절차. 그만큼 여기에서는 신뢰할 수있는 절차 만 실제로 효과적인 배트맨 토토 레이블을 변경할 수있는 권한 적절한 자격 증명이 주어지면 그렇게합니다. 물론, 안전합니다 조작, 자격 증명 저장소 (테이블, 절차 정의, 또는 무엇이든) 무단 액세스로부터 보호되어야합니다.

F.32.5.6. 여러 가지 잡다한

우리는를 거부합니다PostgreSQL : 문서 : 9.2 :토토명령 로드 된 모듈은 쉽게로드 될 수 있기 때문에 전반적으로 전반적으로 배트맨 토토 정책 집행 우회.