ホームページ > 記事 > システムチュートリアル > Linux 権限制御の基本原則

Linux 権限制御の基本原則

王林転載: 2023-12-31 15:59:501205ブラウズ

この記事では主に、Linux システムにおけるアクセス許可制御の基本原則を紹介します。 Linux 権限制御の基本原則

セキュリティモデル

Linux システムでは、すべての操作は基本的にファイルにアクセスするプロセスの操作です。ファイルにアクセスするには、まず対応するアクセス許可を取得する必要があります。アクセス許可は、Linux システムのセキュリティモデルを通じて取得されます。

Linux システムのセキュリティモデルについては、次の 2 つの点を知っておく必要があります。

Linux システムの元のセキュリティモデルは DAC と呼ばれ、その正式名は Discretionary Access Control、つまり任意のアクセス制御と訳されます。
その後、MAC と呼ばれる新しいセキュリティモデルが追加および設計されました。その正式名称は、Mandatory Access Control で、強制アクセス制御と訳されます。

MAC と DAC は相互に排他的ではないことに注意してください。DAC は最も基本的なセキュリティモデルであり、通常、Linux に必要な最も一般的に使用されるアクセス制御メカニズムです。MAC は、DAC 上に構築された拡張セキュリティメカニズムです。はオプションのモジュールです。。 Linux システムは通常、アクセスする前に最初に DAC チェックを実行します。これが失敗した場合、操作は直接失敗します。DAC チェックに合格し、システムが MAC モジュールをサポートしている場合は、次に MAC アクセス許可チェックを実行します。

この 2 つを区別するために、MAC をサポートする Linux システムを SELinux と呼びます。これは、Linux 用のセキュリティが強化されたシステムであることを意味します。

ここでは、Linux システムにおける DAC セキュリティモデルについて説明します。

DACセキュリティモデル

DAC の中心的な内容は次のとおりです。 Linux では、理論上、プロセスはそれを実行するユーザーと同じ権限を持ちます。関係するものはすべてこのコアを中心に展開されます。

ユーザーおよびグループ ID 情報の管理

ユーザー、グループ、パスワード情報

/etc/passwd および /etc/group を介してユーザーとグループの情報を保存し、/etc/shadow を介してパスワードとその変更情報を 1 行に 1 つのレコードで保存します。

ユーザーとグループは、それぞれ UID と GID で表されます。ユーザーは同時に複数のグループに属することができます。デフォルトでは、各ユーザーは同じ UID 値と同じ名前の GID に属する必要があります。

/etc/passwd の場合、各レコードフィールドはユーザー名: パスワード (暗号化され、/etc/shadow に保存されます): UID: GID (デフォルトの UID): 説明コメント: ホームディレクトリ: ログインシェル (最初の実行プログラム)

/etc/group の場合、各レコードのフィールドは、グループ名: パスワード (通常、グループパスワードはありません): GID: グループメンバーユーザーリスト (カンマ区切りのユーザー UID リスト)

/etc/shadow の場合、各レコードのフィールドは次のとおりです: ログイン名: 暗号化されたパスワード: 最終変更時刻: 最小時間間隔: 最大時間間隔: 警告時間: 非アクティブ時間:

＃＃＃＃＃＃例＃＃＃＃＃＃

次に、ユーザーおよびグループ情報の例を示します。 /etc/shadow 内のパスワード情報は暗号化されて保存されますが、例は示されていません。

ファイル権限制御情報 Linux 権限制御の基本原則

＃＃＃＃＃＃ファイルの種類＃＃＃＃＃＃ Linux のファイルタイプは次のとおりです: テキストファイルやバイナリファイルなどの通常のファイルをタッチで作成できます;

ネットワーク通信に使用されるソケットファイルは、通常、実行中にアプリケーションによって間接的に作成されます。 パイプファイルは名前なしパイプではなく名前付きパイプであり、mkfifo を使用して作成できます;

キャラクターファイルとブロックファイルはデバイスファイルであり、mknod で作成できます;

アクセス制御グループ
制御のために 3 つのグループに分けられます:

グループには、ファイルグループに設定された権限が含まれます others には、他の人に設定された権限が含まれます

一般的な (すべてではない) 権限の値を以下に示します。

w は書き込み権限があることを意味します。 x は通常、実行可能ファイル/ディレクトリ用であり、実行/検索権限があることを示します。

s は通常、実行可能ファイル/ディレクトリ用であり、ファイル所有者に権限を付与する権限があることを示します。この権限を設定できるのはユーザーおよびグループグループだけです。

ls -l を使用してファイルの種類と権限を確認し、chmod を使用して権限を変更できます。
出力の最初の文字は、通常ファイル (-)、ディレクトリファイル (d)、ソケットファイル (s)、パイプファイル (p)、キャラクタファイル (c)、ブロックファイルのファイルタイプを示します。 (b)、リンクファイル(l); 2文字目から始まる-rwxr-xr-xの部分はファイルの許可ビットを表し、合計9ビットになります。

ファイル /usr/bin/qemu-i386 の場合、この権限制御の意味は次のとおりです:
1. ビット 2 ～ 4 の rwx は、ファイルの所有者が r、w、または x のアクセス許可でファイルにアクセスできることを示します。
2. ビット 5 ～ 7 の r-x は、r または x 権限を持つファイルと同じグループ内のユーザーがファイルにアクセスできることを示します。
test/、test2/、test3/ に設定された権限:

各権限制御グループの
1. x 位置の代わりに
プロセス権限制御情報
プロセス権限
プロセスの場合、次の属性はファイルアクセス許可に関連します:
ps と top を使用して、euid と ruid でプロセスを選択して表示できます。または、top を使用してプロセスの euid と ruid
を表示します。 トップから表示する例:
まず「top」と入力すると、次のような内容が表示されます

ここでは、操作を容易にするために -d オプションを使用して top の更新頻度を延長しています。ここでわかるように、USER フィールドのみが、対応するプロセスの実効ユーザー ID を表します。
読み取りユーザーIDの表示オプションを開きます:
a. top コマンドの実行中に「f」と入力すると、次のような行が表示されます。
b. c と入力して、実ユーザー名の表示スイッチをオンにします。

c. 最後に、Return キーを押して先頭に戻ると、実際のユーザー ID オプションが表示されます。この時点で「o」を入力して列の順序を調整します。最後に、次のように「実効ユーザー ID」と「実際のユーザー ID」を含む出力が表示されます。
プロセスアクセスファイルのアクセス許可制御ポリシー
＃＃＃＃＃＃ルール＃＃＃＃＃＃
プロセスアクセスファイルの大まかな権限制御戦略

ファイルにアクセスするプロセスにとって最も重要なのは euid であるため、そのアクセス許可属性はすべて euid を中心としています。
プロセスの euid は通常、その ruid 値にデフォルト設定されます。 実行可能ファイルの実行許可ビットが s の場合、プロセスがそのファイルに対して exec を呼び出した後、その euid は実行可能ファイルのユーザー ID に設定されます。プロセスの保存セットユーザー ID は euid.
からコピーされます。 プロセスのeuidがファイルのユーザーIDと一致する場合、プロセスにはファイルのユーザー許可ビットによって設定された許可のみが与えられます
グループ権限 egid の制御ルールも同様です。

exec 実行ファイルを使用して権限属性を変更する
- プロセス ruid 値は常に変更されません;
- 保存されたセットユーザー ID は常に euid からのものです ;
- euid 値は、ファイルの set-user-ID ビットが設定されているかどうかによって異なります。
- ＃＃＃次のように：＃＃＃
setuid(uid) を通じて権限属性を変更する場合:

スーパーユーザーは、ruid、euid、保存されたセットユーザー ID を正常に変更できます;
- 特権のないユーザーは、uid が ruid と等しい場合にのみ euid を変更でき、それ以外の場合は変更できません。
- ＃＃＃＃＃＃例＃＃＃＃＃＃
ユーザーIDの設定

前述したように、この出力の意味は、/usr/bin/sudo ファイルの場合、
1. – 実効ユーザー ID = 男性ユーザー UID
  – 保存されたセットユーザー ID = 男性ユーザー UID
  
  man プログラムは、必要な設定ファイルと man ページにアクセスします。これらのファイルは man ユーザーによって所有されていますが、実効ユーザー ID は man であるため、ファイルへのアクセスは許可されています。
2. 人間がコマンドを実行すると、setuid(getuid())) が呼び出されます (getuid() は実際のユーザー ID を返します)。私たちはスーパーユーザープロセスではないため、この変更では実効ユーザー ID のみが変更されます。次のような状況になります:
3. – 実際のユーザー ID = ユーザー UID (変更されません)
  – 実効ユーザー ID = 私たちのユーザー UID
  – 保存された set-user-ID = 男性のユーザー UID (変更されません)
  
  フィルターが完了したら、setuid(euid)を呼び出します。
  ここで、euid は man ユーザーの UID です (この ID は、geteuid を呼び出す man によって保存されます)。setuid パラメーターが保存された set-user-ID と等しいため、この呼び出しは問題ありません。 (これが、保存された set-user-ID が必要な理由です。) この時点では、次の状況になります:
4. – 実効ユーザー ID = 男性の UID
  – 保存された set-user-ID = 男性のユーザー UID (変更されません)
  
  実効ユーザー ID は man なので、man プログラムは独自のファイルを操作できるようになります。
  このように保存された set-user-ID を使用すると、プロセスの開始時と終了時にプログラムファイルの set-user-ID を介して追加のアクセス許可を使用できます。しかし、この期間中、私たちは独自の権限の下で活動していました。最後に保存された set-user-ID に戻せない場合、実行中に追加のアクセス許可が保持される可能性があります。
5. 人間がシェルを開始すると何が起こるかを見てみましょう:
- ここでのシェルは、人間が fork と exec を使用して起動します。
- 現時点では、実際のユーザー ID と実効ユーザー ID は両方とも通常のユーザー UID (ステップ 3 を参照) であるため、シェルにはその他の追加の権限がありません。
実際には、setuid 関数の使用方法を説明する方法は、プログラムがユーザー ID を root に設定する可能性があるため、特に正しいわけではありません。この時点で、setuid は 3 つの uid をすべて設定した ID に変更しますが、実効ユーザー ID のみを設定する必要があります。

以上がLinux 権限制御の基本原則の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。

bash Filter linux Access

声明：

この記事はlinuxprobe.comで複製されています。侵害がある場合は、admin@php.cn までご連絡ください。

前の記事：Linux で crontab スケジュールされたタスクを削除するにはどうすればよいですか?次の記事：Linux で crontab スケジュールされたタスクを削除するにはどうすればよいですか?

続きを見る