🛡️ Hoofdstuk 15.3: Context-Based Permissions in Linux
Linux maakt gebruik van verschillende methoden om bestands- en maprechten te beheren. Naast de klassieke rechtenstructuur biedt het besturingssysteem ondersteuning voor uitgebreidere beveiligingsmodellen zoals MAC (Mandatory Access Control).
────────────────────────────────────────────
🔑 DAC vs. MAC – Verschillende Toegangsmodellen
────────────────────────────────────────────
• **Discretionary Access Control (DAC)**
– De eigenaar van een bestand of map bepaalt wie toegang heeft.
– Standaard Linux-machtigingen en ACL's vallen onder DAC.
• **Mandatory Access Control (MAC)**
– Beveiligingsregels worden door de systeembeheerder ingesteld.
– Overschrijft DAC indien nodig.
– Onderdeel hiervan is **RBAC** (Role-Based Access Control).
📌 Bekende MAC-systemen:
• **SELinux** – Veel gebruikt op Red Hat-systemen
• **AppArmor** – Eenvoudiger alternatief op Ubuntu en Debian
────────────────────────────────────────────
🔐 SELinux – Geavanceerde Toegangscontrole
────────────────────────────────────────────
SELinux gebruikt beleid (policies) om te bepalen of gebruikers, processen of programma’s toegang krijgen tot objecten (zoals bestanden of netwerkpoorten).
📁 Configuratiebestand:
• `/etc/selinux/config`
Hierin stel je de globale SELinux-status en -policytype in.
SELINUX =
• `enforcing` – Actief beleid, toegang wordt geblokkeerd indien ongeoorloofd
• `permissive` – Alleen loggen van overtredingen
• `disabled` – SELinux volledig uitgeschakeld
SELINUXTYPE =
• `targeted` – Alleen netwerkdiensten onder toezicht (standaard)
• `minimum` – Alleen geselecteerde processen
• `mls` – Strikte beveiliging op basis van niveaus (Bell-LaPadula model)
📊 SELinux Statusbeheer:
• `getenforce` – Toont of SELinux actief is
• `sestatus` – Toont uitgebreide statusinformatie
⚙️ Beheer van Beleid:
• `setenforce` – Wissel tussen enforcing (1) en permissive (0)
• `semodule` – Installeer, verwijder of wijzig SELinux-modules
• `setsebool` – Zet bepaalde regels aan of uit
• `getsebool -a` – Toon alle boolean-instellingen
────────────────────────────────────────────
🔎 SELinux Security Contexts
────────────────────────────────────────────
Objecten (zoals bestanden) hebben labels met vier onderdelen:
`gebruiker:rol:type:niveau`
Voorbeeld:
• `system_u:object_r:httpd_sys_content_t:s0`
🔹 Tools voor contextbeheer:
• `ls -Z` – Toon contexten van bestanden
• `ps -Z` – Toon contexten van processen
• `netstat -Z` – Toon contexten van netwerkverbindingen
🔧 Context aanpassen:
• `chcon` – Wijzig tijdelijk de context van een bestand
• `restorecon` – Herstel de standaardcontext
• `semanage` – Configureer permanente contexten
────────────────────────────────────────────
🌐 AppArmor – Een Lichter Beveiligingssysteem
────────────────────────────────────────────
AppArmor gebruikt profielen per applicatie om bestands- en netwerktoegang te beheren. Het is eenvoudiger te configureren dan SELinux.
📁 Profielen bevinden zich in:
`/etc/apparmor.d/`
Bestandsnamen zijn gebaseerd op het pad van het programma.
Voorbeeld:
• `/usr/sbin/mysqld` → profiel: `usr.sbin.mysqld`
📊 AppArmor Status- en Profielbeheer:
• `aa-status` – Controleer actieve profielen
• `aa-complain` – Zet een profiel in logmodus
• `aa-enforce` – Zet een profiel actief
• `aa-disable` – Schakel een profiel uit
• `aa-unconfined` – Toon processen zonder actief profiel
────────────────────────────────────────────
✅ Conclusie
────────────────────────────────────────────
• DAC bepaalt basisrechten, maar MAC biedt extra controle.
• SELinux is krachtig en geschikt voor streng beveiligde systemen.
• AppArmor is eenvoudiger in gebruik en goed inzetbaar voor desktops.
• Beide systemen versterken de beveiliging van Linux aanzienlijk wanneer correct geconfigureerd.