FreeBSD гарын авлага
Өмнөх Бүлэг 17. Mandatory Access Control буюу Албадмал Хандалтын хяналт Дараах

17.17. MAC Тогтолцооны алдааг олж засварлах

Хөгжүүлэлтийн явцад цөөн хэрэглэгчид энгийн тохируулга дээр асуудлууд гарснаа мэдээлсэн. Эдгээр асуудлуудын заримыг доор жагсаав:

17.17.1. multilabel тохируулгыг / дээр идэвхжүүлж болохгүй байна

multilabel туг миний root (/) хуваалтан дээр идэвхтэй болохгүй байна!

50 хэрэглэгч тутмын нэг нь ийм асуудалтай байдаг бололтой, харин бид энэ асуудалтай эхний тохиргооны үеэр тулгарсан. “bug” буюу "цох" гэж нэрлэгдэх үүний цаадах ажиглалт нь үүнийг буруу баримтжуулалт эсвэл баримтын буруу тайлбарлалтын үр дүн гэж намайг итгэхэд хүргэсэн. Энэ яагаад болсноос үл хамааран үүнийг шийдэхийн тулд дараах алхмуудыг хийж болох юм:

  1. /etc/fstab-ийг засварлаж root хуваалтыг зөвхөн унших зорилгоор ro гэж тохируулна.

  2. Ганц хэрэглэгчийн горимд дахин ачаална.

  3. tunefs -l enable тушаалыг / дээр ажиллуулна.

  4. Системийг энгийн горимд дахин ачаална.

  5. mount -urw / тушаалыг ажиллуулж ro тохируулгыг rw болгож /etc/fstab файлд өөрчлөн системийг дахин ачаална.

  6. root файлын систем дээр multilabel тохируулга зөв тохируулагдсаныг баталгаажуулж mount тушаалын гаралтыг дахин шалгаарай.

17.17.2. MAC-ийн дараа X11 серверийг эхлүүлж чадахгүй байна

MAC-ийн тусламжтай аюулгүй орчинг үүсгэсний дараа би X-ийг дахиж эхлүүлж чадахаа больчихлоо!

Энэ нь MAC хуваалтын бодлого эсвэл MAC хаяглалтын бодлогуудын аль нэгний буруу хаяглалтаас болсон байж болох юм. Дибаг хийхийн тулд доор дурдсаныг оролдоод үзээрэй:

  1. Алдааны мэдэгдлийг шалгана; хэрэв хэрэглэгч insecure ангилалд байгаа бол хуваалтын бодлого гэмтэн байж болох юм. Хэрэглэгчийн ангиллыг default буюу анхдагч ангилал уруу тохируулж мэдээллийн баазыг cap_mkdb тушаалын тусламжтай дахин бүтээх хэрэгтэй. Хэрэв энэ нь асуудлыг арилгаж чадахгүй байгаа бол хоёрдугаар алхам уруу ор.

  2. Хаяг/шошгоны бодлогуудыг давхар шалгаарай. Асуудалтай байгаа хэрэглэгч, X11 програм болон /dev оруулгуудын хувьд бодлогууд зөв заагдсан эсэхийг баталгаажуулаарай.

  3. Хэрэв эдгээрийн аль нь ч асуудлыг тань шийдэхгүй бол TrustedBSD вэб сайтад байрлах TrustedBSD-ийн хэлэлцүүлгийн жагсаалтууд эсвэл FreeBSD ерөнхий асуултууд захидлын жагсаалт захидлын жагсаалт уруу алдааны мэдэгдэл болон өөрийн орчны тухай мэдээллийг илгээгээрэй.

17.17.3. Error: _secure_path(3) cannot stat .login_conf

Намайг root хэрэглэгчээс систем дээрх өөр хэрэглэгч уруу шилжихийг оролдох үед “_secure_path: unable to state .login_conf” гэсэн алдаа гараад байна.

Энэ мэдэгдэл нь тэр болох гэж байгаа хэрэглэгчийн хаяг/шошгоны тохиргооноос хэрэглэгчийн өөрийнх нь тохиргоо өндөр байгааг ихэвчлэн үзүүлдэг. Жишээ нь систем дээрх хэрэглэгч joe анхдагч biba/low гэсэн хаяг/шошготой байна гэж бодъё. biba/high хаяг/шошготой root хэрэглэгч joe-ийн гэр санг харж чадахгүй. Энэ нь root хэрэглэгч su тушаал ашиглан joe болсон ч гэсэн болохгүй байна. Энэ тохиолдолд Biba бүрэн бүтэн байдлын загвар нь root хэрэглэгчийг бүрэн бүтэн байдлын доод түвшин тохируулагдсан обьектуудыг харахыг зөвшөөрөхгүй байх болно.

17.17.4. root хэрэглэгчийн нэр эвдэрсэн байна!

Энгийн эсвэл бүр ганц хэрэглэгчийн горимд root хэрэглэгч танигддаггүй. whoami тушаал 0 (тэг) буцаах бөгөөд su тушаал “who are you?” гэсэн алдааны мэдэгдлийг буцаадаг. Юу болоод байгаа юм бол оо?

Энэ нь хаяглах бодлого sysctl(8)-оор хаагдсан эсвэл бодлогын модулийг буулгаснаас болдог. Хэрэв бодлого хаагдсан эсвэл түр зуур хаагдсан бол label тохируулгыг арилган нэвтрэлтийн боломжуудын мэдээллийн баазыг дахин тохируулах хэрэгтэй. Бүх label тохируулгууд арилсан эсэхийг баталгаажуулж login.conf файлаа дахин шалгаж мэдээллийн баазаа cap_mkdb тушаалаар дахин бүтээх хэрэгтэй.

Энэ нь master.passwd файлд эсвэл мэдээллийн баазад хандах хандалтыг бодлого хязгаарласнаас болоод бас гарч болох юм. Системд ашиглагдаж байгаа ерөнхий бодлоготой зөрчилдөх хаяг/шошгоны доор администратор файлыг өөрчлөхөд ихэвчлэн ингэдэг. Ийм тохиолдлуудад хэрэглэгчийн мэдээллийг систем унших бөгөөд файл нь шинэ хаяг/шошго удамшин авсан болохоор хандалт хаалттай байх болно. Бодлогыг sysctl(8)-ий тусламжтай хаах хэрэгтэй. Ингэхэд бүх зүйлс хэвийндээ эргэн орох болно.

Өмнөх Эхлэл Дараах
Хэрэглэгчийг түгжих Дээш Аюулгүй байдлын үйл явцад аудит хийх нь

Энэ болон бусад баримтуудыг ftp://ftp.FreeBSD.org/pub/FreeBSD/doc/ хаягаас татаж авч болно.

FreeBSD-ийн талаар <questions@FreeBSD.org> хаягтай холбоо барихаасаа өмнө баримтыг уншина уу.
Энэ бичиг баримттай холбоотой асуулт байвал <doc@FreeBSD.org> хаягаар цахим захидал явуулна уу.
Энэ бичиг баримтын орчуулгатай холбоотой асуулт байвал <admin@mnbsd.org> хаягаар цахим захидал явуулна уу.