SELinux的安全機(jī)制有哪些

　　SELinux一直被認(rèn)為是最安全的Linux系統(tǒng)，因?yàn)镾ELinux是由美國(guó)國(guó)家安全局開(kāi)發(fā)的，有多層安全機(jī)制。那么SELinux安全機(jī)制有哪些?下面學(xué)習(xí)啦小編就為大家介紹一下具體的內(nèi)容吧，歡迎大家參考和學(xué)習(xí)。

　　SELinux的安全機(jī)制：

　　類(lèi)型強(qiáng)制策略相比SELinux引入的MAC(強(qiáng)制訪問(wèn)控制)是比較遙遠(yuǎn)的。然而，在一些情況下，特別是在分類(lèi)的政府應(yīng)用的子集中，傳統(tǒng)的MLS(多層安全機(jī)制)強(qiáng)制訪問(wèn)控制加上TE是非常有價(jià)值的。在意識(shí)到這個(gè)情形之后，SELinux也包括一些MLS的形式。在SELinux中，MLS的特征是可選的，并且相比兩個(gè)強(qiáng)制訪問(wèn)控制機(jī)制來(lái)說(shuō)是次要的。對(duì)于絕大部分安全應(yīng)用來(lái)說(shuō)，包括許多沒(méi)有很少有數(shù)據(jù)分類(lèi)的應(yīng)用來(lái)說(shuō)，對(duì)于增強(qiáng)型安全機(jī)制，TE策略是最合適的機(jī)制。盡管如此，MLS的添加也提高了一些應(yīng)用的安全性。

　　MLS的實(shí)際實(shí)現(xiàn)是非常復(fù)雜的。被MLS系統(tǒng)使用的安全層是分層的敏感度和一系列非層次目錄集合(包括空集合)的綜合體。這些敏感度和目錄被用來(lái)反映真實(shí)信息的機(jī)密性和用戶許可。在大多數(shù)SELinux策略中，敏感度(s0，s1…)和目錄(c0，c1…)被給予通用的名稱(chēng)，使用戶空間程序和類(lèi)庫(kù)來(lái)分配用戶有意義的名稱(chēng)。(例如，s0可能與UNCLASSIFIED相關(guān)聯(lián)，s1可能與SECRET相關(guān)聯(lián)。)

　　為了支持MLS，安全上下文被擴(kuò)展包含安全層次，例如這些

　　user_r:role_type:sensitivity[：category，…][-sensitity[：catagory，…]]

　　注意，MLS安全上下文一定至少有一個(gè)安全層(該安全層是由一個(gè)單獨(dú)的敏感度和0個(gè)或者是多個(gè)目錄組成)，但是能夠包含兩個(gè)安全層。這兩個(gè)安全層分別被稱(chēng)作低層(或者是當(dāng)前進(jìn)程層)和高層(進(jìn)程間隙)，如果高安全層丟失了，那么他就被認(rèn)為是和低層(通常情況下)是一樣的。特別的，對(duì)于大多數(shù)客體和進(jìn)程來(lái)說(shuō)，低安全層和高安全層通常是一樣的。一系列的安全層被用于可信任的主體(也就是可以信賴(lài)的能夠降密信息的主體)和多層客體，例如可能包含不同安全層的客體的目錄。為了縱觀這個(gè)點(diǎn)，我們假設(shè)所有的進(jìn)程和客體都只有單一的安全層。

　　訪問(wèn)客體的MLS規(guī)則和在第一章節(jié)中討論的一樣，除了安全層不是分層的而是受支配關(guān)系支配的。不相平等關(guān)系中一層要低于或者是高于另外一層，在支配關(guān)系中，存在一個(gè)稱(chēng)作無(wú)比的第四狀態(tài)(也被稱(chēng)作不可比的。請(qǐng)?jiān)谙旅娴牧斜碇胁榭床豢杀?incomp)的定義)。導(dǎo)致安全層和支配相關(guān)而不是和平等關(guān)系相關(guān)的原因就是目錄。，目錄與另外一個(gè)目錄是沒(méi)有層次關(guān)系的。因此，下面列出了能夠?qū)蓚€(gè)MLS安全層相聯(lián)系的四個(gè)支配操作符：

　　dom： (dominate)SL1 dom SL2，如果SL1的靈敏度要比SL2的靈敏度高或者是相等，并且SL1的目錄是SL2目錄的超級(jí)集合。

　　domby (dominated by)SL1 domby SL2，如果SL1的靈敏度要低于SL2的靈敏度或者是 和SL2相等，同時(shí)，SL1的目錄是SL2目錄的子集。

　　eq： (equals)SL1 eq SL2，如果SL1的靈敏度和SL2的靈敏度相同，并且SL1的目錄 和SL2的目錄是同一個(gè)集合。

　　incomp： (incomparable 或者是 noncomparable)SL1 incomp SL2，如果SL1的目錄和SL2的目錄是不可比的(也就是，兩個(gè)誰(shuí)也不是誰(shuí)的子集)

　　給定域關(guān)系，Bell-La Padula模型的一個(gè)變種在SELinux中被實(shí)現(xiàn)，一個(gè)進(jìn)程能夠“讀”一個(gè)客體，如果，該進(jìn)程的當(dāng)前安全層能夠支配客體的安全層，并且能夠“寫(xiě)”一個(gè)客體，如果進(jìn)程的安全層是被客體的安全層支配的話。(因此當(dāng)且僅當(dāng)兩個(gè)安全層是相等的時(shí)候，才既能讀，又能寫(xiě))。

　　正是因?yàn)镾ELinux有了多重的安全機(jī)制，所以越來(lái)多政府部門(mén)和大公司使用SELinux系統(tǒng)的服務(wù)器，以保障信息的安全。