Замкнутая среда chroot

Дополнительным средством обеспечения безопасности прикладных сервисов является возможность изменения корневого каталога, который доступен для конкретного процесса. Это позволяет ограничить зону действия программ частью общего дерева каталогов. Изменение корневого каталога затрагивает только текущий процесс (то есть, процесс, сделавший системный зов chroot) и всех его потомков.

Одна из проблем при использовании утилиты chroot заключается в том, что все программы и библиотеки, необходимые для работы защищаемой программы, должны быть скопированы в chroot-каталог (в замкнутую среду chroot). При запуске в замкнутой среде утилиты /bin/ls невозможно получить доступ к реальному каталогу /bin. Поэтому необходимо в самой замкнутой среде создать этот каталог и скопировать в него программный код ls, а также еще несколько необходимых библиотек. Для упрощения работы с замкнутыми средами chroot разработано несколько программ, таких как Jail и Cell.

Jail – это набор программ на языках C и Perl. Программа addjailsw автоматически устанавливает необходимые каталоги и файлы. Также в набор входят программы для создания новых пользователей в замкнутой среде chroot и программы для установки других часто используемых файлов из каталога /dev, например /dev/null. Однако, программы Jail копируют слишком много файлов в замкнутую среду chroot, поэтому необходима отладка и удаление лишней информации. В частности, это касается файлов из каталогов /bin и /usr/bin и реальных записей в файле /etc/passwd.

Контрольные вопросы

1. От каких факторов зависит безопасность web-сервера Apache?

2. Каким образом можно ограничить доступ к серверу Apache?

3. Можно ли определить, какие компьютеры получали доступ к серверу Apache?

4. В каком случае суперпользователю будут предоставлены расширенные полномочия по отношению к серверу Apache?

5. Какие модули Apache влияют на его безопасность?

6. Почему необходимо разделить дерево подкаталогов защищенного и незащищенного сервера Apache?

7. Для чего используется установка псевдонимов?

8. Что нужно сделать для усиления защиты Apache с помощью chroot?

9. Какие недостатки утилиты chroot вы можете назвать?

10. Какими факторами обосновано появление программы Jail?

Лекция 17.

КОНТРОЛЬ ЗАЩИЩЕННОСТИ ОС

Инсталляция типичного Unix-сервера включает в среднем около 30400 файлов. Администратор не в состоянии проконтролировать целостность всех системных файлов. Для решения этих проблем было создано несколько программ, наиболее распространенная из которых Tripwire.

Поиск по сайту: