Solaris Trusted Extensions 開発ガイド

第 9 章 Solaris Trusted Extensions ラベル API 用の実験的 Java バインディング

この章では、Solaris Trusted Extensions ソフトウェアに備えられているラベル API (アプリケーションプログラミングインタフェース) をミラー化する Java^TM クラスおよびメソッドの実験的な設定について説明します。Trusted Extensions ラベル API の Java 実装は、ラベル対応アプリケーションの作成に使用することを目的とします。したがって、Trusted Extensions で提供されるラベル API のすべてが、Java 実装の一部に含まれるわけではありません。

これら実験的 Java API (Java バインディング) の提示では、Solaris Trusted Extensions の機能を Java の開発環境にどのように展開できるかを示します。

注意 –

このような実験的 Java バインディングは、 Solaris Trusted Extensions ソフトウェアのサポート対象部分ではありません。

この章の内容は次のとおりです。

Java バインディングの概要

Java 言語は、セキュリティー保護されたマルチレベル領域で実行されるラベル対応アプリケーションの作成では、未開発のリソースです。これらの実験的 Java バインディングにより、システム監査ログの生成やシステムリソースの制御など、より多くのアプリケーションを開発するための基盤が提供されます。

Java 環境にプラットフォームサービスを追加すると、Java アプリケーションでマルチレベルの機密データを処理できるようになります。

Solaris Trusted Extensions では、ラベルデーモン labeld を介してラベルサービスが提供されます。このデーモンは、大域ゾーンおよびラベル付きゾーンで実行されるプロセスに使用できます。

この章で説明する Java バインディングは、一部の Solaris Trusted Extensions ラベル API の Java Native Interface (JNI^TM) 実装です。実験的 JNI コードで Solaris Trusted Extensions ラベルのライブラリ関数を呼び出して、ラベル機能の一部を Java 言語に拡張します。これらの Java クラスのコンストラクタおよびメソッドはC で記述された非公開 JNI インタフェースを呼び出し、呼び出された非公開 JNI インタフェースは Trusted Extensions API を呼び出します。たとえば、SolarisLabel.dominates メソッドで、C で記述された専用 JNI インターフェースを呼び出し、これを使用して bldominates() ルーチンを呼び出します。このような実験的 Java バインディングは、Java 2 Platform, Standard Edition 5.0 を使用して開発されました。JNI の詳細は、Java Native Interface のマニュアルを参照してください。

この実験的コードは、OpenSolaris^TM の Web サイトの Solaris Trusted Extensions プロジェクトのページからダウンロードできます。

実験的 Java ラベルインタフェースの構造

Trusted Extensions ラベル API の JNI 実装により、次のように相互に関連するいくつかのラベル関連クラスが導入されます。

SolarisLabel abstract クラス
- ClearanceLabel サブクラス
- SensitivityLabel サブクラス
Range クラス

`SolarisLabel` abstract クラス

SolarisLabel abstract クラスは、Solaris Trusted Extensions ラベルに関連付けられた共通のネイティブメソッドの基盤を提供します。SensitivityLabel および ClearanceLabel サブクラスは、この abstract クラスからメンバーを継承します。機密ラベルおよび認可上限ラベルを作成するための static ファクトリも、この abstract クラスにより提供されます。

static ファクトリおよびメソッドは、エラーが検出されると例外をスローして、メッセージを表示せずに必須アクセス制御に関するエラーが発生していないことを確認します。

この abstract クラスで次の汎用メソッドを定義し、これを使用してラベルを比較したりラベルを文字列に変換したりします。

dominates
equals
setFileLabel
strictlyDominates
toColor
toInternal
toRootPath
toString
toText
toTextLong
toTextShort

equals、dominates および strictlyDominates メソッドは、Solaris Trusted Extensions で現在使用可能な blequal()、bldominates()、および blstrictdom() ラベル API とよく似ています。setFileLabelメソッドは、Solaris Trusted Extensions で現在使用可能な setflabel() ルーチンとよく似ています。

toText、 toInternal、toColorなどのその他のメソッドは、現在 Solaris Trusted Extensions で使用可能な label_to_str() ルーチンと機能が関連しています。これらのメソッドで、ラベルを特定の型の文字列に変換することができます。プロセスおよびオブジェクトのラベル関係によっては、ラベルを人間が読み取れる形式に変換するための実効セットで特権が必要となる場合があります。たとえば、Java 仮想マシン (JVM^TM) が優位でないラベルを変換するには、そのプロセスを sys_trans_label 特権を使って実行している必要があります。

SolarisLabel abstract クラスには次の static ファクトリも含まれます。

getClearanceLabel
getFileLabel
getSensitivityLabel
getSocketPeer

ラベルとして getSensitivityLabel または getClearanceLabelに渡す文字列は、次の形式のいずれかにすることができます。

PUBLIC などの人間が読み取れる形式のラベル
0x0002-08-08 などの内部形式のラベル

保存やネットワーク接続上での伝送に適しているのは内部形式のラベルだけですが、これは、内部形式は実際のラベルを明らかにしないためです。詳細は、「ラベルの読み取り可能バージョン」を参照してください。

ClearanceLabel および SensitivityLabel サブクラスは、SolarisLabel abstract クラスを拡張します。これらのサブクラスはそれぞれ、SolarisLabel abstract クラスで提供される共通メソッドを継承します。

`ClearanceLabel` サブクラス

ClearanceLabel サブクラスは SolarisLabel abstract クラスを拡張し、getMaximumおよび getMinimum メソッドを定義して、最小上限と最大下限をそれぞれに表す ClearanceLabel オブジェクトを返します。

`SensitivityLabel` サブクラス

SensitivityLabel サブクラスは SolarisLabel abstract クラスを拡張し、getMaximumおよび getMinimumメソッドを定義して、最小上限と最大下限をそれぞれに表す SensitivityLabel オブジェクトを返します。

SensitivityLabel サブクラスにより導入される次のメソッドにより、ラベル付けされたプリンタバナーページに適した情報が提供されます。

toCaveats
toChannels
toFooter
toHeader
toProtectAs

`Range` クラス

Range クラスは、Java バージョンの Solaris Trusted Extensions ラベル範囲を表します。

このクラスで次の汎用メソッドを定義し、これを使用してラベル範囲内の上限および下限のラベルを取得して、ラベルが指定したラベル範囲内にあるかどうかを判別します。

getLower
getUpper
inRange

Range クラスには次の static ファクトリも含まれており、範囲オブジェクトを作成します。

getDeviceRange
getLabelRange
getUserRange

getDeviceRangeStaticファクトリと getUserRange static ファクトリは、それぞれ指定されたデバイスと指定されたユーザーの範囲に基づいて、範囲オブジェクトを作成します。getLabelRange static ファクトリは、範囲の上限と下限を指定したラベル範囲を作成することができます。

Java バインディング

Trusted Extensions ラベル API の Java 実装は、ラベル対応アプリケーションの作成に使用することを目的とします。したがって、Trusted Extensions で提供されるラベル API のすべてが Java 実装の一部に含まれるわけではありません。

この章で提示されている Java クラスおよびメソッドは、「ラベル API」に示されている次の一般的なラベル機能によく似ています。

Trusted Extensions システムの検出
プロセス機密ラベルへのアクセス
ラベルオブジェクトのためのメモリーの割り当てと解放
ファイルのラベルの取得と設定
ラベル範囲オブジェクトの取得
ゾーンのラベルへのアクセス
遠隔ホストタイプの取得
ラベルと文字列との変換
ラベルオブジェクトの比較

Trusted Extensions システムの検出

これらの Java バインディングには、システムにラベルが付けられているかどうかを判別するメソッドは含まれません。むしろ、Trusted Extensions が有効でない場合にはライブラリでのロードが失敗します。

プロセス機密ラベルへのアクセス

これらの Java バインディングには、プロセスのラベルを取得するメソッドは含まれません。Trusted Extensions では、ラベル付けされたゾーンで実行されるプロセスに、そのゾーンと同じラベルがあります。

ラベルオブジェクトのためのメモリーの割り当てと解放

これらの Java バインディングでは、Java の「ガベージコレクション」機能を利用します。これによって、「ファイルのラベルの取得と設定」で説明されているラベル API に対して行うように、ラベルオブジェクトによって使用されたメモリーを明示的に解放する必要がありません。

ファイルのラベルの取得と設定

これらの Java バインディングでは、Java File オブジェクトを使用して、ファイルラベルの取得および設定を行います。getFileLabel static ファクトリを使用して、ファイルの File オブジェクトからラベルを取得します。ファイルラベルを別の指定ラベルに設定するには、 setFileLabel メソッドをファイルの File オブジェクトに対して使用します。

ファイルの機密ラベルの取得に加えて、getSocketPeer static ファクトリは、ソケットのピア終端用に機密ラベルの取得を可能にします。

getFileLabel static ファクトリおよび setFileLabelメソッドは、それぞれ getlabel() システムコールと setflabel() ルーチンにそれぞれ対応します。詳細は、「ファイルのラベルの取得と設定」および getlabel(2) と setflabel(3TSOL) のマニュアルページを参照してください。

次の記述には、static ファクトリおよびメソッドのプロトタイプ宣言が含まれます。

public static SensitivityLabel getFileLabel(java.io.File file)

getFileLabel static ファクトリでは、file によって指定された Java File オブジェクトのラベルを取得します。

public static SensitivityLabel getSocketPeer(java.net.Socket socket)

getSocketPeer static ファクトリは、指定されたソケット socket から機密ラベルオブジェクト、socket を取得します。

次のコードフラグメントは、ソケット s の機密ラベルオブジェクトを取得します。

SensitivityLabel sl = SolarisLabel.getSocketPeer(s);

次のコーディグ例は、サーバーソケットをポート 9090 上に作成し、使用可能な接続のピア終端の機密ラベルを取得する方法を示します。このコーディング例では、取得されたソケットピアラベルに関して、内部形式、人間が読み取れる形式、色、およびルートパスも出力されます。

import java.io.*;
import java.net.*;
import solarismac.*;

public class ServerSocketTest
{

    public static void main (String args[]) {

        System.out.println("ServerSocketTest Start");

        CreateListner();

        System.out.println("ServerSocketTest End");

    }

    /*
     * Listen for connections on port then print the peer connection label.
     * You can use telnet host 9090 to create a client connection.
     */
    private static void CreateListner() {
        int port = 9090;

        ServerSocket acceptSocket;
        Socket s;
        try {
            System.out.println("Creating ServerSocket on port " + port);

            acceptSocket = new ServerSocket(port);

            System.out.println("ServerSocket created, waiting for connection");

            s = acceptSocket.accept();

            /*
             * Get the Sensitivity Label for the peer end of the socket.
             */
            SensitivityLabel socksl = SolarisLabel.getSocketPeer(s);

            System.out.println("Client connected...");
            System.out.println(" toInternal: " + socksl.toInternal());
            System.out.println(" toText: " + socksl.toText());
            System.out.println(" toString: " + socksl.toString());
            System.out.println(" toColor: " + socksl.toColor());
            System.out.println(" toRootPath: " + socksl.toRootPath());
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

public static void setFileLabel(java.io.File file, SensitivityLabel label)

setFileLabel メソッドで、指定したファイルの機密レベルを指定したラベルに変更します。ファイルの機密ラベルが変わると、新しいラベルに対応するゾーンにファイルが移動します。ファイルは、ほかのゾーンのルートに相対的な新しいパス名に移動します。

たとえば、setFileLabel メソッドを使用して、ファイル /zone/internal/documents/designdoc.odt のラベルを INTERNAL から RESTRICTED に変更すると、このファイルの新しいパスは /zone/restricted/documents/designdoc.odt になります。移動先のディレクトリが存在しない場合、ファイルは移動しません。

次のコードフラグメントは、ファイルのラベルをどのような方法で変更すべきかを示しています。

SolarisLabel.setFileLabel(new File("/zone/internal/documents/designdoc.odt"),
    SolarisLabel.getSensitivityLabel("RESTRICTED"));

ファイルの機密ラベルを変更すると、元のファイルは削除されます。移動元と移動先のファイルシステムが同じ基礎となるファイルシステムからループバックマウントされる場合は例外です。この場合、ファイルの名前が変更されます。

Java 仮想マシンは、ファイルのラベル変更に適した特権 (file_upgrade_sl または file_downgrade_sl) で実行されている必要があります。

特権の設定に関する詳細は、『Solaris セキュリティーサービス開発ガイド』の第 2 章「特権付きアプリケーションの開発」を参照してください。 setflabel(3TSOL) のマニュアルページも参照してください。

ラベル範囲オブジェクトの取得

getLabelRange static ファクトリで、ラベル範囲オブジェクトを作成します。getUserRange および getDeviceRange static ファクトリでは、ユーザーおよびデバイスのラベル範囲オブジェクトをそれぞれ取得します。getUpper および getLower メソッドを使用して、範囲の上位ラベルおよび下位ラベルをそれぞれ取得します。さらに、inRangeメソッドを使用して、指定したラベルが範囲内にあるかどうかを判別します。inRange の詳細は、「ラベルオブジェクトの比較」を参照してください。

getUserRange および getDeviceRange static ファクトリは、 getuserrange() および getdevicerange() ルーチンに対応します。詳細は、「ラベル範囲の取得」および getdevicerange(3TSOL) のマニュアルページを参照してください。

次のコンストラクタおよびメソッドの記述には、各コンストラクタのプロトタイプ宣言が含まれています。

public static Range getDeviceRange(java.lang.String device)

getDeviceRange static ファクトリでは、ユーザーが割り当て可能なデバイスのラベル範囲を取得します。デバイスにラベル範囲を指定しない場合のデフォルト範囲は、上限が ADMIN_HIGH、下限が ADMIN_LOW です。

list_devices コマンドを使用して、デバイスのラベル範囲を表示できます。list_devices(1) および getdevicerange(3TSOL) のマニュアルページを参照してください。

public static <L extends SolarisLabel,U extends SolarisLabel> Range getLabelRange(L lower, U upper)

getLabelRange static ファクトリでラベル範囲を作成します。static ファクトリでは、パラメータとして範囲の下限値および上限、すなわち認可上限を利用します。upper が lower より優位でない場合は、例外がスローされます。

public L getLower()

getLower メソッドは範囲内の下位の部分を返します。

public U getUpper()

getUpperメソッドは範囲内の上位の部分を返します。

public static Range getUserRange(java.lang.String user)

getUserRange static ファクトリは、指定したユーザーのラベル範囲を取得します。ユーザーがマルチレベルデスクトップにログインするときに、範囲の下限がラベルとして使用されます。範囲の上限、すなわち認可上限は、ラベル付けされたワークスペースにユーザーが割り当てることができる使用可能なラベルに対する上限として使用されます。

ユーザーのラベル範囲のデフォルト値は label_encodings ファイルで指定します。その値は user_attr ファイルによって上書きできます。

詳細は、getuserrange(3TSOL) のマニュアルページを参照してください。

ゾーンのラベルへのアクセス

次の記述には、メソッドのプロトタイプ宣言が含まれます。

public final java.lang.String toRootPath()

このメソッドは、指定した機密ラベルのゾーンのルートパス名を返します。

次のコーディング抜粋は、PUBLIC 機密ラベルのルートパスを取得する方法を示します。

SensitivityLabel sl = SolarisLabel.getSensitivityLabel("PUBLIC");
System.out.println("toRootPath: " + sl.toRootPath();

無効なラベルが指定されるか、または指定したラベルにゾーンが設定されていない場合、このメソッドは java.io.IOException をスローします。

このメソッドは getzonerootbylabel() ルーチンによく似ています。getzonerootbylabel(3TSOL) のマニュアルページを参照してください。「ゾーンのラベルへのアクセス」も参照してください。

遠隔ホストタイプの取得

Trusted Extensions ラベル API の Java 実装には、遠隔ホストタイプ取得用のインタフェースは含まれません。

ラベルと文字列との変換

SolarisLabel abstract クラスには、ラベルと文字列間の変換に使用するメソッドが含まれており、そのメソッドのサブクラスによって継承されます。

これらのメソッドで、ラベルの内部表現 (m_label_t) を String オブジェクトに変換します。

toInternalメソッドを使用して、格付け名を表示しない文字列にラベルを変換できます。この形式は、共通オブジェクトでのラベルの格納に適します。

Java 仮想マシンの実行は、変換されるラベルよりも優位であることが必要です。つまり、sys_trans_label 特権を持つ必要があります。label_to_str(3TSOL) のマニュアルページを参照してください。

一部のラベル値は、label_encodings ファイル内のデータに基づきます。

次のメソッドは label_to_str() ルーチンによく似ています。label_to_str(3TSOL) のマニュアルページを参照してください。

public final java.lang.String toColor()

このメソッドは SolarisLabel オブジェクトの色を返します。この値は HTML での使用に適しています。

public final java.lang.String toInternal()

このメソッドは、公開オブジェクトへの格納に安全なラベルの内部表現を返します。内部変換は、あとでその同じ値に解析することができます。これは toString メソッドの使用方法と同じです。

これらの 2 つのメソッドでは、エラーの処理方法が異なります。toInternalメソッドでエラーが検出された場合には、java.io.IOException が返されます。一方、toString メソッドでエラーが検出された場合は、NULL が返されます。

public java.lang.String toString()

このメソッドは、ラベルの内部 16 進数バージョンを文字列形式で返します。これは、toInternal メソッドの使用方法と同じです。

これらの 2 つのメソッドでは、エラーの処理方法が異なります。toString メソッドでエラーが検出された場合は、NULL が返されます。ただし、 toInternal メソッドでエラーが検出された場合には、java.io.IOException が返されます。

public java.lang.String toText()

このメソッドは、SolarisLabel オブジェクトの人間が読み取れる文字列を長形式で返します。

public java.lang.String toTextLong()

このメソッドは、SolarisLabel オブジェクトの人間が読み取れる文字列を長形式で返します。

public java.lang.String toTextShort()

このメソッドは、SolarisLabel オブジェクトの人間が読み取れる文字列を長形式で返します。

次のメソッドで、マルチレベルのプリンタバナーページの作成に適したラベル変換を実行します。これらのメソッドは、label_to_str() ルーチンの一部の機能とよく似ています。label_to_str(3TSOL) および m_label(3TSOL) のマニュアルページを参照してください。

public java.lang.String toCaveats()

このメソッドは、バナーページの警告セクションの作成に適した、人間が読み取れるテキスト文字列を返します。