Trusted Extensions의 기본 개념

Trusted Extensions 소프트웨어는 Oracle Solaris 시스템에 레이블을 추가합니다. Label Builder(레이블 구축기) 및 Device Allocation Manager(장치 할당 관리자)와 같은 레이블이 있는 데스크탑과 신뢰할 수 있는 응용 프로그램도 추가됩니다. 여기서는 사용자와 관리자 모두가 Trusted Extensions를 이해하는 데 필요한 개념에 대해 설명합니다. 이러한 개념은 Oracle Solaris Trusted Extensions 사용자 설명서에 소개되어 있습니다.

Trusted Extensions 보호

Trusted Extensions 소프트웨어는 Oracle Solaris OS의 보호 기능을 강화합니다. Oracle Solaris OS에서는 암호가 필요한 사용자 계정으로 시스템에 대한 액세스를 보호합니다. 암호를 특정한 길이로 정기적으로 변경하도록 요구할 수 있습니다. 역할이 관리 작업을 수행하려면 추가 암호가 필요합니다. 역할은 로그인 계정으로 사용될 수 없기 때문에 추가 인증을 사용하면 루트 암호를 추측하려는 침입자에 의해 발생할 수 있는 피해를 제한할 수 있습니다. Trusted Extensions 소프트웨어는 사용자와 역할을 승인된 레이블 범위로 제한하여 보호 기능을 강화합니다. 이 레이블 범위에 따라 사용자와 역할이 액세스할 수 있는 정보가 제한됩니다.

Trusted Extensions 소프트웨어는 신뢰할 수 있는 스트라이프의 왼쪽에 나타나는 확실한 변조 방지 엠블럼인 Trusted Path(신뢰할 수 있는 경로) 기호를 표시합니다. Trusted CDE에서 스트라이프는 화면의 맨 아래에 있습니다. Trusted JDS에서 스트라이프는 화면의 맨 위에 있습니다. Trusted Path(신뢰할 수 있는 경로) 기호는 사용자가 시스템의 보안 관련 부분을 사용 중일 때 나타납니다. 사용자가 신뢰할 수 있는 응용 프로그램을 실행할 때 이 기호가 나타나지 않는 경우 응용 프로그램의 해당 버전이 인증되었는지 즉시 확인하십시오. 신뢰할 수 있는 스트라이프가 나타나지 않는 경우 해당 데스크탑을 신뢰할 수 없습니다. 샘플 데스크탑 표시는 그림 1-1을 참조하십시오.

그림 1-1 Trusted Extensions 다중 레벨 CDE 데스크탑

대부분의 보안 관련 소프트웨어 즉, TCB(Trusted Computing Base)는 전역 영역에서 실행됩니다. 일반 사용자는 전역 영역에 연결하거나 전역 영역의 리소스를 볼 수 없습니다. 사용자는 TCB 소프트웨어와 상호 작용(예: 암호 변경)할 수 있습니다. Trusted Path(신뢰할 수 있는 경로) 기호는 사용자가 TCB와 상호 작용할 때마다 표시됩니다.

Trusted Extensions 및 액세스 제어

Trusted Extensions 소프트웨어에서는 DAC(임의 액세스 제어) 및 MAC(필수 액세스 제어)를 통해 정보와 기타 리소스를 보호합니다. DAC는 소유자가 임의로 설정하는 일반 UNIX 권한 비트 및 액세스 제어 목록입니다. MAC는 시스템에서 자동으로 적용하는 메커니즘입니다. MAC는 프로세스의 레이블과 트랜잭션 데이터를 확인하여 모든 트랜잭션을 제어합니다.

사용자의 레이블은 사용자가 작업할 수 있거나 작업하도록 선택하는 민감도 수준을 나타냅니다. 일반 레이블은 Secret 또는 Public입니다. 레이블에 따라 사용자가 액세스할 수 있는 정보가 결정됩니다. MAC와 DAC는 모두 Oracle Solaris OS에 있는 특수 사용 권한으로 대체될 수 있습니다. 권한은 프로세스에 허용될 수 있는 특수 사용 권한입니다. 인증은 관리자가 사용자와 역할에 부여할 수 있는 특수 사용 권한입니다.

관리자는 사이트의 보안 정책에 따라 사용자에게 적절한 파일 및 디렉토리 보안 절차를 교육해야 합니다. 또한 사용자가 적절한 시기에 레이블을 업그레이드하거나 다운그레이드할 수 있도록 알려 주어야 합니다.

역할 및 Trusted Extensions

Trusted Extensions 없이 Oracle Solaris 소프트웨어를 실행 중인 시스템에서 역할은 선택 사항입니다. Trusted Extensions로 구성된 시스템에서 역할은 필수 사항입니다. 시스템은 시스템 관리자 역할 및 보안 관리자 역할로 관리됩니다. root 역할이 사용되는 경우도 있습니다.

Oracle Solaris OS에서와 마찬가지로 권한 프로파일은 역할 기능의 기반입니다. Trusted Extensions에서는 Information Security와 User Security라는 두 가지 권한 프로파일을 제공합니다. 이 두 프로파일은 보안 관리자 역할을 정의합니다.

Trusted Extensions에서 역할이 사용할 수 있는 프로그램에는 신뢰할 수 있는 경로 속성이라는 특수 특성이 있습니다. 이 속성은 프로그램이 TCB의 일부임을 나타냅니다. 신뢰할 수 있는 경로 속성은 프로그램이 전역 영역에서 시작되는 경우에 사용할 수 있습니다.

역할에 대한 자세한 내용은 System Administration Guide: Security Services의 제III부, Roles, Rights Profiles, and Privileges을 참조하십시오.

Trusted Extensions 소프트웨어의 레이블

레이블과 클리어런스는 Trusted Extensions에서 MAC(필수 액세스 제어)의 중앙에 있습니다. 레이블과 클리어런스에 따라 어느 사용자가 무슨 프로그램, 파일 및 디렉토리에 액세스할 수 있는지가 결정됩니다. 레이블과 클리어런스는 하나의 분류 구성 요소와 0개 이상의 구획 구성 요소로 구성됩니다. 분류 구성 요소는 보안 계층 수준(예: TOP SECRET 또는 CONFIDENTIAL)을 나타냅니다. 구획 구성 요소는 정보의 일반 본문에 액세스해야 하는 사용자 그룹을 나타냅니다. 일반적인 유형의 구획으로는 프로젝트, 부서, 물리적 위치 등이 있습니다. 인증된 사용자가 레이블을 읽을 수 있지만, 내부적으로는 레이블이 숫자로 조작됩니다. 숫자와 읽기 가능한 버전은 label_encodings 파일에 정의되어 있습니다.

Trusted Extensions에서는 시도되는 보안 관련 트랜잭션을 모두 중개합니다. 소프트웨어에서는 액세스하는 엔티티(일반적으로 프로세스)와 액세스 대상 엔티티(일반적으로 파일 시스템 객체)의 레이블을 비교합니다. 그런 다음 지배적인 레이블에 따라 트랜잭션을 허용하거나 거부합니다. 레이블은 다른 시스템 리소스(예: 할당 가능한 장치, 네트워크, 프레임 버퍼, 다른 호스트)에 대한 액세스 권한을 결정하는 데도 사용됩니다.

레이블 사이의 지배 관계

엔티티의 레이블이 다음과 같은 두 조건을 충족하는 경우 다른 레이블을 지배한다고 합니다.

• 첫 번째 엔티티 레이블의 분류 구성 요소는 두 번째 레이블의 분류보다 높거나 같습니다. 보안 관리자는 label_encodings 파일에서 분류에 번호를 할당합니다. 소프트웨어에서는 이 번호를 비교하여 지배 관계를 결정합니다.

• 첫 번째 엔티티의 구획 세트에 두 번째 엔티티의 모든 구획이 포함됩니다.

분류와 구획 세트가 동일한 경우 두 레이블이 동일하다고 합니다. 레이블이 동일한 경우 서로 지배 관계이므로 액세스가 허용됩니다.

한 레이블의 분류가 더 높거나 레이블의 분류가 동일하지만 한 레이블의 구획이 두 번째 레이블 구획의 수퍼 세트인 경우 첫 번째 레이블이 두 번째 레이블을 완전히 지배한다고 합니다.

어떤 레이블도 다른 레이블을 지배하지 않는 경우 두 레이블은 분리되었다 또는 비교 불가라고 합니다.

다음 표에서는 지배에 대한 레이블 비교의 예를 제공합니다. 예에서 NEED_TO_KNOW는 INTERNAL보다 더 높은 분류입니다. 이 예에는 Eng, Mkt, Fin의 세 가지 구획이 있습니다.

표 1-1 레이블 관계 예

관리 레이블

Trusted Extensions에서는 레이블이나 클리어런스로 사용되는 ADMIN_HIGH 및 ADMIN_LOW라는 두 가지 특수 관리 레이블을 제공합니다. 이 레이블은 시스템 리소스를 보호하는 데 사용되며 일반 사용자가 아닌 관리자용입니다.

ADMIN_HIGH는 최상위 레이블입니다. ADMIN_HIGH는 시스템의 다른 레이블을 모두 지배하며 시스템 데이터(예: 관리 데이터베이스, 감사 증적)를 읽지 못하도록 보호하는 데 사용됩니다. 레이블이 ADMIN_HIGH인 데이터를 보려면 전역 영역에 있어야 합니다.

ADMIN_LOW는 최하위 레이블입니다. ADMIN_LOW는 일반 사용자 레이블을 포함하여 시스템의 다른 모든 레이블의 지배를 받습니다. 필수 액세스 제어는 사용자가 자신의 레이블보다 낮은 레이블의 파일에 데이터를 쓰는 것을 허용하지 않습니다. 따라서 일반 사용자는 ADMIN_LOW 레이블의 파일을 읽을 수 있지만 수정할 수는 없습니다. ADMIN_LOW는 일반적으로 공유되는 공용 실행 파일(예: /usr/bin에 있는 파일)을 보호하는 데 사용됩니다.

레이블 인코딩 파일

시스템의 모든 레이블 구성 요소 즉, 분류, 구획 및 연결된 규칙은 ADMIN_HIGH 파일인 label_encodings 파일에 저장됩니다. 이 파일은 /etc/security/tsol 디렉토리에 있습니다. 보안 관리자는 사이트에 대한 label_encodings 파일을 설정합니다. 레이블 인코딩 파일에는 다음이 포함됩니다.

• 구성 요소 정의 – 분류, 구획, 레이블 및 클리어런스 정의(필요한 조합 및 제약 조건에 대한 규칙 포함)

• 승인 범위 정의 – 전체 시스템 및 일반 사용자에 대해 사용 가능한 레이블 세트를 정의하는 클리어런스 및 최소 레이블 지정

• 인쇄 사양 – 프린터 출력에 표시되는 인쇄 배너, 트레일러, 머리글, 바닥글 및 기타 보안 기능에 대한 식별 및 처리 정보

• 사용자 정의 – 로컬 정의(레이블 색상 코드 포함)와 기타 기본값

자세한 내용은 label_encodings(4) 매뉴얼 페이지를 참조하십시오. 자세한 내용은 Trusted Extensions Label Administration 및 Compartmented Mode Workstation Labeling: Encodings Format을 참조하십시오.

레이블 범위

레이블 범위는 사용자가 작업할 수 있는 잠재적으로 사용 가능한 레이블의 세트입니다. 사용자와 리소스 모두 레이블 범위를 가집니다. 레이블 범위로 보호할 수 있는 리소스로는 할당 가능한 장치, 네트워크, 인터페이스, 프레임 버퍼, 명령, 작업 등이 있습니다. 레이블 범위는 범위의 맨 위에 있는 클리어런스와 맨 아래에 있는 최소 레이블로 정의됩니다.

최대 레이블과 최소 레이블 사이에 있는 모든 레이블 조합이 범위에 반드시 포함되어야 하는 것은 아닙니다. label_encodings 파일의 규칙에 따라 특정 조합이 무효화될 수 있습니다. 레이블이 범위에 포함되려면 올바른 형식되어야 합니다. 즉, 레이블 인코딩 파일의 적용 가능한 모든 규칙에서 레이블을 허용해야 합니다.

클리어런스는 올바른 형식이 아니어도 됩니다. 예를 들어, label_encodings 파일이 레이블에서 Eng, Mkt 및 Fin 구획의 모든 조합을 금지하는 경우 INTERNAL Eng Mkt Fin은 유효한 클리어런스지만 유효한 레이블은 아닙니다. 사용자는 이 조합을 클리어런스로 사용하여 레이블이 INTERNAL Eng, INTERNAL Mkt 및 INTERNAL Fin인 파일에 액세스할 수 있습니다.

계정 레이블 범위

사용자에게 클리어런스와 최소 레이블을 할당하면 사용자가 작업할 수 있는 계정 레이블 범위의 상한과 하한이 정의됩니다. 다음 방정식은 계정 레이블 범위를 보여줍니다. 여기서 ≤은 "지배됨 또는 동등"을 나타냅니다.

최소 레이블 ≤ 허용되는 레이블 ≤ 클리어런스

따라서 레이블이 최소 레이블을 지배하는 경우 사용자는 클리어런스의 지배를 받는 모든 레이블에서 작업할 수 있습니다. 사용자의 클리어런스와 최소 레이블이 명시적으로 설정되지 않은 경우 label_encodings 파일에 정의된 기본값이 적용됩니다.

두 개 이상의 레이블 또는 단일 레이블에서 작업할 수 있도록 사용자에게 클리어런스와 최소 레이블을 할당할 수 있습니다. 사용자의 클리어런스와 레이블이 동일할 경우 사용자는 하나의 레이블에서만 작업할 수 있습니다.

세션 범위

세션 범위는 사용자가 Trusted Extensions 세션 동안 사용할 수 있는 레이블 세트입니다. 세션 범위는 시스템에 대해 설정된 레이블 범위와 사용자의 계정 레이블 범위 내에 있어야 합니다. 로그인할 때 사용자가 단일 레이블 세션 모드를 선택하면 세션 범위는 해당 레이블로 제한됩니다. 사용자가 다중 레이블 모드를 선택하면 해당 레이블이 세션 클리어런스가 됩니다. 세션 클리어런스는 세션 범위의 상한을 정의합니다. 사용자의 최소 레이블은 하한을 정의합니다. 사용자는 최소 레이블의 작업 공간에서 세션을 시작합니다. 세션 동안 사용자는 세션 범위 내에 있는 모든 레이블의 작업 공간으로 전환할 수 있습니다.

레이블이 보호하는 항목 및 레이블이 표시되는 위치

레이블은 데스크탑과 데스크탑에서 실행되는 출력(예: 프린터 출력)에 표시됩니다.

• 응용 프로그램 – 응용 프로그램에서 프로세스를 시작합니다. 이러한 프로세스는 응용 프로그램이 시작되는 작업 공간의 레이블에서 실행됩니다. 파일과 같이 레이블이 있는 영역 내 응용 프로그램의 레이블은 해당 영역의 레이블에서 지정됩니다.

• 장치 – 장치를 통해 이동하는 데이터는 장치 할당 및 장치 레이블 범위를 통해 제어됩니다. 장치를 사용하려면 사용자가 장치의 레이블 범위 내에 있고 해당 장치를 할당할 수 있게 인증되어야 합니다.

• 파일 시스템 마운트 지점 – 모든 마운트 지점에는 레이블이 있습니다. getlabel 명령을 사용하여 레이블을 볼 수 있습니다.

• 네트워크 인터페이스 – IP 주소(호스트)에는 해당 레이블 범위를 설명하는 템플리트가 있습니다. 레이블이 없는 호스트에도 기본 레이블이 있습니다.

• 프린터 및 인쇄 – 프린터에는 레이블 범위가 있습니다. 레이블은 본문 페이지에 인쇄됩니다. 레이블, 처리 정보 및 기타 보안 정보는 배너 및 트레일러 페이지에 인쇄됩니다. Trusted Extensions에서 인쇄를 구성하려면 15 장레이블이 있는 인쇄 관리(작업) 및 Trusted Extensions Label Administration의 Labels on Printed Output을 참조하십시오.

• 프로세스 – 프로세스에는 레이블이 있습니다. 프로세스는 해당 프로세스가 시작된 작업 공간의 레이블에서 실행됩니다. 프로세스의 레이블은 plabel 명령을 사용하여 볼 수 있습니다.

• 사용자 – 사용자에게는 기본 레이블과 레이블 범위가 할당됩니다. 사용자의 작업 공간 레이블은 사용자의 프로세스 레이블을 나타냅니다.

• 창 – 레이블이 데스크탑 창의 맨 위에 표시됩니다. 또한 데스크탑의 레이블은 색상으로 표시됩니다. 색상은 데스크탑 스위치와 창 제목 표시줄 위에 나타납니다.

  창을 다른 레이블이 있는 작업 공간으로 이동해도 창의 원래 레이블이 유지됩니다.

• 영역 – 모든 영역에는 고유한 레이블이 있습니다. 영역에서 소유한 파일과 디렉토리는 영역의 레이블에 있습니다. 자세한 내용은 getzonepath(1) 매뉴얼 페이지를 참조하십시오.