Grundlegende Informationen zu SELinux

SELinux wurde als zusätzliche Linux-Sicherheitslösung entwickelt, die das Sicherheits-Framework im Linux-Kernel verwendet. Der Zweck bestand darin, eine detailliertere Sicherheitsrichtlinie zu ermöglichen, die über die standardmäßigen Discretionary Access Controls (DAC), die traditionellen Dateiberechtigungen von Eigentümer/Gruppe/Welt und Lesen/Schreiben/Ausführen hinausgeht.

SELinux verwendet Labels, die an Objekte (z. B. Dateien und Netzwerk-Sockets) angehängt sind, um Entscheidungen über die Zugriffskontrolle zu treffen.

Die Standardaktion von SELinux besteht darin, jeglichen Zugriff zu verweigern. SELinux lässt nur Aktionen zu, die in der SELinux-Richtlinie ausdrücklich zugelassen wurden. Als weitere Eigenschaft von SELinux zur Erhöhung der Sicherheit lässt SELinux eine strikte Eingrenzung von Prozessen zu, bis zu dem Punkt, an dem die Prozesse nicht auf Dateien anderer Prozesse auf demselben System zugreifen können.

SELinux wurde entwickelt, um bestehende Sicherheitslösungen zu verbessern, nicht um sie zu ersetzen. Beispielsweise wird die freigegebene Zugriffskontrolle (Discretionary Access Control, DAC) auch dann angewendet, wenn das System SELinux verwendet. Wenn DAC den Zugriff zuerst verweigert, wird SELinux nicht verwendet, da der Zugriff bereits durch einen anderen Mechanismus blockiert wurde.

SELinux wird standardmäßig installiert, wenn SUSE Linux Micro von YaST installiert wird, oder ist Teil der vorgefertigten Images.

Wenn SELinux auf Ihrem System nicht eingerichtet ist, führen Sie das folgende Kommando aus:

# transactional-update setup-selinux

Starten Sie Ihr System neu, nachdem das Kommando beendet wurde. Mit diesem Kommando wird die SELinux-Richtlinie installiert, falls sie noch nicht installiert ist, der SELinux-Modus enforcing festgelegt und initrd neu erstellt.

SELinux kann in einem von drei Modi ausgeführt werden: disabled, permissive oder enforcing.

Wenn Sie den Modus disabled verwenden, werden keine Regeln der SELinux-Richtlinie angewendet und Ihr System ist nicht geschützt. Daher empfehlen wir, den Modus disabled nicht zu verwenden.

Im Modus permissive ist SELinux aktiv, die Sicherheitsrichtlinie wird geladen, das Dateisystem wird gekennzeichnet und Zugriffsverweigerungseinträge werden protokolliert. Die Richtlinie wird jedoch nicht durchgesetzt und somit wird kein Zugriff verweigert.

Im Modus enforced wird die Sicherheitsrichtlinie angewendet. Jeder Zugriff, der nicht explizit von der Richtlinie zugelassen wird, wird verweigert.

Informationen zum Umschalten zwischen den SELinux-Modi finden Sie unter Abschnitt 3.1, „Ändern des SELinux-Modus“.

3.1 Ändern des SELinux-Modus #

 

Sie können den SELinux-Modus vorübergehend oder dauerhaft wechseln.

3.1.1 Vorübergehendes Ändern des SELinux-Modus #

 

Wenn Sie SELinux vorübergehend auf den Modus permissive oder enforcing festlegen möchten, verwenden Sie das Kommando setenforce.

Das Kommando setenforce hat die folgende Syntax:

# setenforce MODE_ID

MODE_ID ist dabei 0 für den Modus permissive oder 1 für den Modus enforced.

Denken Sie daran, dass Sie SELinux nicht mit dem Kommando setenforce deaktivieren können.

3.1.2 Dauerhaftes Ändern des SELinux-Modus #

 

Wenn Sie Änderungen am SELinux-Modus vornehmen möchten, in dem der Neustart des Systems fortgesetzt wird, bearbeiten Sie die Konfigurationsdatei /etc/selinux/config. In dieser Datei können Sie auch SELinux auf Ihrem System deaktivieren. Diese Aktion wird jedoch nicht empfohlen. Wenn SELinux möglicherweise Probleme mit Ihrem System verursacht, wechseln Sie stattdessen in den Modus permissive und debuggen Sie Ihr System.

Ändern Sie in der Datei /etc/selinux/config den Wert von SELINUX in disabled oder permissive oder enforced wie folgt:

SELINUX=disabled

Die Änderungen in der Datei werden nach dem nächsten Neustart übernommen.

Anmerkung: Umbenennen Ihres Systems nach dem Wechsel aus dem Modus disabled

Wenn Sie SELinux auf Ihrem System deaktivieren und später aktivieren, stellen Sie sicher, dass Sie Ihr System neu benennen. Wenn SELinux deaktiviert ist und Sie Änderungen an Ihrem Dateisystem vornehmen, werden die Änderungen nicht mehr im Kontext widergespiegelt (z. B. haben neue Dateien keinen Kontext). Daher müssen Sie Ihr System mit dem Kommando restorecon, mit dem Boot-Parameter autorelabel oder durch Erstellen einer Datei neu bezeichnen, die beim nächsten Start eine Neubezeichnung auslöst. Führen Sie zum Erstellen der Datei das folgende Kommando aus:

# touch /etc/selinux/.autorelabel

Nach dem Neustart wird die Datei /etc/selinux/.autorelabel durch eine andere Flag-Datei, /etc/selinux/.relabelled, ersetzt, um eine erneute Bezeichnung bei nachfolgenden Neustarts zu verhindern.

3.1.3 Überprüfen des aktiven SELinux-Modus #

 

Führen Sie zum Überprüfen des Modus das folgende Kommando aus:

# getenforce

Das Kommando sollte permissive oder enforced zurückgeben, je nach der angegebenen MODE_ID.

Der Sicherheitskontext ist eine Reihe von Informationen, die einer Datei oder einem Prozess zugewiesen sind. Es besteht aus SELinux user (SELinux-Benutzer), role (Rolle), type (Typ), level (Stufe) und category (Kategorie). Anhand dieser Informationen werden Entscheidungen zur Zugriffskontrolle getroffen.

Hier ist ein Beispiel für einen SELinux-Kontext:

allow user_t bin_t:file {read execute gettattr};

Diese Beispielregel besagt, dass der Benutzer mit dem Kontexttyp user_t (dieser Benutzer wird als Quellobjekt bezeichnet) auf Objekte der Klasse Datei mit dem Kontexttyp bin_t (dem Ziel) zugreifen darf, indem er die Berechtigungen read, execute und getattr verwendet.

Die Richtlinie ist die Schlüsselkomponente in SELinux. Die SELinux-Richtlinie definiert Regeln, die festlegen, welche Objekte auf welche Dateien, Verzeichnisse, Ports und Prozesse auf einem System zugreifen können. Dazu wird für alle einen Sicherheitskontext definiert.

Eine SELinux-Richtlinie enthält eine Vielzahl von Regeln. Um es überschaubarer zu machen, werden Richtlinien oft in Module unterteilt. Auf diese Weise kann der Administrator den Schutz für verschiedene Teile des Systems ein- oder ausschalten.

Wenn Sie die Richtlinie für Ihr System kompilieren, haben Sie die Wahl, entweder mit einer modularen Richtlinie oder einer monolithischen Richtlinie zu arbeiten, bei der eine große Richtlinie verwendet wird, um alles auf Ihrem System zu schützen. Es wird dringend empfohlen, eine modulare Richtlinie und keine monolithische Richtlinie zu verwenden. Modulare Richtlinien sind viel einfacher zu verwalten.

SUSE Linux Micro wird mit der SELinux-Richtlinie targeted ausgeliefert.

        semodule -l

        > 
        sudo
        semodule -d MODULENAME

        > 
        sudo
        semodule -e MODULENAME

Boolesche Datentypen unter SELinux unterstützen einen flexiblen Richtlinienverwaltungsansatz. Mit booleschen Datentypen können Sie beispielsweise eine bestimmte Richtlinie auf einem Server deaktivieren, während dieselbe Richtlinie auf einem anderen Server aktiv bleibt. Mit anderen Worten, ein boolescher Datentyp kann als Schalter für eine Richtlinienregel verstanden werden. Statt eine bestimmte Richtlinie zu ändern, können Sie sie ausschalten. Im Richtliniencode werden boolesche Datentypen als abstimmbar bezeichnet. Da boolesche Datentypen in der Richtlinie enthalten sind, sind sie verfügbar, sobald eine Richtlinie geladen wird.

Die Änderungen am booleschen Datentyp können dauerhaft oder vorübergehend sein und bis zum Ende der Sitzung andauern.

SELinux bietet Tools, mit denen Sie Details auflisten und anzeigen oder den Status von booleschen Datentypen ändern können. Weitere Details hierzu finden Sie in folgenden Abschnitten.

# getsebool -a

abrt_anon_write --> off
abrt_handle_event --> off
abrt_upload_watch_anon_write --> on
...

# semanage boolean -l

SELinux boolean               State   Default     Description

abrt_anon_write               (off  ,  off)       Allow abrt to anon write
abrt_handle_event             (off  ,  off)       Allow abrt to handle event
abrt_upload_watch_anon_write  (on   ,   on)       Allow abrt to upload watch anon write

# getsebool BOOLEAN_NAME

# semanage boolean -l | grep BOOLEAN_NAME

# setsebool BOOLEAN_NAMEBOOLEAN_VALUE

# setsebool -P BOOLEAN_NAMEBOOLEAN_VALUE

# semanage boolean -m --BOOLEAN_VALUEBOOLEAN_NAME

# sedispol /etc/selinux/targeted/policy/policy.32

SUSE Linux Micro bietet Ihnen Tools zur Verwaltung von SELinux auf Ihrem System. Wenn die unten beschriebenen Tools nicht auf Ihrem System installiert sind, installieren Sie die Tools mit dem folgenden Kommando:

# transactional-update pkg install policycoreutils-python-utils

Starten Sie das System nach erfolgreicher Installation neu.

> ls -Z /etc/shadow

        system_u:object_r:shadow_t:s0 /etc/shadow

7.2 Das Kommando chcon #

 

Der Kommandoname chcon steht für change context (Kontext ändern). Das Kommando kann den vollständigen Sicherheitskontext einer Datei in den in der CLI angegebenen Wert ändern oder Teile des Kontexts ändern. Alternativ können Sie eine Datei angeben, die als Referenz dient.

Zum Ändern des vollständigen Sicherheitskontextes einer Datei sieht die Syntax des Kommandos wie folgt aus:

# chcon SECURITY_CONTEXTFILENAME

wobei

• SECURITY_CONTEXT folgendes Format hat: SELinux_USER:ROLE:TYPE:LEVEL:CATEGORY. Der Kontext könnte z. B. lauten: system_u:object_r:httpd_config_t:s0.

• FILENAME ist ein Pfad zu der Datei, deren Kontext geändert werden soll.

Führen Sie chcon wie folgt aus, um einen Sicherheitskontext gemäß einer bereitgestellten Datei festzulegen, die als Referenz dient:

# chcon --reference=REFERENCE_FILEFILENAME

wobei:

• REFERENCE_FILE ein Pfad zu einer Datei ist, die als Referenz verwendet werden soll.

• FILENAME ein Pfad zu der Datei ist, deren Kontext geändert werden soll.

Alternativ können Sie nur einen Teil des Sicherheitskontexts ändern. Die allgemeine Syntax für das Kommando chcon lautet:

# chcon CONTEXT_OPTIONCONTEXT_PARTFILENAME

Die Optionen und Argumente haben folgende Bedeutung:

• Je nach Kontextteil kann CONTEXT_OPTION Folgendes sein:

  -u bzw. --user

  gibt an, dass ein SELinux-Benutzerkontext in der bereitgestellten Datei geändert wird:

  # chcon -u system_u logind.conf

  -r bzw. --role

  Nur der Teil role wird im Kontext der bereitgestellten Datei geändert:

  # chcon -r object_r logind.conf

  -t bzw. --type

  Nur der Teil type wird im Kontext der bereitgestellten Datei geändert:

  # chcon -t etc_t logind.conf

  -l bzw. --range

  Nur der Teil range des Sicherheitskontexts wird geändert:

  # chcon -l s0 logind.conf

• CONTEXT_PART ist der besondere Wert des einzustellenden Sicherheitskontexts.

• FILENAME ist ein Pfad zu der Datei, deren Kontext geändert wird.

Anmerkung: Verwendung von chcon für Symlinks

Wenn Sie den Sicherheitskontext für einen Symlink ändern, wird standardmäßig der Kontext des Link-Ziels geändert, und der Kontext des Symlinks wird nicht geändert. Um zu erzwingen, dass chcon den Kontext des Symlinks und nicht das Link-Ziel ändert, verwenden Sie die Option --no-dereference wie unten gezeigt:

# chcon --no-dereference -u system_u -t etc_t network.conf

Sie können den Kontext aller Dateien in einem Verzeichnis ändern, indem Sie die rekursive Option verwenden:

# chcon --recursive  system_u:object_r:httpd_config_t:s0 conf.d

# getenforce

Permissive

# setenforce MODE_ID

# fixfiles [OPTIONS] ARGUMENT

# semanage ARGUMENTOPTIONS [OBJECT_NAME]

semanage boolean [-h] [-n]  [ --extract |
       --deleteall | --list [-C] | --modify ( --on | --off | -1 | -0 ) boolean ]

          # 
          semanage boolean -m on authlogin_yubikey

sestatus [OPTION]

# sestatus

SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     requested (insecure)
Max kernel policy version:      33

Copyright © 2006–2025 SUSE LLC und Mitwirkende. Alle Rechte vorbehalten.

Es wird die Genehmigung erteilt, dieses Dokument unter den Bedingungen der GNU Free Documentation License, Version 1.2 oder (optional) Version 1.3 zu vervielfältigen, zu verbreiten und/oder zu verändern; die unveränderlichen Abschnitte hierbei sind der Urheberrechtshinweis und die Lizenzbedingungen. Eine Kopie dieser Lizenz (Version 1.2) finden Sie im Abschnitt „GNU Free Documentation License“.

Die SUSE Marken finden Sie im https://www.suse.com/company/legal/. Alle anderen Marken von Drittanbietern sind Besitz ihrer jeweiligen Eigentümer. Markensymbole (®, ™ usw.) kennzeichnen Marken von SUSE und ihren Tochtergesellschaften. Sternchen (*) kennzeichnen Marken von Drittanbietern.

Alle Informationen in diesem Buch wurden mit größter Sorgfalt zusammengestellt. Auch hierdurch kann jedoch keine hundertprozentige Richtigkeit gewährleistet werden. Weder SUSE LLC noch ihre Tochtergesellschaften noch die Autoren noch die Übersetzer können für mögliche Fehler und deren Folgen haftbar gemacht werden.