SELinux

SELinux a été développé en tant que solution de sécurité Linux supplémentaire qui utilise l'infrastructure de sécurité du kernel Linux. L'objectif était de permettre une stratégie de sécurité plus granulaire allant au-delà des contrôles d'accès discrétionnaires (Discretionary Access Controls - DAC) standard, des autorisations de fichier traditionnelles du propriétaire/du groupe/du monde et de lecture/d'écriture/d'exécution.

SELinux utilise des étiquettes jointes aux objets (par exemple, des fichiers et des sockets réseau) et les utilise pour les décisions d'accès.

L'action par défaut de SELinux consiste à refuser tout accès. SELinux n'autorise que les opérations spécifiquement autorisées dans la stratégie SELinux. Une autre caractéristique de SELinux qui renforce la sécurité est que SELinux permet un confinement strict des processus à tel point que les processus ne peuvent pas accéder aux fichiers d'autres processus sur le même système.

SELinux a été conçu pour améliorer les solutions de sécurité existantes et non pour les remplacer. Par exemple, le contrôle d'accès discrétionnaire (DAC) est toujours d'application, même si le système utilise SELinux. En cas de refus d'accès par DAC, SELinux n'est alors pas utilisé, puisque l'accès a déjà été bloqué en amont par un autre mécanisme.

SELinux est installé par défaut lors de l'installation de SLE Micro par YaST ou fait partie des images prédéfinies.

Si SELinux n'est pas configuré sur votre système, exécutez la commande suivante :

# transactional-update setup-selinux

Redémarrez votre système une fois la commande terminée. La commande installe la stratégie SELinux si elle n'est pas installée, définit le mode SELinux enforcing, puis reconstruit initrd.

SELinux peut être exécuté dans l'un des trois modes suivants : disabled, permissive ou enforcing.

L'utilisation du mode disabled signifie qu'aucune règle de la stratégie SELinux n'est appliquée et que votre système n'est pas protégé. Nous vous déconseillons donc d'utiliser le mode disabled.

Avec le mode permissive, SELinux est actif, la stratégie de sécurité est chargée, le système de fichiers est étiqueté et des entrées sont consignées en cas de refus d'accès. Toutefois, la stratégie n'est pas appliquée et aucun accès n'est donc réellement refusé.

En mode enforced, la stratégie de sécurité est appliquée. Chaque accès qui n'est pas explicitement autorisé par la stratégie est refusé.

Pour plus d'informations sur la procédure pour passer d'un mode SELinux à un autre, reportez-vous à la Section 3.1, « Modification du mode SELinux »

3.1 Modification du mode SELinux #

  

Vous pouvez changer de mode SELinux de façon temporaire ou permanente.

3.1.1 Changement temporaire du mode SELinux #

  

Pour définir temporairement SELinux en mode permissive ou enforcing, utilisez la commande setenforce.

La commande setenforce présente la syntaxe suivante :

# setenforceMODE_ID

où MODE_ID est 0 pour le mode permissive ou 1 pour le mode enforced.

N'oubliez pas que vous ne pouvez pas désactiver SELinux à l'aide de la commande setenforce.

3.1.2 Modification permanente du mode SELinux #

  

Pour que les modifications apportées au mode SELinux restent applicables après le redémarrage du système, modifiez le fichier de configuration /etc/selinux/config. Dans ce fichier, vous pouvez également désactiver SELinux sur votre système. Toutefois, cette opération n'est pas recommandée. Si vous pensez que SELinux est peut-être à l'origine de certains problèmes sur votre système, passez alors en mode permissive et déboguez votre système.

Dans le fichier /etc/selinux/config, modifiez la valeur de SELINUX en disabled, permissive ou enforced comme suit :

SELINUX=disabled

Les modifications apportées au fichier seront appliquées après le prochain redémarrage.

Note : réétiquetage de votre système après avoir quitté le mode disabled

Si vous désactivez SELinux sur votre système et que vous le réactivez par la suite, veillez à réétiqueter votre système. Lorsque SELinux est désactivé et que vous apportez des modifications à votre système de fichiers, les modifications ne sont plus prises en compte dans le contexte (par exemple, les nouveaux fichiers n'ont aucun contexte). Par conséquent, vous devez réétiqueter votre système à l'aide de la commande restorecon, du paramètre de démarrage autorelabel ou en créant un fichier qui déclenchera le réétiquetage au prochain démarrage. Pour créer le fichier, exécutez la commande suivante :

# touch /etc/selinux/.autorelabel

Après le redémarrage, le fichier /etc/selinux/.autorelabel est remplacé par un autre fichier d'indicateur (/etc/selinux/.relabelled) pour empêcher le réétiquetage lors des redémarrages suivants.

3.1.3 Vérification du mode SELinux actif #

  

Pour vérifier le mode, exécutez la commande suivante :

# getenforce

La commande doit renvoyer permissive ou enforced selon l'ID de mode MODE_ID fourni.

Le contexte de sécurité est un ensemble d'informations assignées à un fichier ou à un processus. Il se compose de l'utilisateur SELinux, de son rôle, du type, du niveau et de la catégorie. Ces informations servent à prendre des décisions en matière de contrôle d'accès.

Voici un exemple de contexte SELinux :

allow user_t bin_t:file {read execute gettattr};

Cet exemple de règle indique que l'utilisateur qui possède le type de contexte user_t (cet utilisateur est appelé l'objet source) est autorisé à accéder aux objets du fichier de classe dont le type de contexte est bin_t (la cible), à l'aide des autorisations read, execute et getattr.

La stratégie est le composant clé de SELinux. Votre stratégie SELinux définit des règles qui spécifient les objets qui peuvent accéder aux fichiers, répertoires, ports et processus d'un système. Pour ce faire, un contexte de sécurité est défini pour l'ensemble de ces éléments.

Une stratégie SELinux contient un grand nombre de règles. Pour faciliter leur gestion, les stratégies sont souvent divisées en modules. De cette façon, l'administrateur peut activer ou désactiver la protection pour différentes parties du système.

Lors de la compilation de la stratégie pour votre système, vous aurez le choix entre une stratégie modulaire ou monolithique. La stratégie monolithique est une stratégie gigantesque qui servira à protéger l'ensemble de votre système. Nous vous recommandons vivement d'utiliser une stratégie modulaire plutôt qu'une stratégie monolithique. Les stratégies modulaires sont beaucoup plus simples à gérer.

SLE Micro est fourni avec la stratégie SELinux targeted.

        semodule -l

> sudo semodule -d MODULENAME

> sudo semodule -e MODULENAME

Les attributs booléens SELinux prennent en charge une approche flexible de gestion des stratégies. Par exemple, les attributs booléens vous permettent de désactiver une stratégie spécifique d'un serveur, tout en maintenant la même stratégie active sur un autre. Autrement dit, un attribut booléen peut être interprété comme un paramètre de règle de stratégie. Au lieu de modifier une stratégie particulière, vous pouvez la désactiver. Dans le code de la stratégie, les attributs booléens sont appelés variables programmables. Étant donné que les attributs booléens sont inclus dans la stratégie, ils sont disponibles dès qu'une stratégie est chargée.

Les modifications apportées aux valeurs booléennes peuvent être permanentes ou temporaires et dans ce cas, ne durer que jusqu'à la fin de la session.

SELinux propose des outils qui vous permettent de lister et d'afficher les détails ou de modifier l'état des attributs booléens. Reportez-vous aux sections suivantes pour plus de détails.

# getsebool -a

abrt_anon_write --> off
abrt_handle_event --> off
abrt_upload_watch_anon_write --> on
...

# semanage boolean -l

SELinux boolean               State   Default     Description

abrt_anon_write               (off  ,  off)       Allow abrt to anon write
abrt_handle_event             (off  ,  off)       Allow abrt to handle event
abrt_upload_watch_anon_write  (on   ,   on)       Allow abrt to upload watch anon write

# getseboolBOOLEAN_NAME

# semanage boolean -l | grepBOOLEAN_NAME

# setseboolBOOLEAN_NAMEBOOLEAN_VALUE

# setsebool -PBOOLEAN_NAMEBOOLEAN_VALUE

# semanage boolean -m --BOOLEAN_VALUEBOOLEAN_NAME

# sedispol /etc/selinux/targeted/policy/policy.32

SLE Micro vous fournit des outils pour gérer SELinux sur votre système. Si les outils décrits ci-dessous ne sont pas installés sur votre système, installez-les en exécutant :

# transactional-update pkg install policycoreutils-python-utils

Une fois l'installation réussie, redémarrez le système.

> ls -Z /etc/shadow

        system_u:object_r:shadow_t:s0 /etc/shadow

7.2 Commande chcon #

  

Le nom de la commande chcon signifie « change context » (modifier le contexte). La commande peut modifier l'ensemble du contexte de sécurité d'un fichier par la valeur fournie dans l'interface de ligne de commande ou n'en modifier que certaines parties. Vous pouvez également fournir un fichier pour qu'il serve de référence.

Pour modifier l'ensemble du contexte de sécurité d'un fichier, la syntaxe de la commande se présente comme suit :

# chconSECURITY_CONTEXTFILENAME

où :

• SECURITY_CONTEXT est au format : SELinux_USER:ROLE:TYPE:LEVEL:CATEGORY. Par exemple, le contexte peut être : system_u:object_r:httpd_config_t:s0.

• FILENAME est le chemin d'accès au fichier dont le contexte doit être modifié.

Pour définir un contexte de sécurité en fonction d'un fichier fourni à titre de référence, exécutez chcon comme suit :

# chcon --reference=REFERENCE_FILEFILENAME

où :

• REFERENCE_FILE est le chemin d'accès à un fichier qui doit servir de référence.

• FILENAME est le chemin d'accès au fichier dont le contexte doit être modifié.

Vous pouvez également modifier uniquement une partie du contexte de sécurité. La syntaxe générale de la commande chcon est la suivante :

# chconCONTEXT_OPTIONCONTEXT_PARTFILENAME

Les options et arguments ont la signification suivante :

• En fonction de la partie du contexte, CONTEXT_OPTION peut être l'un des éléments suivants :

  -u resp --user

  Indique qu'un contexte utilisateur SELinux sera modifié dans le fichier fourni :

  # chcon -u system_u logind.conf

  -r resp --role

  Seule la partie role (rôle) sera modifiée dans le contexte du fichier fourni :

  # chcon -r object_r logind.conf

  -t resp --type

  Seule la partie type (type) sera modifiée dans le contexte du fichier fourni :

  # chcon -t etc_t logind.conf

  -l resp --range

  Seule la partie range (plage) du contexte de sécurité sera modifiée :

  # chcon -l s0 logind.conf

• CONTEXT_PART est la valeur spécifique du contexte de sécurité à définir.

• FILENAME est un chemin d'accès au fichier dont le contexte sera modifié.

Note : utilisation de chcon sur des liens symboliques

Par défaut, lorsque vous modifiez le contexte de sécurité d'un lien symbolique, le contexte du lien cible est modifié et le contexte du lien symbolique n'est pas modifié. Pour forcer chcon à modifier le contexte du lien symbolique et non de la cible du lien, utilisez l'option --no-dereference ci-dessous :

# chcon --no-dereference -u system_u -t etc_t network.conf

Vous pouvez modifier le contexte de tous les fichiers d'un répertoire à l'aide de l'option récursive :

# chcon --recursive  system_u:object_r:httpd_config_t:s0 conf.d

# getenforce

Permissive

# setenforceMODE_ID

# fixfiles [OPTIONS] ARGUMENT

# semanageARGUMENTOPTIONS [OBJECT_NAME]

semanage boolean [-h] [-n]  [ --extract |
       --deleteall | --list [-C] | --modify ( --on | --off | -1 | -0 ) boolean ]

# semanage boolean -m on authlogin_yubikey

sestatus [OPTION]

# sestatus

SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     requested (insecure)
Max kernel policy version:      33

Copyright © 2006–2025 SUSE LLC et contributeurs. Tous droits réservés.

Il est autorisé de copier, distribuer et/ou modifier ce document conformément aux conditions de la licence de documentation libre GNU version 1.2 ou (à votre discrétion) 1.3, avec la section permanente qu'est cette mention de copyright et la licence. Une copie de la version de licence 1.2 est incluse dans la section intitulée « Licence de documentation libre GNU ».

Pour les marques commerciales SUSE, consultez le site Web https://www.suse.com/company/legal/. Toutes les autres marques de fabricants tiers sont la propriété de leur détenteur respectif. Les symboles de marque (®, ™, etc.) désignent des marques commerciales de SUSE et de ses sociétés affiliées. Des astérisques (*) désignent des marques commerciales de fabricants tiers.

Toutes les informations de cet ouvrage ont été regroupées avec le plus grand soin. Cela ne garantit cependant pas sa complète exactitude. Ni SUSE LLC, ni les sociétés affiliées, ni les auteurs, ni les traducteurs ne peuvent être tenus responsables des erreurs possibles ou des conséquences qu'elles peuvent entraîner.