Technisches Resümee: TOMOYO Linux – Eine Methode der obligatorischen Zugriffskontrolle basierend auf dem Ausführungszustand von Anwendungen

1. Problemstellung

Konventionelle Zugriffskontrollmethoden, einschließlich der diskretionären Zugriffskontrolle (DAC) und Standardimplementierungen der obligatorischen Zugriffskontrolle (MAC) (sowohl etikettenbasiert als auch pfadnamenbasiert), treffen Entscheidungen primär auf Basis der Kombination aus einem Subjekt (Anwendung/Prozess) und einem Objekt (Datei/Ressource). Diese Methoden versäumen es, den Ausführungszustand der Anwendung oder die Absicht hinter einer spezifischen Zugriffsanfrage zu berücksichtigen.

Das Paper identifiziert zwei kritische Einschränkungen bestehender Systeme:

1. Mangel an kontextueller Wahrnehmung: Konventionelle Methoden berücksichtigen nicht, wie eine Anwendung gestartet wurde oder welche Verarbeitung sie gleich ausführen wird. Beispielsweise sollte ein Webbrowser (HTTP-Client) je nach Kontext unterschiedliche Zugriffsberechtigungen haben, je nachdem, ob er als Benutzeranwendung oder als CGI-Skript, das von einem Webserver aufgerufen wurde, läuft. Ebenso kann sich das Verhalten einer Anwendung basierend auf Kommandozeilenargumenten oder Umgebungsvariablen ändern (z. B. sshd, das eine Banner-Datei anzeigt, die bei Fehlkonfiguration sensible Daten enthält).
2. Grobkörniges Sandboxing: Da der Ausführungszustand ignoriert wird, sind Sandboxes, die auf konventionellem MAC basieren, oft zu grob. Sie können keine spezifischen Operationen einschränken (wie das Umbenennen einer Konfigurationsdatei in eine Inhaltsdatei), ohne die gesamte Anwendung zu blockieren, was zu einer unzureichenden Schadenslokalisierung führt.

Der Kern des Problems ist, dass die konventionelle Zugriffskontrolle nicht zwischen derselben ausführbaren Datei unterscheiden kann, die in unterschiedlichen Kontexten läuft (z. B. eine Shell, die über SSH eingeloggt ist, im Vergleich zu einer Shell, die über eine Konsole oder durch einen Webserver aufgerufen wurde), noch kann sie die potenziellen Auswirkungen einer spezifischen Zugriffsanfrage bewerten.

2. Methodik

Die Autoren schlagen eine neue Zugriffskontrollmethode vor, die die Ausführungshistorie der Anwendung und die Verarbeitungsabsicht in den Entscheidungsprozess integriert. Diese Methodik wird in TOMOYO Linux implementiert, einem Linux Security Module (LSM).

2.1 Programmausführungshistorie

Das System verfolgt die „Programmausführungshistorie“ für jeden Prozess. Diese Historie ist eine Liste der Pfadnamen aller Anwendungen, die seit dem Systemstart (<kernel>) bis zur Erstellung des aktuellen Prozesses ausgeführt wurden.

• Mechanismus: Wenn ein Prozess fork und eine neue Anwendung ausführt (via execve), erbt der Kindprozess die Historie des Elternprozesses und hängt seinen eigenen Programmnamen an.
• Ergebnis: Selbst wenn zwei Prozesse dieselbe Binärdatei ausführen (z. B. /bin/bash), besitzen sie unterschiedliche Ausführungshistorien, wenn sie über unterschiedliche Ketten gestartet wurden (z. B. init $\to$ agetty $\to$ login $\to$ bash vs. init $\to$ sshd $\to$ bash).

2.2 Domänenbasierte Klassifizierung

Basierend auf der Ausführungshistorie definiert das System Domänen.

• Eine Domäne ist eine eindeutige Kennung, die einen spezifischen Ausführungszustand repräsentiert, beginnend bei <kernel> und der Kette der Ausführung folgend.
• Zugriffskontrollrichtlinien werden pro Domäne definiert, nicht pro Binärdatei. Dies ermöglicht es dem Systemadministrator, derselben Anwendung je nach Art ihres Aufrufs unterschiedliche Berechtigungen zu erteilen.
• Die Domänenstruktur bildet einen Baum, was RBAC-Funktionen (Role-Based Access Control) ermöglicht, bei denen verschachtelte Shells oder Privilegiensteigerungen (z. B. su) neue, distinkte Domänen mit spezifischen, begrenzten Berechtigungen erzeugen.

2.3 Bedingungsbasierte Zugriffsentscheidungen

Die Richtliniensprache erlaubt es, Zugriffsentscheidungen an verschiedene Parameter zu knüpfen, die innerhalb des Kernels verwaltet werden, darunter:

• Kommandozeilenargumente: Beschränkung der Ausführung basierend auf spezifischen Flags (z. B. exec.argv[0]="passwd").
• Umgebungsvariablen: Filterung basierend auf Proxy-Einstellungen oder Suchpfaden.
• Dateiattribute: Überprüfung von Dateiberechtigungen, Besitzverhältnissen oder spezifischen Dateiinhalten.
• User IDs: Beschränkung des Zugriffs basierend auf der effektiven oder realen User ID.

Durch die Nutzung dieser Faktoren als Bedingungen kann das System die „Absicht“ der Anwendung ableiten. Es kann beispielsweise eine Dateilesevorgang nur dann erlauben, wenn die Anwendung mit spezifischen Argumenten läuft, die auf eine legitime administrative Aufgabe hindeuten, statt auf einen generischen Lesezugriff.

2.4 Implementierung via Reference Monitor

TOMOYO Linux implementiert einen Reference Monitor innerhalb des Linux-Kernels unter Verwendung des LSM-Frameworks.

• Interzeption: Systemaufrufe werden abgefangen (hooked), um Zugriffsanfragen zu unterbinden.
• Entscheidung: Der Kernel prüft die Anfrage gegen die für die aktuelle Domäne des Prozesses definierte Richtlinie.
• Durchsetzung: Wenn die Anfrage der Richtlinie entspricht (einschließlich aller obligatorischen und optionalen Bedingungen), wird sie zugelassen; andernfalls wird sie abgelehnt.
• Whitelist-Ansatz: Das System arbeitet auf Basis einer Whitelist; alles, was nicht explizit erlaubt ist, wird verweigert.

3. Kernbeiträge

1. Bewusstsein für den Ausführungszustand: Das Paper führt eine Methode zur eindeutigen Identifizierung des Ausführungszustands einer Anwendung mittels einer Kette von Programmausführungshistorien ein, was eine feingranulare Zugriffskontrolle ermöglicht, die konventionelles MAC nicht erreichen kann.
2. Absichtsbasierte Richtlinien: Die Methodik erlaubt es, Richtlinien basierend auf der Verarbeitung zu definieren, die eine Anwendung gleich ausführen wird (abgeleitet aus Argumenten, Umgebung und Historie), anstatt nur basierend auf der Identität des Subjekts und Objekts.
3. TOMOYO Linux Implementierung: Die Autoren liefern eine vollständige Implementierung dieser Methode im Linux-Kernel, einschließlich:
   • Einem Richtlinien-Editor (CUI) zur Definition und Verwaltung von Domänen.
   • Einem „Learning Mode“, der durch Beobachtung des Systemverhaltens automatisch Richtlinien generiert und so die Bereitstellung erleichtert.
   • Unterstützung für Wildcards und komplexe bedingte Ausdrücke in den Richtliniendefinitionen.
4. RBAC-Integration: Die Domänenstruktur unterstützt nativ die rollenbasierte Zugriffskontrolle (RBAC), wodurch Administratoren Rollen basierend auf der Hierarchie der Prozessausführung definieren können (z. B. hat eine durch su gestartete Shell andere Berechtigungen als die ursprüngliche Login-Shell).

4. Ergebnisse und Evaluierung

Das Paper präsentiert eine Evaluierung von TOMOYO Linux basierend auf einem Demonstrationsexperiment und Leistungsbenchmarks.

4.1 Usability und Verwaltung

• Richtlinienformulierung: Der „Learning Mode“ ermöglicht es Administratoren, das System über einen Zeitraum (z. B. zwei Wochen für einen Webserver) zu beobachten, um Ausführungshistorien und Zugriffsmuster zu sammeln. Dies reduziert den manuellen Aufwand zur Definition von Richtlinien im Vergleich zu etikettenbasiertem MAC (wie SELinux) erheblich, bei dem Administratoren komplexe Label-Transitionen manuell zuordnen müssen.
• Demonstration: In einem Experiment im Jahr 2007 an einem Webserver konnten Teilnehmer die Prinzipien verstehen und Richtlinien schnell bearbeiten. Die Verwendung von Pfadnamen und Ausführungshistorien machte das Verhalten des Systems für Administratoren transparent.
• Vergleich mit SELinux: Im Gegensatz zu SELinux, das das Verständnis komplexer Label-Transitionen und Standardrichtlinien erfordert, die möglicherweise nicht zur spezifischen Umgebung passen, erlaubt TOMOYO die unabhängige Definition von Richtlinien pro Domäne, was die Verwaltung intuitiver macht.

4.2 Sicherheitseffektivität

Die Methode erweist sich als effektiv gegen:

• Unautorisierte Anwendungsausführung: Verhindert die Ausführung von Shells oder unautorisierten Tools selbst dann, wenn eine vulnerable Anwendung kompromittiert wurde, indem die Berechtigungen der spezifischen Domäne eingeschränkt werden.
• Path Traversal: Neutralisiert Angriffe durch die Berechnung absoluter Pfade basierend auf Kernel-Datenstrukturen.
• Symbolic Link Attacks: Beschränkt die Erstellung von symbolischen Links, sofern dies nicht explizit für das spezifische Verzeichnis und das Ziel erlaubt wurde.

4.3 Performance-Auswirkungen

Die Performance wurde mit LMBench auf einem Ubuntu 10.04 System (Core 2 Duo, 2GB RAM) gemessen.

• Nicht-gehookte Systemaufrufe: Systemaufrufe, die nicht von TOMOYO abgefangen werden, zeigten eine vernachligbare Auswirkung (innerhalb von ±5 %, was auf Messvarianz zurückzuführen ist).
• Gehookte Systemaufrufe:
  • Dateisoperationen: Es wurde ein signifikanter Overhead bei Operationen beobachtet, die die Erstellung von Dateien und Metadaten betreffen (z. B. stat, open/close, 0K File Create), mit Verzögerungen im Bereich von ~60 % bis ~128 %. Dies liegt am Overhead beim Prüfen von Pfadnamen und Berechtigungen.
  • Prozesserzeugung: fork- und execve-Operationen zeigten eine Verzögerung von etwa 5–15 %, was auf die Verarbeitung der Vererbung der Ausführungshistorie zurückzuführen ist.
  • Netzwerk: TCP-Operationen zeigten minimalen Overhead (~1 %), während UDP einen Overhead von ~28 % aufwies.
• Skalierbarkeit der Richtlinien: Das Paper stellt fest, dass mit zunehmender Anzahl von Domänen und Zugriffsberechtigungen auch die Suchzeiten steigen. Empirische Daten legen jedoch nahe, dass die Anzahl der Domänen und Regeln pro Domäne in typischen Implementierungen unter 2.000 bleibt, wodurch die Performance-Degradation innerhalb akzeptabler Grenzen für den normalen Gebrauch bleibt.

5. Bedeutung und Ansprüche

Das Paper behauptet, dass TOMOYO Linux eine bedeutende Weiterentwicklung der obligatorischen Zugriffskontrolle darstellt, indem es den Fokus von statischen Subjekt-Objekt-Paaren auf dynamische Ausführungszustände verlagert.

• Komplementarität: Die Autoren positionieren diese Methode nicht als Ersatz für etikettenbasiertes MAC, sondern als Ergänzung. Während etikettenbasiertes MAC exzellent darin ist, Informationsabfluss durch robuste Isolation zu verhindern, ist TOMOYO exzellent darin, den korrekten Zustand eines Informationssystems aufrechtzuerhalten und zu verhindern, dass Anwendungen unbeabsichtigte Operationen ausführen.
• Praktikabilität: Durch die Nutzung bestehender Kernel-Informationen (Ausführungshistorie, Argumente, Umgebung) anstatt Modifikationen an Anwendungen oder komplexe Label-Zuweisungen zu erfordern, bietet die Methode einen praktischen Weg für feingranulare Sicherheit.
• Benutzerfreundlichkeit: Die Fähigkeit, Richtlinien durch Beobachtung (Learning Mode) zu generieren, sowie die intuitive Natur der Ausführungshistorie adressieren die hohe Einstiegshürde, die oft mit MAC-Systemen verbunden ist.

Das Paper schließt mit dem Schluss, dass TOMOYO Linux durch die Ablehnung unautorisierter und unnötiger Zugriffsanfragen, die konventionelle Methoden nicht identifizieren können, die Informationssicherheit erhöht und dabei für Systemadministratoren handhabbar bleibt. Zukünftige Arbeit wird vorgeschlagen, diese Methode mit Anwendungsdeklarationen zu kombinieren, um die Genauigkeit des Ausführungszustands weiter zu verfeinern.