Resumen Técnico: TOMOYO Linux – Un Método de Control de Acceso Obligatorio Basado en el Estado de Ejecución de la Aplicación

1. Planteamiento del Problema

Los métodos convencionales de control de acceso, incluyendo el Control de Acceso Discrecional (DAC) y las implementaciones estándar de Control de Acceso Obligatorio (MAC) (tanto basadas en etiquetas como en rutas de nombre), toman decisiones de acceso basándose principalmente en la combinación de un sujeto (aplicación/proceso) y un objeto (archivo/recurso). Estos métodos no logran tener en cuenta el estado de ejecución de la aplicación o la intención detrás de una solicitud de acceso específica.

El artículo identifica dos limitaciones críticas en los sistemas existentes:

1. Falta de Conciencia Contextual: Los métodos convencionales no consideran cómo se lanzó una aplicación o qué procesamiento está a punto de realizar. Por ejemplo, un navegador web (cliente HTTP) debería tener diferentes permisos de acceso dependiendo de si se está ejecutando como una aplicación de usuario o como un script CGI invocado por un servidor web. Del mismo modo, el comportamiento de una aplicación puede cambiar según los argumentos de la línea de comandos o las variables de entorno (por ejemplo, sshd mostrando un archivo de banner que contiene datos sensibles si está mal configurado).
2. Sandboxing de Grano Grueso: Debido a que se ignora el estado de ejecución, los entornos de aislamiento (sandboxes) basados en MAC convencional suelen ser demasiado gruesos. No pueden restringir operaciones específicas (como renombrar un archivo de configuración a un archivo de contenido) sin bloquear toda la aplicación, lo que conduce a una localización de daños insuficiente.

El problema central es que el control de acceso convencional no puede distinguir entre el mismo archivo ejecutable corriendo en diferentes contextos (por ejemplo, una shell iniciada vía SSH frente a una shell iniciada vía consola o una shell generada por un servidor web), ni puede evaluar los efectos potenciales de conceder una solicitud de acceso específica.

2. Metodología

Los autores proponen un nuevo método de control de acceso que incorpora el historial de ejecución de la aplicación y la intención de procesamiento en el proceso de toma de decisiones. Esta metodología se implementa en TOMOYO Linux, un Módulo de Seguridad de Linux (LSM).

2.1 Historial de Ejecución de Programas

El sistema rastrea el "historial de ejecución de programas" para cada proceso. Este historial es una lista de los nombres de ruta de todas las aplicaciones ejecutadas desde el arranque del sistema (<kernel>) hasta la creación del proceso actual.

• Mecanismo: Cuando un proceso realiza un fork y ejecuta una nueva aplicación (vía execve), el proceso hijo hereda el historial del padre y añade su propio nombre de programa.
• Resultado: Incluso si dos procesos están ejecutando el mismo binario (por ejemplo, /bin/bash), poseen historiales de ejecución diferentes si fueron lanzados mediante cadenas distintas (por ejemplo, init $\to$ agetty $\to$ login $\to$ bash frente a init $\to$ sshd $\to$ bash).

2.2 Clasificación Basada en Dominios

Basándose en el historial de ejecución, el sistema define Dominios.

• Un dominio es un identificador único que representa un estado de ejecución específico, comenzando desde <kernel> y siguiendo la cadena de ejecución.
• Las políticas de control de acceso se definen por dominio, no por binario. Esto permite al administrador del sistema otorgar diferentes permisos a la misma aplicación dependiendo de cómo fue lanzada.
• La estructura de dominios forma un árbol, lo que permite capacidades de Control de Acceso Basado en Roles (RBAC) donde las shells anidadas o las escaladas de privilegios (por ejemplo, su) crean nuevos dominios distintos con permisos específicos y limitados.

2.3 Decisiones de Acceso Basadas en Condiciones

El lenguaje de políticas permite que las decisiones de acceso estén condicionadas por varios parámetros gestionados dentro del kernel, incluyendo:

• Argumentos de la línea de comandos: Restringir la ejecución basada en flags específicos (por ejemplo, exec.argv[0]="passwd").
• Variables de entorno: Filtrar basándose en configuraciones de proxy o rutas de búsqueda.
• Atributos de archivos: Verificar permisos de archivos, propiedad o contenidos específicos de archivos.
• IDs de usuario: Restringir el acceso basándose en el ID de usuario efectivo o real.

Al utilizar estos factores como condiciones, el sistema puede inferir la "intención" de la aplicación. Por ejemplo, puede permitir una operación de lectura de archivos solo si la aplicación se está ejecutando con argumentos específicos que indican una tarea administrativa legítima, en lugar de una lectura genérica.

2.4 Implementación mediante Monitor de Referencia

TOMOYO Linux implementa un monitor de referencia dentro del kernel de Linux utilizando el framework LSM.

• Intercepción: Las llamadas al sistema son interceptadas para capturar las solicitudes de acceso.
• Decisión: El kernel verifica la solicitud contra la política definida para el dominio actual del proceso.
• Ejecución: Si la solicitud coincide con la política (incluyendo todas las condiciones obligatorias y opcionales), se permite; de lo contrario, se rechaza.
• Enfoque de Lista Blanca (Whitelist): El sistema opera bajo un enfoque de lista blanca; cualquier cosa que no esté explícitamente permitida es denegada.

3. Contribuciones Clave

1. Conciencia del Estado de Ejecución: El artículo introduce un método para identificar de forma única el estado de ejecución de una aplicación utilizando una cadena de historiales de ejecución de programas, permitiendo un control de acceso de grano fino que el MAC convencional no puede lograr.
2. Política Basada en la Intención: La metodología permite que las políticas se definan basándose en el procesamiento que una aplicación está a punto de realizar (inferido de los argumentos, el entorno y el historial), en lugar de solo la identidad del sujeto y el objeto.
3. Implementación de TOMOYO Linux: Los autores proporcionan una implementación completa de este método en el kernel de Linux, que incluye:
   • Un editor de políticas (CUI) para definir y gestionar dominios.
   • Un "Modo de Aprendizaje" que genera automáticamente las políticas observando el comportamiento del sistema, facilitando un despliegue más sencillo.
   • Soporte para comodines y expresiones condicionales complejas en las definiciones de las políticas.
4. Integración de RBAC: La estructura de dominios soporta naturalmente el Control de Acceso Basado en Roles, permitiendo a los administradores definir roles basados en la jerarquía de ejecución de procesos (por ejemplo, una shell generada por su tiene permisos diferentes a la shell de login original).

4. Resultados y Evaluación

El artículo presenta una evaluación de TOMOYO Linux basada en un experimento de demostración y pruebas de rendimiento (benchmarks).

4.1 Usabilidad y Gestión

• Formulación de Políticas: El "Modo de Aprendizaje" permite a los administradores observar el sistema durante un periodo (por ejemplo, dos semanas para un servidor web) para recolectar historiales de ejecución y patrones de acceso. Esto reduce significamente el esfuerzo manual requerido para definir políticas en comparación con el MAC basado en etiquetas (como SELinux), donde los administradores deben mapear manualmente transiciones de etiquetas complejas.
• Demostración: En un experimento de 2007 en un servidor web, los participantes pudieron comprender los principios y editar las políticas rápidamente. El uso de rutas de nombres e historiales de ejecución hizo que el comportamiento del sistema fuera transparente para los administradores.
• Comparación con SELinux: A diferencia de SELinux, que requiere comprender transiciones de etiquetas complejas y políticas estándar que pueden no coincidir con el entorno específico, TOMOYO permite definir políticas de forma independiente por cada dominio, haciendo la gestión más intuitiva.

4.2 Efectividad de la Seguridad

Se demuestra que el método es efectivo contra:

• Ejecución de Aplicaciones no Autorizadas: Evita la ejecución de shells o herramientas no autorizadas incluso si una aplicación vulnerable es comprometida, al restringir los permisos del dominio específico.
• Travesía de Directorios (Path Traversal): Anula ataques computando rutas absolutas basadas en estructuras de datos del kernel.
• Ataques de Enlaces Simbólicos (Symbolic Link Attacks): Restringe la creación de enlaces simbólicos a menos que se permita explícitamente para el directorio y el objetivo específicos.

4.3 Impacto en el Rendimiento

El rendimiento se midió utilizando LMBench en un sistema Ubuntu 10.04 (Core 2 Duo, 2GB RAM).

• Llamadas al Sistema no Interceptadas: Las llamadas al sistema que no son interceptadas por TOMOYO mostraron un impacto insignificante (dentro de un ±5%, atribuido a la varianza de la medición).
• Llamadas al Sistema Interceptadas:
  • Operaciones de Archivos: Se observó una sobrecarga significativa en operaciones que involucran la creación de archivos y metadatos (por ejemplo, stat, open/close, 0K File Create), con retrasos que oscilan entre ~60% y ~128%. Esto se debe a la sobrecarga de verificar nombres de ruta y permisos.
  • Creación de Procesos: Las operaciones fork y execve mostraron un retraso de aproximadamente el 5-15%, atribuido al procesamiento de la herencia del historial de ejecución.
  • Red: Las operaciones TCP mostraron una sobrecarga mínima (~1%), mientras que UDP mostró un ~28% de sobrecarga.
• Escala de la Política: El artículo señala que a medida que aumenta el número de dominios y permisos de acceso, los tiempos de búsqueda aumentan. Sin embargo, los datos empíricos sugieren que en despliegues típicos, el número de dominios y reglas por dominio se mantiene por debajo de 2,000, manteniendo la degradación del rendimiento dentro de límites aceptables para el uso ordinario.

5. Significado y Reivindicaciones

El artículo afirma que TOMOYO Linux representa un avance significativo en el Control de Acceso Obligatorio al desplazar el enfoque de pares estáticos sujeto-objeto hacia estados de ejecución dinámicos.

• Complementariedad: Los autores posicionan este método no como un reemplazo del MAC basado en etiquetas, sino como un complemento. Mientras que el MAC basado en etiquetas destaca en prevenir la fuga de información mediante un aislamiento robusto, TOMOYO destaca en mantener el estado correcto de un sistema de información y evitar que las aplicaciones realicen operaciones no deseadas.
• Practicidad: Al utilizar información existente del kernel (historial de ejecución, argumentos, entorno) en lugar de requerir modificaciones de las aplicaciones o asignaciones de etiquetas complejas, el método ofrece un camino práctico para un control de acceso de grano fino.
• Usabilidad: La capacidad de generar políticas mediante la observación (Modo de Aprendizaje) y la naturaleza intuitiva del historial de ejecución abordan la alta barrera de entrada que suele asociarse con los sistemas MAC.

El artículo concluye que, al rechazar solicitudes de acceso no autorizadas y no necesarias que los métodos convencionales no pueden identificar, TOMOYO Linux mejora la seguridad de la información mientras permanece manejable para los administradores del sistema. Se sugiere como trabajo futuro combinar este método con declaraciones de aplicaciones para refinar aún más la precisión del estado de ejecución.