Riassunto Tecnico: TOMOYO Linux – Un Metodo di Controllo degli Accessi Obbligatorio Basato sullo Stato di Esecuzione dell'Applicazione

1. Definizione del Problema

I metodi convenzionali di controllo degli accessi, inclusi il Controllo degli Accessi Discrezionale (DAC) e le implementazioni standard del Controllo degli Accessi Obbligatorio (MAC) (sia basate su etichette che su percorsi), prendono decisioni di accesso basandosi principalmente sulla combinazione di un soggetto (applicazione/processo) e un oggetto (file/risorsa). Questi metodi non tengono conto dello stato di esecuzione dell'applicazione o dell'intento dietro una specifica richiesta di accesso.

Il documento identifica due criticità fondamentali nei sistemi esistenti:

1. Mancanza di Consapevolezza Contestuale: I metodi convenzionali non considerano come un'applicazione sia stata avviata o quale elaborazione stia per eseguire. Ad esempio, un browser web (client HTTP) dovrebbe avere permessi di accesso differenti a seconda che sia in esecuzione come applicazione utente o come script CGI invocato da un web server. Allo stesso modo, il comportamento di un'applicazione può cambiare in base agli argomenti della riga di comando o alle variabili d'ambiente (ad esempio, sshd che visualizza un file di banner che contiene dati sensibili in caso di errata configurazione).
2. Sandboxing a Grana Grossa: Poiché lo stato di esecuzione viene ignorato, i sandbox basati sul MAC convenzionale sono spesso troppo grossolani. Non possono limitare operazioni specifiche (come rinominare un file di configurazione in un file di contenuto) senza bloccare l'intera applicazione, portando a una localizzazione del danno insufficiente.

Il problema centrale è che il controllo degli accessi convenzionale non può distinguere tra lo stesso file eseguibile in esecuzione in contesti diversi (ad esempio, una shell effettuata tramite SSH rispetto a una shell effettuata tramite console o una shell generata da un web server), né può valutare gli effetti potenziali di una specifica richiesta di accesso.

2. Metodologia

Gli autori propongono un nuovo metodo di controllo degli accessi che incorpora la storia di esecuzione dell'applicazione e l'intento di elaborazione nel processo decisionale. Questa metodologia è implementata in TOMOYO Linux, un modulo di sicurezza Linux (LSM).

2.1 Storia di Esecuzione del Programma

Il sistema traccia la "storia di esecuzione del programma" per ogni processo. Questa storia è un elenco dei nomi dei percorsi di tutte le applicazioni eseguite dall'avvio del sistema (<kernel>) fino alla creazione del processo corrente.

• Meccanismo: Quando un processo effettua un fork ed esegue una nuova applicazione (tramite execve), il processo figlio eredita la storia del genitore e appende il proprio nome programma.
• Risultato: Anche se due processi eseguono lo stesso binario (ad esempio, /bin/bash), essi possiedono storie di esecuzione differenti se sono stati lanciati tramite catene diverse (ad esempio, init $\to$ agetty $\to$ login $\to$ bash rispetto a init $\to$ sshd $\to$ bash).

2.2 Classificazione Basata su Dominio

In base alla storia di esecuzione, il sistema definisce i Domini.

• Un dominio è un identificatore unico che rappresenta uno specifico stato di esecuzione, partendo da <kernel> e seguendo la catena di esecuzione.
• Le policy di controllo degli accessi sono definite per dominio, non per binario. Ciò consente all'amministratore di sistema di concedere permessi differenti alla stessa applicazione a seconda di come è stata lanciata.
• La struttura dei domini forma un albero, permettendo capacità di Controllo degli Accessi Basato sui Ruoli (RBAC) dove shell annidate o escalation di privilegi (ad esempio, su) creano nuovi domini distinti con permessi specifici e limitati.

2.3 Decisioni di Accesso Basate su Condizioni

Il linguaggio delle policy permette che le decisioni di accesso siano condizionate da vari parametri gestiti all'interno del kernel, tra cui:

• Argomenti della riga di comando: Limitare l'esecuzione in base a flag specifici (ad esempio, exec.argv[0]="passwd").
• Variabili d'ambiente: Filtrare in base alle impostazioni proxy o ai percorsi di ricerca.
• Attributi del file: Controllare i permessi del file, la proprietà o il contenuto specifico del file.
• ID Utente: Limitare l'accesso in base all'ID utente effettivo o reale.

Utilizzando questi fattori come condizioni, il sistema può inferire l' "intento" dell'applicazione. Ad esempio, può consentire un'operazione di lettura di un file solo se l'applicazione è in esecuzione con argomenti specifici che indicano un compito amministrativo legittimo, piuttosto che una lettura generica.

2.4 Implementazione tramite Reference Monitor

TOMOYO Linux implementa un reference monitor all'interno del kernel Linux utilizzando il framework LSM.

• Intercettazione: Le chiamate di sistema vengono intercettate (hooked) per intercettare le richieste di accesso.
• Decisione: Il kernel controlla la richiesta rispetto alla policy definita per il dominio attuale del processo.
• Enforcement: Se la richiesta corrisponde alla policy (inclusi tutti i parametri obbligatori e opzionali), viene consentita; altrimenti, viene rifiutata.
• Approccio Whitelist: Il sistema opera su base whitelist; tutto ciò che non è esplicitamente permesso è negato.

3. Contributi Chiave

1. Consapevolezza dello Stato di Esecuzione: Il documento introduce un metodo per identificare univocamente lo stato di esecuzione di un'applicazione utilizzando una catena di storie di esecuzione dei programmi, consentendo un controllo degli accessi a grana fine che il MAC convenzionale non può raggiungere.
2. Policy Basata sull'Intento: La metodologia consente di definire policy basate sull' elaborazione che un'applicazione sta per eseguire (inferita da argomenti, ambiente e storia), piuttosto che solo sull'identità del soggetto e dell'oggetto.
3. Implementazione TOMOYO Linux: Gli autori forniscono una piena implementazione di questo metodo nel kernel Linux, includendo:
   • Un editor di policy (CUI) per definire e gestire i domini.
   • Una "Modalità di Apprendimento" (Learning Mode) che genera automaticamente le policy osservando il comportamento del sistema, facilitando l'implementazione.
   • Supporto per wildcard e espressioni condizionali complesse nelle definizioni delle policy.
4. Integrazione RBAC: La struttura dei domini supporta naturalmente il Controllo degli Accessi Basato sui Ruoli, permettendo agli amministratori di definire ruoli basati sulla gerarchia di esecuzione dei processi (ad esempio, una shell generata da su ha permessi diversi rispetto alla shell di login originale).

4. Risultati e Valutazione

Il documento presenta una valutazione di TOMOYO Linux basata su un esperimento dimostrativo e benchmark di prestazioni.

4.1 Usabilità e Gestione

• Formulazione della Policy: La "Modalità di Apprendimento" consente agli amministratori di osservare il sistema per un periodo (ad esempio, due settimane per un web server) per raccogliere le storie di esecuzione e i modelli di accesso. Ciò riduce significativamente l'impegno manuale richiesto per definire le policy rispetto al MAC basato su etichette (come SELinux), dove gli amministratori devono mappare manualmente transizioni di etichette complesse.
• Dimostrazione: In un esperimento del 2007 su un web server, i partecipanti sono stati in grado di comprendere i principi e modificare le policy rapidamente. L'uso dei nomi dei percorsi e della storia di esecuzione ha reso il comportamento del sistema trasparente agli amministratori.
• Confronto con SELinux: A differenza di SELinux, che richiede la comprensione di complesse transizioni di etichette e policy standard che potrebbero non corrispondere all'ambiente specifico, TOMOYO permette di definire le policy indipendentemente per ogni dominio, rendendo la gestione più intuitiva.

4.2 Efficacia della Sicurezza

Il metodo si dimostra efficace contro:

• Esecuzione di Applicazioni non Autorizzate: Impedire l'esecuzione di shell o strumenti non autorizzati anche se un'applicazione vulnerabile viene compromessa, limitando i permessi del dominio specifico.
• Path Traversal: Annullare gli attacchi calcolando i percorsi assoluti basati sulle strutture dati del kernel.
• Attacchi ai Symbolic Link: Limitare la creazione di link simbolici a meno che non sia esplicitamente permesso per la directory e il target specifici.

4.3 Impatto sulle Prestazioni

Le prestazioni sono state misurate utilizzando LMBench su un sistema Ubuntu 10.04 (Core 2 Duo, 2GB RAM).

• Chiamate di Sistema non Intercettate: Le chiamate di sistema non intercettate da TOMOYO hanno mostrato un impatto trascurabile (entro il ±5%, attribuito alla varianza della misurazione).
• Chiamate di Sistema Intercettate:
  • Operazioni sui File: È stato osservato un overhead significativo per le operazioni che coinvolgono la creazione di file e i metadati (ad esempio, stat, open/close, 0K File Create), con ritardi che vanno dal ~60% al ~128%. Ciò è dovuto all'overhead del controllo dei nomi dei percorsi e dei permessi.
  • Creazione di Processi: Le operazioni fork ed execve hanno mostrato un ritardo di circa il 5-15%, attribuito all'elaborazione dell'eredità della storia di esecuzione.
  • Rete: Le operazioni TCP hanno mostrato un overhead minimo (~1%), mentre l'UDP ha mostrato un overhead del ~28%.
• Scala della Policy: Il documento nota che all'aumentare del numero di domini e delle autorizzazioni di accesso, i tempi di ricerca aumentano. Tuttavia, i dati empirici suggeriscono che nelle tipiche implementazioni, il numero di domini e di regole per dominio rimane sotto le 2.000 unità, mantenendo la degradazione delle prestazioni entro limiti accettabili per l'uso ordinario.

5. Significato e Rivendicazioni

Il documento sostiene che TOMOYO Linux rappresenti un progresso significativo nel Controllo degli Accessi Obbligatorio spostando il focus dalle coppie statiche soggetto-oggetto agli stati di esecuzione dinamici.

• Complementarità: Gli autori posizionano questo metodo non come un sostituto del MAC basato su etichette, ma come un complemento. Mentre il MAC basato su etichette eccelle nel prevenire la fuga di informazioni attraverso una robusta isolazione, TOMOYO eccelle nel mantenere lo stato corretto di un sistema informativo e nel prevenire che le applicazioni eseguano operazioni non intenzionali.
• Praticità: Utilizzando informazioni del kernel già esistenti (storia di esecuzione, argomenti, ambiente) invece di richiedere modifiche alle applicazioni o assegnazioni di etichette complesse, il metodo offre una via pratica per un controllo granulare della sicurezza.
• Usabilità: La capacità di generare policy attraverso l'osservazione (Learning Mode) e la natura intuitiva della storia di esecuzione affrontano l'elevata barriera all'ingresso spesso associata ai sistemi MAC.

Il documento conclude che, rifiutando le richieste di accesso non autorizzate e non necessarie che i metodi convenzionali non possono identificare, TOMOYO Linux migliora la sicurezza delle informazioni pur rimanendo gestibile per gli amministratori di sistema. Si suggerisce come lavoro futuro la combinazione di questo metodo con le dichiarazioni delle applicazioni per affinare ulteriormente l'accuratezza dello stato di esecuzione.