Technische Samenvatting: TOMOYO Linux – Een Mandatory Access Control-methode gebaseerd op de executiestatus van applicaties

1. Probleemstelling

Conventionele toegangscontrolemethoden, inclusief Discretionary Access Control (DAC) en standaard implementaties van Mandatory Access Control (MAC) (zowel label-gebaseerd als padnaam-gebaseerd), nemen beslissingen over toegang primair op basis van een combinatie van een subject (applicatie/proces) en een object (bestand/resource). Deze methoden houden geen rekening met de executiestatus van de applicatie of de intentie achter een specifieke toegangsaanvraag.

Het artikel identificeert twee kritieke beperkingen in bestaande systemen:

1. Gebrek aan contextuele bewustheid: Conventionele methoden houden geen rekening met hoe een applicatie is gestart of welke verwerking deze op het punt staat uit te voeren. Bijvoorbeeld: een webbrowser (HTTP-client) zou verschillende toegangsrechten moeten hebben, afhankelijk van of deze draait als een gebruikersapplicatie of als een CGI-script aangeroepen door een webserver. Op dezelfde manier kan het gedrag van een applicatie veranderen op basis van command-line argumenten of omgevingsvariabelen (bijv. sshd die een bannerbestand weergeeft dat gevoelige gegevens bevat bij een verkeerde configuratie).
2. Grove zandbakken (Coarse-Grained Sandboxing): Omdat de executiestatus wordt genegeerd, zijn sandboxes gebaseerd op conventionele MAC vaak te grofmazig. Ze kunnen specifieke operaties (zoals het hernoemen van een configuratiebestand naar een contentbestand) niet beperken zonder de gehele applicatie te blokkeren, wat leidt tot onvoldoende lokalisatie van schade.

De kern van het probleem is dat conventionele toegangscontrole geen onderscheid kan maken tussen hetzelfde uitvoerbare bestand dat in verschillende contexten draait (bijv. een shell ingelogd via SSH versus een shell ingelogd via een console versus een shell aangeroepen door een webserver), noch kan het de potentiële effecten van het verlenen van een specifieke toegangsaanvraag evalueren.

2. Methodologie

De auteurs stellen een nieuwe toegangscontrolemethode voor die de programma-executiegeschiedenis en de verwerkingsintentie integreert in het besluitvormingsproces. Deze methodologie is geïmplementeerd in TOMOYO Linux, een Linux Security Module (LSM).

2.1 Programma-executiegeschiedenis

Het systeem houdt de "programma-executiegeschiedenis" bij voor elk proces. Deze geschiedenis is een lijst van de padnamen van alle applicaties die zijn uitgevoerd vanaf de systeemstart (<kernel>) tot aan de creatie van het huidige proces.

• Mechanisme: Wanneer een proces een fork uitvoert en een nieuwe applicatie start (via execve), erft het kindproces de geschiedenis van het ouderproces en voegt het zijn eigen programmanaam toe.
• Resultaat: Zelfs als twee processen dezelfde binaire bestanden draaien (bijv. /bin/bash), bezitten zij verschillende executiegeschiedenissen als ze via verschillende ketens zijn gelanceerd (bijv. init $\to$ agetty $\to$ login $\to$ bash versus init $\to$ sshd $\to$ bash).

2.2 Domein-gebaseerde classificatie

Op basis van de executiegeschiedenis definieert het systeem Domeinen.

• Een domein is een unieke identifier die een specifieke executiestatus vertegenwoordigt, beginnend bij <kernel> en de keten van executie volgend.
• Toegangscontrolebeleid wordt gedefinieerd per domein, en niet per binair bestand. Dit stelt de systeembeheerder in staat om verschillende permissies toe te kennen aan dezelfde applicatie, afhankelijk van hoe deze is gestart.
• De domeinstructuur vormt een boom, waardoor Role-Based Access Control (RBAC) mogelijkheden ontstaan waarbij geneste shells of privilege-escalaties (bijv. su) nieuwe, onderscheidende domeinen creëren met specifieke, beperkte permissies.

2.3 Conditie-gebaseerde toegangsbeslissingen

De beleidstaal staat toe dat toegangsbeslissingen worden geconditioneerd op diverse parameters die binnen de kernel worden beheerd, waaronder:

• Command-line argumenten: Het beperken van executie op basis van specifieke vlaggen (bijv. exec.argv[0]="passwd").
• Omgevingsvariabelen: Filteren op basis van proxy-instellingen of zoekpaden.
• Bestandsattributen: Controleren van bestandsrechten, eigendom of specifieke inhoud van bestanden.
• User IDs: Toegang beperken op basis van de effectieve of werkelijke user ID.

Door deze factoren als condities te gebruiken, kan het systeem de "intentie" van de applicatie afleiden. Het kan bijvoorbeeld een bestand leesoperatie toestaan alleen als de applicatie draait met specifieke argumenten die wijzen op een legitieme administratieve taak, in plaats van een generieke leesactie.

2.4 Implementatie via Reference Monitor

TOMOYO Linux implementeert een reference monitor binnen de Linux-kernel met behulp van het LSM-framework.

• Interceptie: Systeemoproepen (system calls) worden gehookt om toegangsaanvragen te onderscheppen.
• Besluitvorming: De kernel controleert de aanvraag tegen het beleid dat is gedefinieerd voor het huidige domein van het proces.
• Handhaving: Als de aanvraag overeenkomt met het beleid (inclusief alle verplichte en optionele condities), wordt deze toegestaan; anders wordt deze geweigerd.
• Whitelist-benadering: Het systeem werkt op basis van een whitelist; alles wat niet expliciet is toegestaan, wordt geweigerd.

3. Belangrijkste Bijdragen

1. Executiestatus-bewustzijn: Het artikel introduceert een methode om een applicatie uniek te identificeren via een keten van programma-executiegeschiedenissen, wat fijnmazige toegangscontrole mogelijk maakt die conventionele MAC niet kan bereiken.
2. Intentie-gebaseerd Beleid: De methodologie maakt het mogelijk om beleid te definiëren op basis van de verwerking die een applicatie op het punt staat uit te voeren (afgeleid van argumenten, omgeving en geschiedenis), in plaats van enkel op de identiteit van het subject en object.
3. TOMOYO Linux Implementatie: De auteurs bieden een volledige implementatie van deze methode in de Linux-kernel, inclus_ief:
   • Een beleidseditor (CUI) voor het definiëren en beheren van domeinen.
   • Een "Learning Mode" die automatisch beleid genereert door systeemgedrag te observeren, wat de implementatie vergemakkelijkt.
   • Ondersteuning voor wildcards en complexe conditionele expressies in beleidsdefinities.
4. RBAC Integratie: De domeinstructuur ondersteunt van nature Role-Based Access Control, waardoor beheerders rollen kunnen definiëren op basis van de hiërarchie van procesexecutie (bijv. een shell aangeroepen door su heeft andere rechten dan de oorspronkelijke login-shell).

4. Resultaten en Evaluatie

Het artikel presenteert een evaluatie van TOMOYO Linux op basis van een demonstratie-experiment en performance benchmarks.

4.1 Bruikbaarheid en Beheer

• Beleidsformulering: De "Learning Mode" stelt beheerders in staat om het systeem gedurende een periode te observeren (bijv. twee weken voor een webserver) om executiegeschiedenissen en toegangspatronen te verzamelen. Dit vermindert de handmatige inspanning voor het definiëren van beleid aanzienlijk vergeleken met label-gebaseerde MAC (zoals SELinux), waarbij beheerders handmatig complexe label-transities moeten mappen.
• Demonstratie: In een experiment in 2007 op een webserver waren deelnemers in staat om de principes te begrijpen en beleid snel aan te passen. Het gebruik van padnamen en executiegeschiedenis maakte het gedrag van het systeem transparant voor beheerders.
• Vergelijking met SELinux: In tegenstelling tot SELinux, dat begrip vereist van complexe label-transities en standaardbeleid dat mogelijk niet overeenkomt met de specifieke omgeving, staat TOMOYO toe dat beleid onafhankelijk per domein wordt gedefinieerd, wat het beheer intuïtiever maakt.

4.2 Effectiviteit van de Beveiliging

De methode blijkt effectief te zijn tegen:

• Ongeautoriseerde Applicatie-executie: Het voorkomen van de uitvoering van shells of ongeautoriseerde tools, zelfs als een kwetsbare applicatie is gecompromitteerd, door de specifieke domein-rechten te beperken.
• Path Traversal: Het onschadelijk maken van aanvallen door absolute paden te berekenen op basis van kernel datastructuren.
• Symbolic Link Aanvallen: Het beperken van de creatie van symbolische links, tenzij dit expliciet is toegestaan voor de specifieke directory en het doel.

4.3 Performance Impact

De performance werd gemeten met LMBench op een Ubuntu 10.04 systeem (Core 2 Duo, 2GB RAM).

• Niet-gehookte Systeemoproepen: Systeemoproepen die niet door TOMOYO worden onderschept, vertonen een verwaarloosbare impact (binnen ±5%, toegeschreven aan meetvariantie).
• Gehookte Systeemoproepen:
  • Bestandsoperaties: Er werd een significante overhead waargenomen voor operaties die betrekking hebben op bestandscreatie en metadata (bijv. stat, open/close, 0K File Create), met vertragingen variërend van ~60% tot ~128%. Dit komt door de overhead van het controleren van padnamen en permissies.
  • Procescreatie: fork en execve operaties vertoonden een vertraging van ongeveer 5-15%, toegeschreven aan de verwerking van de overdracht van de executiegeschiedenis.
  • Netwerk: TCP-operaties vertoonden minimale overhead (~1%), terwijl UDP ~28% overhead vertoonde.
• Schaal van Beleid: Het artikel merkt op dat naarmate het aantal domeinen en toegangsrechten toeneemt, de zoektijden toenemen. Empirische gegevens suggereren echter dat in typische implementaties het aantal domeinen en regels per domein onder de 2.000 blijft, waardoor de performance-degradatie binnen acceptabele grenzen blijft voor normaal gebruik.

5. Betekenis en Claims

Het artikel claimt dat TOMOYO Linux een significante vooruitgang vormt in Mandatory Access Control door de focus te verschuiven van statische subject-object paren naar dynamische executiestatussen.

• Complementariteit: De auteurs positioneren deze methode niet als een vervanging voor label-gebaseerde MAC, maar als een aanvulling. Waar label-gebaseerde MAC uitblinkt in het voorkomen van informatielekken door robuuste isolatie, blinkt TOMOYO uit in het handhaven van de juiste staat van een informatiesysteem en het voorkomen dat applicaties onbedoelde operaties uitvoeren.
• Praktische Bruikbaarheid: Door gebruik te maken van bestaande kernelinformatie (executiegeschiedenis, argumenten, omgeving) in plaats van het vereisen van applicatiemodificaties of complexe label-toewijzingen, biedt de methode een praktische weg naar fijnmazige beveiliging.
• Gebruiksgemak: Het vermogen om beleid te genereren door observatie (Learning Mode) en de intuïtieve aard van de executiegeschiedenis pakken de hoge drempel aan die vaak geassocieerd wordt met MAC-systemen aan.

Het artikel concludeert dat door ongeautoriseerde en onnodige toegangsaanvragen te weigeren die conventionele methoden niet kunnen identificeren, TOMOYO Linux de informatiebeveiliging versterkt terwijl het beheerbaar blijft voor systeembeheerders. Toekomstig werk suggereert het combineren van deze methode met applicatie-declaraties om de nauwkeurigheid van de executiestatus verder te verfijnen.