Resumo Técnico: TOMOYO Linux – Um Método de Controle de Acesso Obrigatório Baseado no Estado de Execução da Aplicação

1. Definição do Problema

Os métodos convencionais de controle de acesso, incluindo o Controle de Acesso Discricionário (DAC) e as implementações padrão de Controle de Acesso Obrigatório (MAC) (tanto baseadas em rótulos quanto baseadas em caminhos), tomam decisões de acesso baseando-se primariamente na combinação de um sujeito (aplicação/processo) e um objeto (arquivo/recurso). Esses métodos falham em considerar o estado de execução da aplicação ou a intenção por trás de uma solicitação de acesso específica.

O artigo identifica duas limitações críticas nos sistemas existentes:

1. Falta de Consciência Contextual: Os métodos convencionais não consideram como uma aplicação foi lançada ou qual processamento ela está prestes a realizar. Por exemplo, um navegador web (cliente HTTP) deve ter permissões de acesso diferentes dependendo se está sendo executado como uma aplicação de usuário ou como um script CGI invocado por um servidor web. Da mesma forma, o comportamento de uma aplicação pode mudar com base em argumentos de linha de comando ou variáveis de ambiente (ex: sshd exibindo um arquivo de banner que contém dados sensíveis se estiver mal configurado).
2. Sandboxing de Grão Grosso: Como o estado de execução é ignorado, os sandboxes baseados em MAC convencional são frequentemente muito grosseiros. Eles não conseguem restringir operações específicas (como renomear um arquivo de configuração para um arquivo de conteúdo) sem bloquear toda a aplicação, levando a uma localização de danos insuficiente.

A questão central é que o controle de acesso convencional não consegue distinguir entre o mesmo arquivo executável rodando em diferentes contextos (ex: um shell logado via SSH vs. um shell logado via console vs. um shell gerado por um servidor web), nem pode avaliar os efeitos potenciais de conceder uma solicitação de acesso específica.

2. Metodologia

Os autores propõem um novo método de controle de acesso que incorpora o histórico de execução da aplicação e a intenção de processamento no processo de tomada de decisão. Esta metodologia é implementada no TOMOYO Linux, um Módulo de Segurança do Linux (LSM).

2.1 Histórico de Execução de Programas

O sistema rastreia o "histórico de execução de programas" para cada processo. Este histórico é uma lista dos nomes de caminhos de todas as aplicações executadas desde a inicialização do sistema (<kernel>) até a criação do processo atual.

• Mecanismo: Quando um processo faz um fork e executa uma nova aplicação (via execve), o processo filho herda o histórico do pai e anexa seu próprio nome de programa.
• Resultado: Mesmo que dois processos estejam rodando o mesmo binário (ex: /bin/bash), eles possuem históricos de execução diferentes se foram lançados através de cadeias diferentes (ex: init $\to$ agetty $\to$ login $\to$ bash vs. init $\to$ sshd $\to$ bash).

2.2 Classificação Baseada em Domínios

Com base no histórico de execução, o sistema define Domínios.

• Um domínio é um identificador único que representa um estado de execução específico, começando de <kernel> e seguindo a cadeia de execução.
• As políticas de controle de acesso são definidas por domínio, não por binário. Isso permite que o administrador do sistema conceda permissões diferentes para a mesma aplicação dependendo de como ela foi lançada.
• A estrutura de domínios forma uma árvore, permitindo capacidades de Controle de Acesso Baseado em Funções (RBAC), onde shells aninhados ou escalonamentos de privilégios (ex: su) criam novos domínios distintos com permissões específicas e limitadas.

2.3 Decisões de Acesso Baseadas em Condições

A linguagem de política permite que as decisões de acesso sejam condicionadas a vários parâmetros gerenciados dentro do kernel, incluindo:

• Argumentos de linha de comando: Restringir a execução com base em flags específicas (ex: exec.argv[0]="passwd").
• Variáveis de ambiente: Filtragem baseada em configurações de proxy ou caminhos de busca (search paths).
• Atributos de arquivo: Verificação de permissões de arquivo, propriedade ou conteúdos específicos de arquivos.
• IDs de Usuário: Restringir o acesso com base no ID de usuário efetivo ou real.

Ao usar esses fatores como condições, o sistema pode inferir a "intenção" da aplicação. Por exemplo, ele pode permitir uma operação de leitura de arquivo apenas se a aplicação estiver rodando com argumentos específicos que indiquem uma tarefa administrativa legítima, em vez de uma leitura genérica.

2.4 Implementação via Monitor de Referência

O TOMOYO Linux implementa um monitor de referência dentro do kernel Linux usando a estrutura LSM.

• Interceptação: As chamadas de sistema (system calls) são interceptadas para capturar solicitações de acesso.
• Decisão: O kernel verifica a solicitação contra a política definida para o domínio atual do processo.
• Aplicação: Se a solicitação corresponder à política (incluindo todas as condições obrigatórias e opcionais), ela é permitida; caso contrário, é rejeitada.
• Abordagem de Lista Branca (Whitelist): O sistema opera com base em uma lista branca; qualquer coisa que não seja explicitamente permitida é negada.

3. Contribuições Principais

1. Consciência do Estado de Execução: O artigo introduz um método para identificar unicamente o estado de execução de uma aplicação usando uma cadeia de históricos de execução de programas, permitindo um controle de acesso de grão fino que o MAC convencional não consegue alcançar.
2. Política Baseada em Intenção: A metodologia permite que as políticas sejam definidas com base no processamento que uma aplicação está prest_es a realizar (inferido de argumentos, ambiente e histórico), em vez de apenas a identidade do sujeito e do objeto.
3. Implementação TOMOYO Linux: Os autores fornecem uma implementação completa deste método no kernel Linux, incluindo:
   • Um editor de política (CUI) para definir e gerenciar domínios.
   • Um "Modo de Aprendizado" (Learning Mode) que gera políticas automaticamente ao observar o comportamento do sistema, facilitando a implantação.
   • Suporte para curingas (wildcards) e expressões condicionais complexas nas definições de política.
4. Integração com RBAC: A estrutura de domínios suporta naturalmente o Controle de Acesso Baseado em Funções, permitindo que administradores definam funções baseadas na hierarquia de execução de processos (ex: um shell gerado por su tem permissões diferentes do shell de login original).

4. Resultados e Avaliação

O artigo apresenta uma avaliação do TOMOYO Linux baseada em um experimento de demonstração e benchmarks de desempenho.

4.1 Usabilidade e Gestão

• Formulação de Política: O "Modo de Aprendizado" permite que os administradores observem o sistema por um período (ex: duas semanas para um servidor web) para coletar históricos de execução e padrões de acesso. Isso reduz significativamente o esforamento manual necessário para definir políticas em comparação com o MAC baseado em rótulos (como o SELinux), onde os administradores devem mapear manualmente transições de rótulos complexas.
• Demonstração: Em um experimento de 2007 em um servidor web, os participantes foram capazes de entender os princípios e editar políticas rapidamente. O uso de nomes de caminhos e histórico de execução tornou o comportamento do sistema transparente para os administradores.
• Comparação com SELinux: Diferente do SELinux, que exige a compreensão de transições de rótulos complexas e políticas padrão que podem não corresponder ao ambiente específico, o TOMOYO permite que as políticas sejam definidas independentemente por domínio, tornando a gestão mais intuitiva.

4.2 Eficácia de Segurança

O método mostra-se eficaz contra:

• Execução de Aplicações Não Autorizadas: Impedindo a execução de shells ou ferramentas não autorizadas mesmo se uma aplicação vulnerável for comprometida, ao restringir as permissões do domínio específico.
• Travessia de Caminho (Path Traversal): Anulando ataques ao computar caminhos absolutos baseados em estruturas de dados do kernel.
• Ataques de Link Simbólico: Restringindo a criação de links simbólicos, a menos que seja explicitamente permitido para o diretório e alvo específicos.

4.3 Impacto de Desempenho

O desempenho foi medido usando LMBench em um sistema Ubuntu 10.04 (Core 2 Duo, 2GB RAM).

• Chamadas de Sistema Não Interceptadas: Chamadas de sistema não interceptadas pelo TOMOYO mostraram impacto negligenciável (dentro de ±5%, atribuído à variância de medição).
• Chamadas de Sistema Interceptadas:
  • Operações de Arquivo: Observou-se um overhead significativo para operações envolvendo criação de arquivos e metadados (ex: stat, open/close, 0K File Create), com atrasos variando de ~60% a ~128%. Isso se deve ao overhead de verificar nomes de caminhos e permissões.
  • Criação de Processos: Operações de fork e execve mostraram um atraso de aproximadamente 5-15%, atribuído ao processamento da herança do histórico de execução.
  • Rede: Operações TCP mostraram overhead mínimo (~1%), enquanto UDP mostrou ~28% de overhead.
• Escala de Política: O artigo observa que, conforme o número de domínios e permissões de acesso aumenta, os tempos de busca também aumentam. No entanto, dados empíricos sugerem que, em implantações típicas, o número de domínios e regras por domínio permanece abaixo de 2.000, mantendo a degradação de desempenho dentro de limites aceitáveis para uso comum.

5. Significância e Alegações

O artigo afirma que o TOMOYO Linux representa um avanço significativo no Controle de Acesso Obrigatório ao mudar o foco de pares estáticos sujeito-objeto para estados de execução dinâmicos.

• Complementaridade: Os autores posicionam este método não como um substituto para o MAC baseado em rótulos, mas como um complemento. Enquanto o MAC baseado em rótulos se destaca em prevenir o vazamento de informações através de isolamento robusto, o TOMOYO se destaca em manter o estado correto de um sistema de informação e impedir que aplicações realizem operações indesejadas.
• Praticidade: Ao utilizar informações existentes do kernel (histórico de execução, argumentos, ambiente) em vez de exigir modificações nas aplicações ou atribuições de rótulos complexas, o método oferece um caminho prático para um controle de grão fino.
• Usabilidade: A capacidade de gerar políticas através da observação (Modo de Aprendizado) e a natureza intuitiva do histórico de execução abordam a alta barreira de entrada frequentemente associada aos sistemas MAC.

O artigo conclui que, ao rejeitar solicitações de acesso não autorizadas e desnecessárias que os métodos convencionais não conseguem identificar, o TOMOYO Linux aumenta a segurança da informação enquanto permanece gerenciável para os administradores de sistema. Sugere-se como trabalho futuro a combinação deste método com declarações de aplicação para refinar ainda mais a precisão do estado de execução.