Создание операционных систем на основе ядра Linux протекает открыто. Это даёт предприятиям возможность заранее знакомиться с технологиями и решениями, которые они могут включить в свою инфраструктуру, а также влиять на процесс разработки. Подобное заблаговременное ознакомление позволяет наблюдать за написанием программного кода, который войдет в состав быстро развивающихся дистрибутивов Linux, поддерживаемых сообществом разработчиков. Администраторы могут заранее приступить к их тестированию, не дожидаясь появления стабильных версий, предназначенных для предприятий.
Я изучил, как развиваются средства защиты трех наиболее передовых дистрибутивов Linux — Ubuntu Linux 8.10 компании Canonical, OpenSUSE 11.1 корпорации Novell и Fedora 10 производства Red Hat. В настоящее время доступны их бета-версии.
Ubuntu Linux 8.10 должна была появиться в окончательном виде в конце октября. Новым в ней является возможность шифрования каталога, в котором хранятся сведения личного характера. Благодаря этому пользователи могут надежно хранить конфиденциальные данные без снижения производительности системы, неизбежного в случае шифрования целого тома.
Во время моих собственных тестов с шифрованием томов, проводимых с прежними версиями Ubuntu, я отмечал возрастание нагрузки на процессор на 20—30% в результате интенсивного обращения к диску, например при создании образа виртуальной машины. Более того, шифрование всего диска целиком при наличии единственного ключа для доступа к нему вызывает проблемы, когда компьютером пользуется несколько человек. При этом можно получить доступ только ко всему диску вместо того, чтобы распределить права доступа между пользователями.
В Ubuntu 8.10 в домашних каталогах пользователей создаются папки “Личное” (Private). Система автоматически шифрует файлы, помещаемые в эти папки, и предоставляет доступ к ним после регистрации пользователя.
Во время тестирования мне удалось расширить список находящихся в домашнем каталоге папок, к которым система ограничивает доступ. Для этого я скопировал их в папку “Личное”, сохранив символьные ссылки на них, чтобы мои приложения могли по-прежнему иметь доступ к защищенным файлам, обращаясь к ним по старым адресам.
На сегодняшний день шифрование отдельных папок реализовано слишком примитивно, чтобы полностью вытеснить шифрование томов. Нет пользовательского интерфейса. Существует вероятность, что конфиденциальные данные будут считаны из незашифрованного файла подкачки. Я надеюсь, что разработчики усовершенствуют механизм шифрования в Ubuntu, предусмотрев шифрование томов, папки “Личное” и домашнего каталога, и что это будет сделано до выхода следующей версии, который запланирован на апрель 2010 г.
Появление OpenSUSE 11.1 корпорации Novell, ориентированного на сообщество разработчиков и пользователей аналога более консервативных дистрибутивов SUSE Linux Enterprise, ожидается в начале декабря. Система будет поддерживать базовые функции обязательного контроля доступа, заимствованные из SELinux.
Обращение Novell к SELinux вызвало удивление в сообществе СПО, поскольку на протяжении нескольких последних лет данную систему продвигала главным образом корпорация Red Hat. Что же касается Novell, то она поддерживала альтернативный механизм управления доступом AppArmor, который достался ей в результате поглощения в 2005 г. фирмы Immunix.
Обращение Novell к SELinux вызвало удивление в сообществе Linux, поскольку на протяжении нескольких последних лет данную систему продвигала главным образом корпорация Red Hat.
Компания Novell часто критиковала Red Hat и SELinux за излишнюю сложность. Система Linux, безопасность которой обеспечивается с помощью SELinux, содержит политики, жестко управляющие действиями и правами каждого пользователя, файла и приложения. Создавать такие политики, пересматривать их и устранять возникающие в них сбои — как правило, очень трудное дело.
Тем не менее корпорации Red Hat удалось создать для SELinux политику, которая жестко управляет определенными приложениями, а контроль за работой всех остальных возлагает на традиционные для Linux средства управления доступом.
OpenSUSE 11.1 будет поддерживать лишь базовые функции SELinux. AppArmor остается рекомендуемым средством повышения безопасности. Но, как утверждает Novell, дополнительная поддержка базовых функций SELinux позволит клиентам, использующим этот механизм, перевести свои компьютеры на операционную систему Linux компании Novell.
Дистрибутив Fedora 10 корпорации Red Hat, который должен появиться в конце ноября, будет включать новый инструмент для аудита безопасности и предотвращения вторжений. Этот инструмент, возможность шифрования томов в момент установки системы (она имеется также в Ubuntu, но отсутствует в OpenSUSE) и хорошо реализованная подсистема SELinux Red Hat вкупе представляют собой наиболее полный набор средств обеспечения безопасности в сравнении с другими новейшими дистрибутивами Linux.
Новый инструмент аудита, который Red Hat назвала Sectool, обеспечивает проведение системных тестов с целью выявления ошибок в настройках, затрагивающих полномочия, правила для межсетевого экрана и статус других мер безопасности. Используя Sectool, администраторы могут создавать собственные тесты с помощью bash, Python и других сценарных языков.
Sectool в составе Fedora 10 делит тесты на пять групп, соответствующих различным уровням безопасности: простейшие, для ПК, для сети, для сервера и “параноидальные”. Я использовал версию Sectool с графическим интерфейсом (есть также версия для командной строки) и бета-версию Fedora 10 для проверки безопасности на нескольких уровнях. Инструмент выдал указания на ошибки (проблемы, которые мне следует устранить) и предупреждения (это менее серьезные сообщения информационного характера).
Сведения об ошибках были достаточно полными и указывали направление, в котором мне надлежит двигаться, чтобы исправить недостатки. Но функции Sectool можно было бы более тесно интегрировать с инструментами настройки системы.
