日本語 man コマンド類 (ja-man-1.1j_5) と日本語 man ドキュメント (ja-man-doc-5.4 (5.4-RELEASE 用) など) をインストールすると、以下のような man コマンド閲覧、キーワード検索が コンソールからできるようになります。
4.11-RELEASE-K, 5.4-RELEASE-K, 5.5-RELEASE-K, 6.0-RELEASE-K から 6.4-RELEASE-K, 7.0-RELEASE-K から 7.4-RELEASE-K, 8.0-RELEASE-K から 8.4-RELEASE-K, 9.0-RELEASE-K から 9.3-RELEASE-K, 10.0-RELEASE-K から 10.3-RELEASE-K, 11.0-RELEASE-K から 11.4-RELEASE-K, 12.0-RELEASE-K, 12.1-RELEASE-K は、 プライベート版 (小金丸が編集してまとめたもの) ですが、 より多くの翻訳したファイルが含まれています。 (5.4-RELEASE-K から 6.4-RELEASE-K, 7.0-RELEASE-K から 7.4-RELEASE-K, 8.0-RELEASE-K から 8.4-RELEASE-K, 9.0-RELEASE-K から 9.3-RELEASE-K, 10.0-RELEASE-K から 10.3-RELEASE-K, 11.0-RELEASE-K から 11.4-RELEASE-K, 12.0-RELEASE-K から 12.3-RELEASE-K, 13.0-RELEASE-K から 13.2-RELEASE-K は、全翻訳済み)
13.3-STABLE-K, 15.0-CURRENT-K は現在、作成中で日々更新されています。
Table of Contents
MAC(4) FreeBSD カーネルインタフェースマニュアル MAC(4)
名称
mac -- 強制的アクセス制御 (Mandatory Access Control)
書式
options MAC
解説
紹介
強制的アクセス制御 (Mandatory Access Control) または MAC、フレームワーク
はロード可能なセキュリティポリシアーキテクチャに備えることによって、管理
者が細かくシステムセキュリティを制御できます。本来の性質のために、MAC セ
キュリティポリシがお互いとベースシステムポリシを比べてアクセスを制限する
だけであるかもしれないことに注意することは重要です。それらはファイルパー
ミッションとスーパユーザのチェックのような、伝統的な UNIX セキュリティ条
件を上書きすることができません。
現在、次の MAC ポリシが FreeBSD とともに出荷されています:
名前 説明 ラベル ロード時
mac_biba(4) Biba 整合性ポリシ yes boot only
mac_bsdextended(4) ファイルシステムファイア no any time
ウォール
mac_ifoff(4) インタフェース沈黙 no any time
mac_lomac(4) 低いウォータマーク MAC yes boot only
ポリシ
mac_mls(4) 機密性ポリシ yes boot only
mac_none(4) サンプル no-op ポリシ no any time
mac_partition(4) プロセスパーティション yes any time
ポリシ
mac_portacl(4) ポート bind(2) アクセス制御 no any time
mac_seeotheruids(4) See-other-UID ポリシ no any time
mac_test(4) MAC テストポリシ no any time
MAC ラベル
各システムサブジェクト (プロセス、ソケットなど) と各システムオブジェクト
(ファイルシステムオブジェクト、ソケットなど) は MAC ラベルをサポートする
ことができます。MAC ラベルはアクセスを与えられた操作のためのアクセス制御
の決定を行う際に考慮に入れられた任意の形式でデータを含んでいます。システ
ムサブジェクトとオブジェクト上のほとんどの MAC ラベルはシステム管理者に
よって直接的または間接的に変更することができます。与えられたポリシのラベ
ルのための形式はラベルが付けられたオブジェクトまたはサブジェクトのタイプ
に応じて異なります。MAC ラベルのための形式に関する詳しい情報は
maclabel(7) マニュアルページで見つけることができます。
UFS2 ファイルシステムのための MAC サポート
デフォルトでは、ラベルが付けられた MAC ポリシのファイルシステム実施は、特
定のファイルシステムですべてのファイルのためのアクセス制御の決定を行うた
めに、単一のシステムラベル (MAC ラベルを参照) に依存します。いくつかのポ
リシで、管理者はこの設定で機能を最大限に利用できないかもしれません。特定
のファイルシステムのための個別的にラベルが付けられたファイルのサポートを
有効にするために、``multilabel'' フラグはファイルシステムで有効にされなけ
ればなりません。``multilabel'' フラグを設定するためには、シングルユーザ
モードに落として、ファイルシステムを unmount して、それから、次のコマンド
を実行します:
tunefs -l enable filesystem
ここで、filesystem は (fstab(5) 中の) マウントポイントまたはマルチラベル
のサポートを有効にするファイルシステムに対応する (/dev 中の) 特殊ファイル
のいずれかです。
ポリシ強制
ポリシ実施はシステムの次の領域に分割されます:
ファイルシステム
ファイルシステムのマウント、ディレクトリの変更、ファイルの変更など
KLD
ロードされたカーネルモジュールにおける統計値のロード、アンロードと検索
ネットワーク
ネットワークインタフェース、bpf(4), パケット配送と送信、インタフェースの
設定 (ioctl(2), ifconfig(8))
パイプ
pipe(2) オブジェクトにおける作成と操作
プロセス
デバッグ (例えば、ktrace(2)), プロセスの可視性 (ps(1)), プロセス実行
(execve(2)), シグナル処理 (kill(2))
ソケット
socket(2) オブジェクトにおける作成と操作
システム
カーネル環境 (kenv(1)), システムアカウンティング (acct(2)), reboot(2),
settimeofday(2), swapon(2), sysctl(3), nfsd(8) 関連の操作
VM (仮想メモリ)
mmap(2) されたファイル
MAC ラベルの設定
コマンドラインから、それぞれのタイプのシステムオブジェクトには、MAC ポリ
シラベルを設定して変更するためのそれ自体の手段があります。
サブジェクト/オブジェクト ユーティリティ
ファイルシステムオブジェクト setfmac(8), setfsmac(8)
ネットワークインタフェース ifconfig(8)
TTY (ログインクラスで) login.conf(5)
ユーザ (ログインクラスで) login.conf(5)
さらに、su(1) と setpmac(8) ユーティリティは、シェルの現在のラベルより異
なったプロセスラベルでコマンドを実行するために使用することができます。
MAC でのプログラミング
MAC セキュリティ実施自体は、いくつかのプログラムが様々なシステムコールか
らの追加 errno(2) リターンを知ってさえいればよい例外で、アプリケーション
プログラムに透過的 (から見えない) です。
ポリシラベルを検索する、取り扱う、設定するためのインタフェースは mac(3)
マニュアルページに文書化されています。
関連項目
mac(3), mac_biba(4), mac_bsdextended(4), mac_ifoff(4), mac_lomac(4),
mac_mls(4), mac_none(4), mac_partition(4), mac_portacl(4),
mac_seeotheruids(4), mac_test(4), login.conf(5), maclabel(7), getfmac(8),
getpmac(8), setfmac(8), setpmac(8), mac(9)
"Mandatory Access Control", The FreeBSD Handbook,
http://www.FreeBSD.org/doc/en_US.ISO8859-1/books/handbook/mac.html.
歴史
mac 実装は、FreeBSD 5.0 ではじめて登場し、TrustedBSD プロジェクトによって
開発されました。
作者
このソフトウェアは DARPA CHATS 研究プログラムの一環として、DARPA/SPAWAR
契約 N66001-01-C-8035 (``CBOSS'') の下で Network Associates Labs, the
Security Research Division of Network Associates Inc. によって FreeBSD プ
ロジェクトに寄贈されました。
バグ
MAC フレームワークデザインはルートユーザの封じ込めをサポートすることを目
的としていますが、現在すべての攻撃チャネルがエントリポイントチェックで保
護されるわけではありません。悪意がある特権ユーザから防御するために、分離
して MAC フレームポリシをそのようなものとして信頼するべきではありません。
FreeBSD 11.2 July 25, 2015 FreeBSD 11.2