日本語 man コマンド類 (ja-man-1.1j_5) と日本語 man ドキュメント (ja-man-doc-5.4 (5.4-RELEASE 用) など) をインストールすると、以下のような man コマンド閲覧、キーワード検索が コンソールからできるようになります。
4.11-RELEASE-K, 5.4-RELEASE-K, 5.5-RELEASE-K, 6.0-RELEASE-K から 6.4-RELEASE-K, 7.0-RELEASE-K から 7.4-RELEASE-K, 8.0-RELEASE-K から 8.4-RELEASE-K, 9.0-RELEASE-K から 9.3-RELEASE-K, 10.0-RELEASE-K から 10.3-RELEASE-K, 11.0-RELEASE-K から 11.4-RELEASE-K, 12.0-RELEASE-K, 12.1-RELEASE-K は、 プライベート版 (小金丸が編集してまとめたもの) ですが、 より多くの翻訳したファイルが含まれています。 (5.4-RELEASE-K から 6.4-RELEASE-K, 7.0-RELEASE-K から 7.4-RELEASE-K, 8.0-RELEASE-K から 8.4-RELEASE-K, 9.0-RELEASE-K から 9.3-RELEASE-K, 10.0-RELEASE-K から 10.3-RELEASE-K, 11.0-RELEASE-K から 11.4-RELEASE-K, 12.0-RELEASE-K から 12.4-RELEASE-K, 13.0-RELEASE-K から 13.3-RELEASE-K, 14.0-RELEASE-K から 14.1-RELEASE-K は、全翻訳済み)
13.3-STABLE-K, 15.0-CURRENT-K は現在、作成中で日々更新されています。
Table of Contents
MAC_LOMAC(4) FreeBSD カーネルインタフェースマニュアル MAC_LOMAC(4)
名称
mac_lomac -- Low-watermark (低いウォータマーク (水位標)) Mandatory Access
Control (強制的アクセス制御) データ整合性ポリシ
書式
利用者のカーネルに LOMAC をコンパイルするには、次の行をカーネル設定ファイ
ルに入れます:
options MAC
options MAC_LOMAC
代わりに、次の行を利用者のカーネル設定ファイルに入れて、ブート時に LOMAC
モジュールをロードします:
options MAC
と loader.conf(5) 中に:
mac_lomac_load="YES"
解説
mac_lomac ポリシモジュールは LOMAC 整合性モデルを実装します。そのモデル
は、浮動ラベルを通してサブジェクトの降格と一緒に情報フローポリシを用いて
システムオブジェクトとサブジェクトの整合性を保護します LOMAC では、すべて
のシステムサブジェクトとオブジェクトはそれらのタイプによって 1 つ以上の階
層的グレードを作り上げる、整合性ラベルが割り当てられます一緒に、これらの
ラベル要素は、順序を記述した優先演算子に基づいた情報フロー保護と降格決定
ですべてのラベルが半順序で置かれるのを許します。階層的グレードの複数の
フィールドは、より高い値が、より高い整合性を反映する、0 と 65535 の間の値
として表現されます。
3 つの特別なラベル構成値が存在しています:
ラベル 比較
low 全ての他のラベルが優先される
equal 全ての他のラベルと等しい
high 全ての他のラベルより優先される
``high'' (高い) ラベルは全体としてシステムの整合性に影響するシステムオブ
ジェクトに割り当てられます。``equal'' (等しい) ラベルは、特定のサブジェク
トとオブジェクトが LOMAC 保護によって免除されることを示すために使用されま
す。例えば、``lomac/equal(equal-equal)'' のラベルはシステムで管理上の何か
を再ラベルするのに使用されるサブジェクトで使用されるかもしれません。
ほとんどすべてのシステムオブジェクトは、単一で、アクティブラベル要素、オ
ブジェクトの整合性、またはオブジェクトに含まれたデータの整合性を反映し
て、タグ付けをされます。ファイルシステムオブジェクトは、ディレクトリに作
成される新しいファイルのための継承される整合性レベルか、または実行形式を
実行のときにサブジェクトによって仮定される代替のラベルを決定する追加の補
助ラベルを含みます。一般的に、オブジェクトラベルは次の形式で表示されます:
lomac/grade[auxgrade]
例えば:
lomac/10[2]
lomac/low
サブジェクトラベルは次の 3 つのラベル要素から成ります: 利用可能なラベルの
範囲と同様な、単一の (アクティブな) ラベル。この範囲は、プロセスで設定さ
れるとき、そのアクティブラベルを範囲のローエンドへの大きいか等しい整合性
と、範囲のハイエンドへの少ないか等しい整合性の任意のラベルに変更するプロ
セスを許す、2 つの順序付けられた LOMAC ラベル要素を使って表示されます。一
般的に、サブジェクトラベルは次の形式で表示されます:
lomac/singlegrade(lograde-higrade)
オブジェクトの変更は次の比較によってアクセスが制限されます:
subject::higrade >= target-object::grade
サブジェクトの変更は、目標のサブジェクトのただ一つのグレードが比較に取り
入れられた唯一の要素であるのと同じです。
次の比較が真であるときに、サブジェクトの降格が起こります:
subject::singlegrade > object::grade
降格が起こるとき、サブジェクトの singlegrade と higrade は必要なら、
lograde と同様に、オブジェクトのグレードに減少されます。減少されたサブ
ジェクトの許可に加えて、降格が起こるとき、メモリス空間でオープンされた共
有 mmap(2) オブジェクトは、次の sysctl(3) 変数にしたがって無効にされます:
• security.mac.lomac.revocation_enabled
• security.mac.enforce_vm
• security.mac.mmap_revocation
• security.mac.mmap_revocation_via_cow
ファイルの実行のときに、実行形式に補助のラベルがあり、lograde-higrade の
現在の範囲中にそのラベルがあるなら、それはすぐにサブジェクトによって仮定
されます。この後、降格は、目標の実行形式でちょうど他の読み込み操作のよう
に実行されます。補助のラベルの使用のために、プログラムは、再びそれを上げ
る能力を保有している間に、より低い有効な整合性レベルで始めて実行されま
す。
これらの規則は、情報の流れを防ぐことによって、より高い整合性サブジェクト
の振る舞いに影響を及ぼすより低いの整合性のサブジェクトを防ぎ、制御では、
それらのオブジェクトに従って高い整合性オブジェクトか、または高い整合性サ
ブジェクトのどちらかを変更するために低い整合性サブジェクトの許容から防ぎ
ます。LOMAC 整合性ポリシは、オペレーティングシステムの不正、および、攻撃
者より高い整合性としてマークされるなら利用者データの不正の両方を防ぐこと
の観点から多くの環境で適切となります。
LOMAC セキュリティモデルは、いろいろ mac_biba(4) と mac_mls(4) のものと全
く同じです。これについてのより多くのバックグラウンド情報はそれぞれのマ
ニュアルページで見つけることができます。
関連項目
mmap(2), sysctl(3), mac(4), mac_biba(4), mac_bsdextended(4),
mac_ifoff(4), mac_mls(4), mac_none(4), mac_partition(4), mac_portacl(4),
mac_seeotheruids(4), mac_test(4), mac(9)
歴史
mac_lomac ポリシモジュールは、FreeBSD 5.0 ではじめて登場し、TrustedBSD プ
ロジェクトによって開発されました。
作者
このソフトウェアは、DARPA CHATS 研究プログラムの一環として、DARPA/SPAWAR
契約 N66001-01-C-8035 (``CBOSS'') の下で Network Associates Labs, the
Security Research Division of Network Associates Inc. によって FreeBSD プ
ロジェクトに寄贈されました。
FreeBSD 13.2 February 25, 2012 FreeBSD 13.2