22、Linux安全系统：SELinux与/proc文件系统深度解析

Linux安全系统：SELinux与/proc文件系统深度解析

1. SELinux基础原理

1.1 访问控制机制

SELinux为Linux引入了强制访问控制（MAC），与标准Linux内核的自主访问控制（DAC）不同。在DAC系统中，用户可自行决定将其拥有的资源访问权限授予其他用户。然而，对于需要保障安全的组织而言，这种方式可能存在风险，因为普通用户可能随意为朋友赋予额外权限。而在MAC系统中，所有权和访问权限由组织制定的复杂且可定制的规则来管理。

1.2 安全上下文

SELinux引入了一些新术语，其中安全上下文是核心概念之一。安全上下文由身份（identity）、角色（role）和类型（type）三个部分组成。可以使用 id -Z 命令查看当前登录会话的安全上下文。例如：

$ id -Z
user_u:user_r:user_t

这里， user_u 是身份， user_r 是角色， user_t 是类型。若以root用户登录，会看到不同的上下文：

# id -Z
root:staff_r:staff_t

1.3 对象与主体

在SELinux中，一切皆为对象，如文件、文件系统、网络套接字和设备等。Fedora Core 2安全策略定义了12种顶级对象。而能够对对象执行操作的则