PostgreSQL sepgsql

SELinux的安全模型把所有訪問控制規(guī)則描述為一個(gè) 主體（典型的是一個(gè)數(shù)據(jù)庫(kù)客戶端）和一個(gè)客體（例如一個(gè)數(shù)據(jù)庫(kù)對(duì)象）之 間的關(guān)系， 每一個(gè)這樣的關(guān)系被一個(gè)安全標(biāo)簽標(biāo)識(shí)。如果嘗試訪問一個(gè)未加 標(biāo)簽的客體，會(huì)認(rèn)為該客體被分配了標(biāo)簽unlabeled_t。

當(dāng)前，sepgsql允許把安全標(biāo)簽分配給模式、表、列、 序列、視圖和函數(shù)。在使用sepgsql時(shí)，安全標(biāo)簽會(huì) 在所支持的數(shù)據(jù)庫(kù)對(duì)象創(chuàng)建時(shí)自動(dòng)分配給它們。這種標(biāo)簽被稱為默認(rèn)安全標(biāo)簽 并且根據(jù)系統(tǒng)安全性策略決定，默認(rèn)安全標(biāo)簽被用來輸入創(chuàng)建者標(biāo)簽、分配給 新對(duì)象父對(duì)象的標(biāo)簽以及所構(gòu)造對(duì)象的可選名稱。

一個(gè)新數(shù)據(jù)庫(kù)對(duì)象基本上會(huì)繼承父對(duì)象的安全標(biāo)簽，不過當(dāng)安全策略具有特殊的 類型轉(zhuǎn)換規(guī)則時(shí)，將會(huì)應(yīng)用一個(gè)不同的標(biāo)簽。對(duì)于模式，其父對(duì)象是當(dāng)前數(shù)據(jù)庫(kù)。 對(duì)于表、序列、視圖和函數(shù)，父對(duì)象是包含它的模式。對(duì)于列，其父對(duì)象是包含 它的表。

對(duì)于表，根據(jù)語句的種類會(huì)對(duì)所有被引用的目標(biāo)表檢查 db_table:select、db_table:insert、 db_table:update或者db_table:delete。此外，對(duì)于 所有其列被WHERE或 RETURNING子句引用、作為 UPDATE的數(shù)據(jù)源（以及其他情況）的表， 都要檢查db_table:select。

對(duì)每一個(gè)被引用的列也將檢查列級(jí)權(quán)限。不僅在使用SELECT讀取列 時(shí)會(huì)檢查db_column:select，在其他 DML 語句中引用列時(shí)也要檢查。 對(duì)于被UPDATE或者INSERT修改的列也將檢查 db_column:update或者 db_column:insert。

例如，考慮：

UPDATE t1 SET x = 2, y = func1(y) WHERE z = 100;

這里，將對(duì)t1.x檢查db_column:update，因?yàn)樗?被更新。對(duì)t1.y將檢查db_column:{select update}， 因?yàn)樗缺桓乱脖灰?。并且?huì)對(duì)t1.z檢查 db_column:select，因?yàn)樗槐桓?。還將在表層面上檢查 db_table:{select update}。

對(duì)于序列，當(dāng)我們使用SELECT引用一個(gè)序列對(duì)象時(shí)會(huì)檢查 db_sequence:get_value。不過，我們當(dāng)前不會(huì)檢查執(zhí)行相應(yīng) 函數(shù)（例如lastval()）的權(quán)限。

對(duì)于視圖，將檢查db_view:expand，然后對(duì)從視圖展開來的任何 對(duì)象都會(huì)分別檢查所需的權(quán)限。

對(duì)于函數(shù)，當(dāng)用戶嘗試在一個(gè)查詢中或者使用快路徑調(diào)用執(zhí)行一個(gè)函數(shù)時(shí)會(huì)檢查 db_procedure:{execute}。如果該函數(shù)是一個(gè)可信過程，也會(huì)檢查 db_procedure:{entrypoint}權(quán)限來看看它能否作為一個(gè)可信程序 的入口點(diǎn)來執(zhí)行。

為了訪問任何模式對(duì)象，在其所在的模式上需要db_schema:search 權(quán)限。當(dāng)不用模式限定引用一個(gè)對(duì)象時(shí)，其上沒有該權(quán)限的模式不會(huì)被搜索（就好 像該用戶在該模式上沒有USAGE特權(quán)）。如果出現(xiàn)一個(gè)顯式的模式 限定，當(dāng)該用戶在提及的模式上沒有要求的權(quán)限時(shí)將會(huì)發(fā)生一個(gè)錯(cuò)誤。

客戶端必須被允許訪問所有引用到的表和列，即便它們是由視圖擴(kuò)展得來的。這樣 我們可以應(yīng)用一致的訪問控制規(guī)則而不管表內(nèi)容被引用的方式。

默認(rèn)的數(shù)據(jù)庫(kù)特權(quán)系統(tǒng)允許數(shù)據(jù)庫(kù)超級(jí)用戶使用 DML 命令修改系統(tǒng)目錄并且引用 或者修改 TOAST 表。當(dāng)sepgsql被啟用時(shí)，這些操作會(huì)被禁止。

SELinux為每一種對(duì)象類型定義了數(shù)個(gè)權(quán)限來控制 常用操作，例如創(chuàng)建、修改、刪除以及重新標(biāo)記安全標(biāo)簽。此外，數(shù)種 對(duì)象類型具有特殊的權(quán)限來控制它們的特性化操作，例如在一個(gè)特定模式 中增加或者刪除名字項(xiàng)。

創(chuàng)建一個(gè)新的數(shù)據(jù)庫(kù)對(duì)象要求create權(quán)限。 SELinux將基于客戶端的安全標(biāo)簽來授予或者否決 這個(gè)權(quán)限并且為新對(duì)象提出安全標(biāo)簽。在某些情況下，還需要額外的特權(quán)：

當(dāng)執(zhí)行DROP命令時(shí)，在要移除的對(duì)象上會(huì)檢查drop。 對(duì)于通過CASCADE間接被刪除的對(duì)象也會(huì)檢查權(quán)限。刪除包含在 一個(gè)特定模式內(nèi)的對(duì)象（表、視圖、序列以及過程）額外地要求該模式上的 remove_name。

在執(zhí)行ALTER命令時(shí)，會(huì)在被修改的對(duì)象上為每一種對(duì)象類型檢查 setattr。附屬對(duì)象（例如一個(gè)表的索引或者觸發(fā)器）除外， 這種 情況下權(quán)限是在父對(duì)象上檢查的。在某些情況下，還需要額外的權(quán)限：

可信過程類似于 SECURITY DEFINER 函數(shù)或者 setuid 命令。 SELinux提供了一個(gè)特性來允許可信代碼使用一個(gè)不同 于客戶端的安全標(biāo)簽運(yùn)行，通常這是為了提供對(duì)敏感數(shù)據(jù)的高度控制的訪問（ 例如行可能會(huì)被忽略或者存儲(chǔ)值的精度可能會(huì)被降低）。一個(gè)函數(shù)是否可以 作為可信過程受到其安全標(biāo)簽和操作系統(tǒng)安全性策略的控制。例如：

postgres=# CREATE TABLE customer (
               cid     int primary key,
               cname   text,
               credit  text
           );
CREATE TABLE
postgres=# SECURITY LABEL ON COLUMN customer.credit
               IS 'system_u:object_r:sepgsql_secret_table_t:s0';
SECURITY LABEL
postgres=# CREATE FUNCTION show_credit(int) RETURNS text
             AS 'SELECT regexp_replace(credit, ''-[0-9]+$'', ''-xxxx'', ''g'')
                        FROM customer WHERE cid = $1'
           LANGUAGE sql;
CREATE FUNCTION
postgres=# SECURITY LABEL ON FUNCTION show_credit(int)
               IS 'system_u:object_r:sepgsql_trusted_proc_exec_t:s0';
SECURITY LABEL

上述的操作應(yīng)該由一個(gè)管理員用戶執(zhí)行。

postgres=# SELECT * FROM customer;
ERROR:  SELinux: security policy violation
postgres=# SELECT cid, cname, show_credit(cid) FROM customer;
 cid | cname  |     show_credit
-----+--------+---------------------
   1 | taro   | 1111-2222-3333-xxxx
   2 | hanako | 5555-6666-7777-xxxx
(2 rows)

在這種情況下，一個(gè)常規(guī)用戶無法直接引用customer.credit， 但是一個(gè)可信過程show_credit允許用戶在打印客戶的信用卡號(hào)時(shí) 把一些數(shù)字掩蓋掉。

如果安全性策略允許，可以使用 SELinux 的動(dòng)態(tài)域轉(zhuǎn)換特性來切換客戶端 進(jìn)程（客戶端域）的安全性標(biāo)簽到一個(gè)新的上下文。該客戶端域需要 setcurrent權(quán)限還有從舊的域到新的域的 dyntransition權(quán)限。

動(dòng)態(tài)域轉(zhuǎn)換需要被仔細(xì)考慮，因?yàn)樵谟脩艨磥恚鼈冊(cè)试S用戶切換其標(biāo)簽， 并且因而切換特權(quán)，而不是（像可信過程的情況那樣）受系統(tǒng)的強(qiáng)制性管理。 因此，只有當(dāng)被用來切換到一個(gè)比原來的域具有更少特權(quán)的域時(shí)， dyntransition才被認(rèn)為是安全的。例如：

regression=# select sepgsql_getcon();
                    sepgsql_getcon
-------------------------------------------------------
 unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
(1 row)

regression=# SELECT sepgsql_setcon('unconfined_u:unconfined_r:unconfined_t:s0-s0:c1.c4');
 sepgsql_setcon
----------------
 t
(1 row)

regression=# SELECT sepgsql_setcon('unconfined_u:unconfined_r:unconfined_t:s0-s0:c1.c1023');
ERROR:  SELinux: security policy violation

在上面的這個(gè)例子中，我們被允許從較大范圍的c1.c1023切換到 較小范圍的c1.c4，但卻禁止切換回去。

動(dòng)態(tài)域轉(zhuǎn)換和可信過程的組合開啟了一種有趣的使用案例，它適合典型的 連接池軟件的處理生命周期。即便你的連接池軟件不被允許運(yùn)行大部分的 SQL 命令，你可以從一個(gè)可信過程中使用 sepgsql_setcon()函數(shù)允許它切換該客戶端的安全標(biāo)簽， 這個(gè)過程應(yīng)該采用一些證據(jù)來授權(quán)該請(qǐng)求切換該客戶端標(biāo)簽。之后，這個(gè) 會(huì)話將會(huì)具有目標(biāo)用戶而不是連接池的特權(quán)。該連接池之后可以用 NULL參數(shù)再次調(diào)用 sepgsql_setcon()逆轉(zhuǎn)這次安全標(biāo)簽改變，當(dāng)然再次的調(diào)用也要在一個(gè)可信過程中配合適當(dāng) 的權(quán)限檢查進(jìn)行。這里的要點(diǎn)是只有可信過程實(shí)際具有權(quán)限來更改有效的安全 標(biāo)簽，并且只有在得到適當(dāng)?shù)淖C據(jù)后才這樣做。當(dāng)然，對(duì)于安全操作，必須 保護(hù)證據(jù)存儲(chǔ)（表、過程定義或者其他什么）不會(huì)受到未經(jīng)授權(quán)的訪問。

我們?nèi)婢芙^LOAD命令，因?yàn)槿魏文K的裝載都 可能很輕易地繞過安全策略的強(qiáng)制保護(hù)。