Sun porta SELinux su Solaris
Nel 2004, l’NSA americana aiutò la comunità Linux a costruire qualcosa chiamato SELinux, che porta le politiche di Mandatory Access Control (MAC) nel kernel Linux.
Adesso quattro anni dopo, la Sun sta ottenendo la stessa tecnologia dall’NSA per usarla in Solaris. La comunità OpenSolaris lavorerà all’integrazione dell’architettura Flux Advanced Security Kernel (Flask) dell’NSA, che è una forma di mandatory access control, per il type enforcement. Flask è la base di SELinux.
Le funzionalità Flask saranno aggiunte alle Trusted Extensions di Sun, che forniscono funzioni di high-security labeling in osservanza dei requisiti di rispondenza alle normative.
La differenza tra il Type enforcement di Flask/SELinux e il labeling delle Trusted Extensions è una distinzione importante riguardo a come le politiche di sicurezza possono essere gestite e attuate. La tecnologia dell’NSA è fondamentale per i clienti Governativi che richiedono alti livelli di sicurezza.
“Il labeling nelle Trusted Extensions separa le applicazioni e applica un profilo di protezione multi livello, separandole all’interno dello stesso sistema operativo, ” dice Bill Vass, presidente e COO di Sun Microsystems Federal.
“Nel modello Flask si hanno diverse applicazioni eseguite a differenti livelli all’interno della stessa istanza di sistema operativo. Nel modello Trusted Extensions si hanno molte applicazioni eseguite all’interno di diverse istanze del sistema operativo eseguite sullo stesso server,” egli dichiara.
Vass ha spiegato che i vantaggi del modello Flask sono relativi al controllo molto granulare su cosa fa l’applicazione. Lo svantaggio deriva dal maggior lavoro necessario per gestire queste politiche. Dall’altro canto, il vantaggio del labeling è che non c’è nessuna politica da gestire, bisogna soltanto inserire l’applicazione in quella label ed essa farà tutto ciò che serve fare.
I controlli Flask sono stati resi disponibili a Sun sotto quella che Vass descrive come una licenza Public Domain. Sun in cambio rilicenzierà la tecnologia all’interno di OpenSolaris sotto la licenza open source CDDL (Common Development and Distribution License).
Vass ha evidenziato che inizialmente un utente potrà eseguire soltanto il controllo Flask o il labeling (Trusted Extensions tradizionali) ma non entrambi nello stesso momento. I piani futuri prevedono attività all’interno della comunità OpenSolaris con l’assistenza di NSA per rendere possibile un controllo contemporaneo con i due metodi.
I nuovi controlli basati su Flask per OpenSolaris non avranno un loro brand name da parte di Sun, come invece SELinux, ma diverranno semplicemente una diversa feature disponibile come parte delle Trusted Extensions di Sun.
Riguardo al perchè Sun sta muovendosi adesso nel tentativo di implementare una tecnologia di tipo SELinux, Vass è stato brutalmente onesto.
“Se fossi stato in carica 3 o 4 anni fa lo avremmo fatto allora, ” Vass ha ammesso. “C’era molta politica e debolezza decisionale allora.”
Vass ha evidenziato che negli ultimi anni Sun ha compiuto enormi sforzi per essere più aperta ed accettare sforzi e contributi dall’esterno. E’ questa apertura che rende un po’ più fattibile adesso l’aggiunta della tecnologia NSA di quanto lo fosse quattro anni fa.
“Adesso che siamo guidati dalla community per quanto riguarda Solaris è molto più vantaggioso per noi fare questo tipo di cose, ” ha detto Vass. “Vorrei che lo avessimo fatto allora e non riesco davvero a spiegare perchè non lo abbiamo fatto, se non per il fatto che avevamo una carenza di maturità nel nostro modello open source intorno a Solaris”.
Articolo originale su InterNetNews