18.1.概述

FreeBSD 支持基于 POSIX.1e® 草案的安全扩展。这些安全机制包括文件系统访问控制列表（“访问控制列表”）和强制访问控制（MAC）。MAC 允许加载访问控制模块以实现安全策略。某些模块为系统的一小部分提供保护，从而加固特定服务。其他的则为所有主体和客体提供全面的标记安全性。定义的强制部分操作控制措施由管理员和操作系统执行。这与自主访问控制（DAC）的默认安全机制形成鲜明对比——在该机制中，强制措施由用户自行决定。

本章重点介绍 MAC 框架和 FreeBSD 提供的用于启用各种安全机制的一组可插拔的安全策略模块。

读完本章，你将知道：

  • 与 MAC 框架相关的术语。

  • MAC 安全策略模块的功能以及标记策略和非标记策略之间的区别。

  • 在配置系统使用 MAC 框架之前要考虑的事项。

  • 哪些 MAC 安全策略模块包含在 FreeBSD 中以及如何配置它们。

  • 如何使用 MAC 框架实现更安全的环境。

  • 如何测试 MAC 配置以确保框架已正确实施。

在阅读本章之前，你应该：

警告

错误的 MAC 配置可能会导致系统无法访问、引起用户的烦恼或无法使用 Xorg 提供的功能。更重要的是，不应完全依赖 MAC 来确保系统安全。MAC 框架仅增强现有的安全策略。若无健全的安全措施和定期的安全审核，系统将永远不会彻底安全。

本章中包含的示例仅用于演示目的，不应 在生产系统上应用示例设置。实施任何安全策略都需要大量的思考、适当的设计和完全的测试。

虽然本章涵盖了与 MAC 框架相关的诸多安全问题，但新的 MAC 安全策略模块的开发成果则不会涉及。MAC 框架中包含的许多安全策略模块具有特定属性，这些属性用于测试和新模块开发。有关这些安全策略模块及其提供的众多机制的详细信息，请参阅 mac_test(4)、mac_stub(4) 和 mac_none(4)。