akarititle.png

AKARI : FAQ

全般

Q1: AKARI とは何ですか？

A1: 強制アクセス制御に必要なアクセス許可を自動的かつ対話的に生成できるLinuxカーネルモジュールです。

Q2: どのようなユーザを想定していますか？

A2: サーバのセキュリティ管理に労力を割けない管理者向けです。

Q3: どれくらいのメモリを消費しますか？

A3: 固定分（カーネル内のコードとデータ）が約１００ＫＢ、変動分（アクセス許可）が数百ＫＢ程度です。

Q4: パフォーマンスの低下はどれくらいですか？

A4: 正式なパフォーマンス測定を行ったことはありませんが、ユーザが認識しない程度だと考えています。

Q5: 対応しているカーネルのバージョンは？

A5: カーネル 2.6.0 以降に対応しています。これらのカーネルは https://www.kernel.org/ からダウンロード可能です。

Q6: AKARI のライセンスは何ですか？

A6: AKARI はＧＰＬです。

Q7: 強制アクセス制御以外の用途はありますか？

A7: システムの解析や必要最低限のファイルだけを含んだカスタムのファイルシステムイメージの作成にも使えます。

ポリシー管理

Q1: ポリシーの構文は理解しやすいですか？

A1: はい。簡単に使えるように設計されています。

Q2: ドメインとは何ですか？

A2: AKARI におけるドメインとは、そのプロセスがどのように実行されたかというプログラム実行履歴です。

Q3: プロファイルとは何ですか？

A3: AKARI におけるプロファイルとは、ドメインに対する強制アクセス制御の有効・無効や制御する項目を定義したものです。

Q4: ポリシーを動的に変更できますか？

A4: はい。

Q5: ポリシーを更新したらプロセスを再起動させる必要がありますか？

A5: いいえ。ドメインを削除して再作成しない限りプロセスを再起動させる必要はありません。

Q6: ドメインを削除することにより、削除されたドメインを参照しているプロセスがクラッシュすることはありませんか？

A6: いいえ。プロセスが残っている間はドメインは残っているので大丈夫です。

Q7: 不正にポリシーを変更されないために、どのような対策を行っていますか？

A7: ポリシーを変更できるプログラムのパス名またはドメインを制限します。

Q8: ポリシーの編集はどのように行うのですか？

A8: ＣＵＩのエディタが付属しています。その他に、任意のテキストエディタを使用できます。

Q9: 学習モードとは何ですか？

A9: 通常の操作を行うのに必要になる振る舞いや資源に対するアクセス許可を自動的にポリシーに追加していくモードです。

Q10: 自動的に追加してしまっても問題ないのですか？

A10: 絶対パス名による指定と詳細なドメイン分割により、問題ありません。

Q11: 強制アクセス制御を有効にしたままで、ソフトウェアのアップデートはできますか？

A11: はい。ドメイン単位でプロファイルを切り替えることで実現できます。 /usr/bin/ccs-queryd などのツールを用いて強制モードのまま対話的にポリシーを修正していくこともできます。

Q12: SELinux の Targeted Policy みたいにデーモンプログラムだけを保護することは可能ですか？

A12: はい。ドメイン単位でプロファイルを切り替えることで実現できます。

実装

Q1: AKARI のセキュリティモデルは何ですか？

A1: DTE （ Domain and Type Enforcement ）のみです。

Q2: ユーザやロールの概念はありますか？

A2: ありません。ただし、管理者業務の一部委託は可能です。

Q3: ユーザランドアプリケーションの修正は必要ですか？

A3: 不要です。

Q4: sshd のシェルコード対策はできないんですね？

A4: できません。ただし、追加認証により不正ログイン対策が可能です。

Q5: TCSEC ではどのランクに相当しますか？

A5: 判りません。

Q6: セキュリティラベルは使用していないのですか？

A6: セキュリティラベルとして、ファイルの絶対パス名を使用しています。

Q7: パス名のワイルドカード指定はできますか？

A7: はい。

Q8: MLS （ multi-level security ）は使えないのですか？

A8: 対応していません。情報の機密度に応じて保存場所を変更してください。

Q9: LIDS （ Linux Intrustion Detection System ）のステートフル ACL に相当する機能はありますか？

A9: ありません。

Q10: セキュリティラベルの正しさは保証されますか？

A10: パス名をセキュリティラベルとして使用するので、ディレクトリエントリが壊れない限り、セキュリティラベルの正しさは保証されています。

Q11: ファイル以外の資源は保護できますか？

A11: ネットワークのポートや環境変数等に対応しています。保護可能な資源についてはAKARI / TOMOYO 機能比較表を参照してください。