Krasznay Endre, a Hacktivity informatikai biztonsági konferencia szervezője megkérdezte a Red Hat-et Magyarországon képviselő ULX egyik szakértőjét, Béres Lászlót, hogy hogyan lehet egy Linux-alapú informatikai megoldásnál a szükséges biztonsági szinteket megvalósítani. Az interjút itt most közzé is tesszük:
Hacktivity: A Red Hat Enterprise Linux volt az első kereskedelmi disztribúció, amelyik teljes támogatást tartalmazott az SELinuxhoz. Milyen fontosabb állomásai voltak az integrációnak?
A Red Hat mindig szorosan együtműködött az SELinux, illetve annak szabályrendszerei (policy) fejlesztését koordináló Tresys-szel. Ennek köszönhetően az SELinux kiegészítés már a Red Hat korai termékeiben nagyon jól felépített, kritikus környezetekben is jól használható biztonsági komponenssé vált. Elsőként a Red Hat által támogatott, közösségi disztribúcióban, a Fedoraban jelent meg, majd alapos tesztelés és továbbfejlesztés után a Red Hat Enterprise Linux 4 lett az első vállalati disztribúció, amelyben az SELinux teljesen támogatott elemként szerepelt.
Természetesen mind a Red Hat, mind a nyílt forrású fejlesztő közösség szeretett volna még többet kihozni az SELinux lehetőségeiből, ezért a munka nem állt meg. A későbbi Fedora Core rendszerekben és a Red Hat Enterprise Linux 5-ben is rengeteg új szabály és menedzsment eszköz vált elérhetővé, utóbbiban forradalmi újdonság lett a strict policy, amely teljes védelmet jelent a rendszerüzemeltetők számára. Nem véletlen tehát, hogy az SELinux egy ideje már nem kiegészítése, hanem szerves része a mainstream kernelnek. A virtualizációs technológiák iránti robbanásszerű igény a Red Hat-hez is elért. A RHEL 5 teljes Xen virtualizációt kínál a felhasználóknak, az SELinux pedig ebben is segítséget nyújt: az egyes virtuális környezeteket teljesen elkülöníthetjük egymástól, így egy jól felépített rendszerben az adatszivárgás vagy illetéktelen hozzáférés elképzelhetetlen.
Hacktivity: Melyek a legfontosabb elemei a SELinuxnak?
Az SELinux egy több faktorból álló, komplex rendszer, amely többféle biztonsági mechanizmust (type enforcement, role based access control, multi level security) használ működése során. Az SELinux magja egy kernelkomponens, amely a hozzá tartozó szabályrendszer alapján döntéseket hoz az egyes rendszerfolyamatok és erőforrások között. A klasszikus Unix rendszerek hozzáférés-szabályozása sajnos nem teszi lehetővé, hogy ezeket olyan finoman szabályozzuk, ahogy azt egyes speciális rendszerüzemeltetési körülmények igényelnék, egy ilyen policy-ben azonban akár minden egyes folyamat minden lépéséhez készíthetünk szabályokat. A szabályok létrehozását, menedzselését, valamint a működés során keletkező üzenetek feldolgozását különféle alkalmazásokkal igen egyszerűen elvégezhetjük, ezekből számos áll rendelkezésre a Red Hat Enterprise Linux különféle változataiban.
Hacktivity: Kritikák is érték a SELinuxot: például hogy nehezen menedzselhető. Hogyan lehet ezen a téren továbblépni? Milyen újdonságokra lehet még számítani?
Tény, hogy maguk a policy állományok első pillantásra ijesztően bonyolultak, dehát ez végül is nem rossz, legalább elvesszük a kedvét a támadónak 🙂 A viccet félretéve: az SELinux menedzseléséhez rengeteg alkalmazást találhatunk, amelyek nem csak a szabályok szerkesztését, hanem a naplóállományokban keletkezett bejegyzések interpretálását is segítik. Sőt, egyik komoly újdonság az audit2allow nevű script, amelyik képes a logok alapján policy-k generálására, megkönnyítve ezzel a rendszeradminisztrátor és a security manager dolgát. Az SELinux legújabb változataiban már moduláris policy-t találunk, ez lehetővé teszi, hogy a szabályokat akár menet közben, dinamikusan cserélhessük, módosítsuk. Ez korábban nem volt lehetséges, emiatt valóban nehézkesnek tűnt a szabályok implementálása.
Hacktivity: A Fedora Core 2 megjelenésekor nagy felháborodási hullám indult amiatt, hogy az FC2 csak egyféle policyt tartalmazott. Ebben a szabályrendszerben minden tiltva volt, amire nem készült külön szabály, így azon felhasználók, akik mindenféle, nem certifikált alkalmazásokat szerettek volna futtatni, megdöbbenve tapasztalták, hogy bekapcsolt SELinux módban ez lehetetlen. Ezen aztán gyorsan változtattak is…
Valóban, a felhasználók megdöbbentek, amikor kedvenc alkalmazásaik egyszerűen nem működtek bekapcsolt SELinux mellett. Ekkor még egy korai strict (teljes zárlat) policy létezett, emiatt sokan bírálták a fejlesztőket. Nyilván ez az állapot nem volt sokáig tartható, ezért a Red Hat és Fedora fejlesztők megvalósították a „jöttem is, meg nem is, hoztam is ajándékot, meg nem is” elvet. Készült egy olyan policy („targeted” névvel), amely csak bizonyos rendszerszolgáltatások működését biztosítja (tipikusan olyan hálózati szolgáltatások, amelyek jelentős támadásnak vannak kitéve, pl. Apache, Bind), a szabályok azonban lehetővé teszik, hogy a védelemmel nem rendelkező alkalmazások mindenhez szabadon hozzáférjenek. Érdemes azonban végiggondolni, hogy ezekért a helyzetekért csak az SELinux a felelős? Nem lehetséges, hogy az egyes programok olyan erőforrásokhoz próbálnak meg hozzáférni, amelyekre valójában semmi szükségük sem lenne?
Az SELinux kapcsán mindig felmerül a security manager fogalma. Komoly biztonságú rendszerekben a biztonsági házirend létrehozása, megvalósítása és betartatása a rendszergazdától független dolog. Ezt a szerepet a security manager látja el. Ő az, aki képes a policy megtekintésére, módosítására, egyedi jogosultságok létrehozására akár anélkül is, hogy tényleges rendszeradminisztrátori eszközökkel rendelkezne. Ez talán sokak szemében furcsának tűnhet, de szakítanunk kell azzal a ténnyel, hogy a rootnak mindent szabad.
Hacktivity: Az RHEL 5-ben már egy valamirevaló biztonsági minősítés, a CC (Common Criteria) EAL4+ elérése volt a cél. Az IBM termékeivel párban már túl is vannak ezen az akadályon. Ez a munka megmarad a két vállalat együttműködési keretein belül, vagy kinyílik a paletta más hardvergyártók felé is? Hogyan tovább?Hacktivity: Az RHEL 5-ben már egy valamirevaló biztonsági minősítés, a CC (Common Criteria) EAL4+ elérése volt a cél. Az IBM termékeivel párban már túl is vannak ezen az akadályon. Ez a munka megmarad a két vállalat együttműködési keretein belül, vagy kinyílik a paletta más hardvergyártók felé is? Hogyan tovább?
A Red Hat és az IBM régi szövetségesek, ezért is volt gördülékeny az a munka, amelynek nemrégiben beérett a gyümölcse. Az EAL4+ minősítés megszerzése valóban nagy elégedettséggel töltött el bennünket, de ahogy a mondás is tartja, a biztonság nem állapot, hanem egy folyamat. Hiába ajánlunk az ügyfelek számára komplett szoftver- és hardvermegoldásokat, a rajtuk futó alkalmazások jelentik továbbra is a leggyengébb pontot a rendszerben.
A Red Hat ezért a support mellett az oktatást is fontosnak tartja. Már Magyarországon is elérhetőek azok a tanfolyamok, ahol a Red Hat Enterprise Linux rendszerek üzemeltetése mellett azok biztonságossá tételével is foglalkozunk, sőt, speciális SELinux workshop keretén belül valódi rendszereken tanulhátják meg az érdeklődők a szabályok írását, módosítását, implementálását – tehát a rendszerük teljes védelméhez vezető lépéseket.
A Red Hat Runtimes for Spring Boot a Red Hat egyik termékcsomagja, ami Spring Boot keretrendszer-támogatást nyújt fejlesztők számára. A Spring Boot egy népszerű keretrendszer a Java alkalmazások fejlesztéséhez, amelyet a könnyűsúlyú és gyors prototípuskészítés, valamint az alkalmazások egyszerű konfigurációja jellemzi. A Red Hat Runtimes for Spring Boot segítségével a fejlesztők hatékony eszközöket és környezetet kapnak a Spring Boot alapú alkalmazásaik futtatásához és menedzseléséhez.
A Red Hat Runtimes for Spring Boot az alábbi előnyöket kínálja:
A Red Hat JBoss Enterprise Application Platform (JBoss EAP) egy nyílt forráskódú alkalmazásfejlesztési és alkalmazásüzemeltetési platform. Az EAP egy teljeskörű Java Platform, Enterprise Edition (Java EE) kompatibilis alkalmazás-szerver, amely kifejezetten vállalati környezetekben történő használatra lett tervezve. A platformot a Red Hat fejleszti és támogatja, és az egyik meghatározó megoldás a vállalati környezetekben történő Java alkalmazásfejlesztés és futtatás terén.
A JBoss EAP alapvető jellemzői:
Java EE Kompatibilitás: A JBoss EAP teljes körűen támogatja a Java Platform, Enterprise Edition (Java EE) specifikációt. Ez magában foglalja a Servletek, JSP-k, EJB-k (Enterprise Java Beans), JMS-t (Java Message Service), JPA-t (Java Persistence API) és számos más Java EE technológiát.
Moduláris Architektúra: Az EAP moduláris architektúrával rendelkezik, amely lehetővé teszi, hogy csak azokat a komponenseket használd, amelyekre szükséged van, ezáltal csökkentve az erőforrásigényt és javítva a teljesítményt.
Adminisztrációs eszközök: Az EAP kiterjedt adminisztrációs eszközöket és vezérlőfelületeket nyújt az alkalmazások konfigurálásához, kezeléséhez és felügyeletéhez.
Üzleti támogatás: A JBoss EAP hosszú távú támogatást nyújt vállalati ügyfelek számára, biztosítva a biztonsági frissítéseket és a hibajavításokat.
Klaszterezés: Az EAP támogatja a klaszterezést, ami lehetővé teszi az alkalmazások horizontális skálázását és a nagyobb rendelkezésre állást.
Könnyű integráció: Az EAP könnyen integrálható más Red Hat termékekkel és megoldásokkal, például a Red Hat JBoss Data Grid-del és a Red Hat JBoss Fuse szolgáltatás-buszrendszerrel.
Az EAP-t különféle alkalmazások fejlesztésére és futtatására használják, ideértve a webalkalmazásokat, az üzleti alkalmazásokat és a mikroszolgáltatásokat. A Red Hat JBoss EAP által nyújtott megbízhatóság és teljesítmény miatt sok vállalat választja ezt a platformot vállalati szintű Java alapú alkalmazásokhoz.
A Red Hat JBoss Web Server egy nyílt forráskódú webkiszolgáló szoftver, ami a Red Hat middleware portfóliójának a része. A JBoss Web Server az Apache Tomcat és az Apache HTTP Server komponensekre épül, és lehetővé teszi pehelysúlyú, hatékony és biztonságos webalkalmazások futtatását.
A Red Hat JBoss Web Server főbb jellemzői:
Apache Tomcat: A Red Hat JBoss Web Server meghatározó eleme az Apache Tomcat szoftverkomponens, ami egy nyílt forráskódú Java Servlet és JavaServer Pages (JSP) konténer. A Tomcat lehetővé teszi Java-alapú webalkalmazások futtatását és kezelését.
Apache HTTP Server: Az Apache HTTP Server a világ egyik legelterjedtebb webkiszolgáló szoftvere, az internet jelentős részén használják. A Red Hat JBoss Web Server az Apache HTTP Serverre épül, ahhoz kiegészítő funkciókat és teljesítményjavításokat biztosít.
Java Web Container: A Red Hat JBoss Web Server olyan webes konténerként működik, amely támogatja a Java Servlet API-t és a JavaServer Pages (JSP) technológiát. Ez lehetővé teszi a Java alapú webalkalmazások könnyű futtatását és kezelését.
Egyszerű telepítés és konfiguráció: A Red Hat JBoss Web Server egyszerű telepítést és konfigurációt biztosít, segítségével gyorsan készíthetünk olyan webkiszolgálót, amely képes webalkalmazások futtatására.
Biztonság: A Red Hat JBoss Web Server számos már alapértelmezetten is olyan előre definiált biztonsági beállításokkal rendelkezik, amelyek védelmet biztosítanak a legelterjedtebb webbiztonsági fenyegetésekkel szemben.
A Red Hat JBoss Web Servert gyakran használják olyan környezetekben, ahol egyszerűen szeretnének Java alapú webalkalmazásokat futtatni és ahol fontos a megbízhatóság és a biztonság. Az Apache Tomcat és az Apache HTTP Server együttes használata révén a JBoss Web Server a vállalati igényeket is maximálisan kielégíti mind teljesítmény, mind funkcionalitás szempontjából.
A Red Hat Data Grid egy elosztott, in-memory (memóriában működő) gyorsítótár és NoSQL adatbáziskezelő megoldás a Red Hattől. A Red Hat Data Grid biztosítja, hogy az alkalmazások a jellemzően nagyságrendekkel gyorsabb memóriában tárolják és kezeljék a gyakran használt adatokat, jelentősen növelve azok teljesítményét és skálázhatóságát.
A Red Hat Data Grid főbb jellemzői:
In-memory adattárolás: A Red Hat Data Grid az alkalmazások számára biztosít memóriában működő adattárolást, ami gyors és alacsony válaszidőt eredményez.
Elosztott architektúra: A Red Hat Data Grid elosztott architektúrával rendelkezik, ami lehetővé teszi az adatok elosztott tárolását és kezelését több szerveren átívelően. Ez növeli a rendelkezésre állást és skálázhatóságot.
Cache funkciók: A Red Hat Data Grid támogatja a gyorsítótás (cache) funkciókat, így az alkalmazások a gyakran használt adatokat memóriában tárolhatják, csökkentve a késleltetést és az adatbázis terhelését.
Tranzakciós támogatás: A Red Hat Data Grid támogatja a tranzakciókat, így biztosítva az adatok konzisztens és atomi módosítását.
Keretrendszerfüggetlen: A Red Hat Data Grid olyan platformfüggetlen megoldás, amely támogatja például a Java, .a NET, Node.js és más programozási keretrendszereket, nyelveket.
Integráció a Red Hat termékekkel: A Data Grid jól integrálható más Red Hat termékekkel, például a JBoss Enterprise Application Platform (JBoss EAP) és a Red Hat JBoss Middleware szoftverekkel.
A Red Hat Data Grid-t gyakran olyan alkalmazások fejlesztéséhez és futtatásához használják, ahol fontos a magas teljesítmény és skálázhatóság. Ilyenek például webalkalmazások, mikroszolgáltatások, adatelemzési alkalmazások és real-time alkalmazások.
A Red Hat AMQ a Red Hat által kínált üzenetküldő szoftvermegoldás, illetve megoldások, hiszen két meghatározó technológiára, az Apache ActiveMQ-ra és az Apache Kafkára épül.
A Red Hat AMQ egy rugalmas és megbízható messaging platform, célja az üzenetek hatékony és biztonságos továbbítása alkalmazások között, függetlenül attól, hogy azok melyik platformon futnak vagy milyen programozási nyelvet használnak.
A Red Hat AMQ főbb jellemzői és szolgáltatásai:
Üzenetküldés és -fogadás: Az AMQ lehetővé teszi az alkalmazások számára, hogy üzeneteket küldjenek és fogadjanak egymás között. Az üzenetek lehetnek egyszerű szöveges üzenetek, bináris adatok vagy akár strukturált formátumok is.
Queue-k és topicok: Az AMQ támogatja mind a queue-k, mind a topicok használatát. A queue-k esetén az üzeneteket több címzett között osztják meg, míg a topicok lehetővé teszik, hogy az üzeneteket több feliratkozó (subscriber) kapja meg.
Késeknek támogatása: Az AMQ támogatja a Java Message Service (JMS) és az Advanced Message Queuing Protocol (AMQP) szabványokat, amelyek együttműködést (kommunikációt) tesznek lehetővé különböző rendszerek között, függetlenül azok implementációs részleteitől és az azok létrehozására használt nyelvektől, keretrendszerektől.
Elosztott architektúra: Az AMQ elosztott architektúrával rendelkezik, így több üzenetkiszolgáló (broker) között oszthatja meg az üzeneteket, ami javítja a rendelkezésre állást és skálázhatóságot.
Állapotmentes (stateless) működés: Az AMQ szerverek állapotfüggetlenek, ami lehetővé teszi a könnyű bővítést és a megbízható működést.
Üzenetszűrők és transzformációk: Az AMQ lehetővé teszi az üzenetek szűrését és átalakítását, amely rugalmasságot és könnyű integrációt biztosít más rendszerekkel.
Klienskönyvtárak: Az AMQ-hez számos klienskönyvtár áll rendelkezésre különböző programozási nyelvekhez, mint például Java, Python, .NET, stb.
Az AMQ-t gyakran használják olyan alkalmazások és rendszerek fejlesztéséhez, ahol fontos a megbízható és skálázható üzenetküldés, például a mikroszolgáltatások közötti kommunikáció, az integrált alkalmazások közötti adatcsere, és a hálózaton átívelő kommunikációhoz. Az AMQ lehetővé teszi a fejlesztők és az üzemeltetők számára, hogy könnyedén kezeljék az üzeneteket és biztosítsák az alkalmazások hatékony és megbízható kommunikációját.
A Red Hat Single Sign-On (SSO) egy nyílt forráskódú, szabványos és biztonságos azonosítási és hitelesítési megoldás, amely lehetővé teszi, hogy a felhasználók egyetlen bejelentkezési folyamatot (Single Sign-On) használva férjenek hozzá több különböző alkalmazáshoz és szolgáltatáshoz.
Az SSO olyan technológia, amely biztosítja, hogy a felhasználónak csak egyszer kelljen bejelentkeznie egy rendszerbe, és ezt követően az azonosítása automatikusan továbbítódik más alkalmazásokhoz anélkül, hogy újra meg kellene adni a bejelentkezési adatokat. Ez nem csak a felhasználók számára kényelmesebbé teszi az alkalmazások használatát, hanem csökkenti az (adminisztratív) overheadet és növeli az informatikai biztonságot.
A Red Hat SSO a következő fő jellemzőkkel rendelkezik:
Azonosítási és hitelesítési szabványok támogatása: Az SSO támogatja a modern azonosítási és hitelesítési protokollokat, például SAML (Security Assertion Markup Language), OAuth és OpenID Connect, amelyek lehetővé teszik a biztonságos és szabványos bejelentkezési folyamatokat.
Központosított felhasználó- és hozzáféréskezelés: Az SSO lehetővé teszi a felhasználók központi kezelését és az egységes hozzáférési jogosultságokat több alkalmazáshoz.
Klienskönyvtárak és API-k: A Red Hat SSO klienskönyvtárakkal és API-kkal rendelkezik, amelyek egyszerűvé teszik az SSO integrációját a meglévő alkalmazásokkal és szolgáltatásokkal.
Többfaktoros azonosítás (MFA): Az SSO támogatja a többfaktoros azonosítást, ami tovább növeli az alkalmazások biztonságát.
Skálázhatóság és megbízhatóság: A Red Hat SSO architektúrája lehetővé teszi a nagy terhelések kezelését és a megbízható működést.
A Red Hat SSO-t gyakran vállalati környezetekben alkalmazzák, ahol fontos az egyszerű és biztonságos azonosítás és hozzáféréskezelés a számos alkalmazáshoz és szolgáltatáshoz. Az SSO segít az informatikai csapatoknak egyszerűsíteni az üzemeltetést és növelni az adatbiztonságot, miközben a felhasználók kényelmét is javítja.