RSBACC について

ルールセットベースのアクセス制御( RSBAC ) は、現在のLinux カーネル用のオープン ソースアクセス制御フレームワークであり、2000 年 1 月 (バージョン 1.0.9a) から安定して実稼働で使用されています。

• 無料のオープンソースGNU一般公衆利用許諾書（GPL）Linuxカーネルセキュリティ拡張
• 政府や大企業から独立
• いくつかのよく知られたセキュリティ モデルと新しいセキュリティ モデル (例: 強制アクセス制御 ( MAC )、アクセス制御リスト ( ACL )、ロール互換性 ( RC ))
• Dazuko インターフェースによるオンアクセスウイルススキャン
• 個々のユーザーとプログラムのネットワークアクセスを詳細に制御
• 完全にアクセス制御されたカーネルレベルのユーザー管理
• あらゆるセキュリティモデルの組み合わせが可能
• 簡単に拡張可能: ランタイム登録用の独自のモデルを作成します
• 最新カーネルのサポート
• 生産現場での使用に安定
• 他のオペレーティングシステムに簡単に移植可能

RSBAC システム アーキテクチャは、Marshall Abrams と Leonard La Padula による Generalized Framework for Access Control (GFAC) から派生および拡張されました。

RSBAC は「ルールセット ベースのアクセス制御」を意味し、ロール ベースのアクセス制御 ( RBAC ) ソリューションでもあります。この 2 つの頭字語は混乱を招く可能性があります。

Leonard LaPadulaは、エッセイ「信頼できるコンピュータ システムのルール セット モデリング」で、Generalized Framework for Access Control (GFAC) アプローチをUNIX System Vオペレーティング システムに実装する方法について説明しています。彼は、アクセス強制機能 (AEF)、アクセス制御ルール (ACR) を備えたアクセス決定機能 (ADF)、およびアクセス制御情報 (ACI) を明確に区別することを提唱しました。

AEF はシステム コール関数の一部として ADF を呼び出し、ADF は ACI とルールを使用して決定と新しい ACI 属性値のセットを返します。その後、決定は AEF によって強制され、新しい属性値も設定され、アクセスが許可された場合はサブジェクトへのオブジェクト アクセスが提供されます。

この構造では、セキュリティに関連するすべてのシステム コールを AEF インターセプションによって拡張する必要があり、AEF と ADF の間に明確に定義されたインターフェイスが必要です。より優れたモデリングのために、すべてのシステム コール機能を表現する一連の要求タイプが使用されました。GFAC の一般的な構造は、ISO 標準 10181-3 オープン システムのセキュリティ フレームワーク: アクセス制御フレームワークおよびThe Open Group標準 Authorization (AZN) API にも組み込まれています。

最初の RSBAC プロトタイプは、La Padula の提案に従い、そこで簡単に説明されているいくつかのアクセス制御ポリシー、つまり、強制アクセス制御 ( MAC )、機能制御 ( FC ) ^{[明確化が必要]}、セキュリティ情報変更 ( SIM )、およびSimone Fischer-Hübnerによるプライバシー モデルを実装しました。

それ以来、システムの多くの側面が大きく変化しました。たとえば、現在のフレームワークでは、より多くのオブジェクト タイプがサポートされ、汎用リスト管理とネットワーク アクセス制御が含まれ、いくつかの追加のセキュリティ モデルが含まれており、決定モジュールのランタイム登録とそれらの管理のためのシステム コールがサポートされています。

RSBAC は Security-Enhanced Linux ( SELinux ) と非常に近いもので、 AppArmorなどの他のアクセス制御^{[引用が必要]}よりも多くの設計を共有しています。

ただし、RSBAC は Linux セキュリティ モジュール ( LSM ) に頼るのではなく、独自のフック コードを導入します。このため、RSBAC は技術的には LSM 自体の代替となり、SELinux に似たモジュールを実装しますが、追加機能も備えています。^{[引用が必要]}

RSBAC フレームワークは完全なオブジェクト ステータスを組み込んでおり、決定を下す際にカーネルの状態を完全に把握しているため、柔軟性と信頼性が向上します。^{[引用が必要]}ただし、これにはフレームワーク自体のオーバーヘッドがわずかに高くなるという代償が伴います。SELinux および RSBAC 対応システムはパフォーマンスに同様の影響を及ぼしますが、LSM のみの影響は RSBAC フレームワークのみの場合に比べてごくわずかです。^{[引用が必要]}

このため、^{[引用が必要]} LSM は Linux カーネルのデフォルトかつ独自のセキュリティ フック メカニズムとして選択され、RSBAC は個別のパッチとしてのみ提供されます。

RSBAC は、Linux の最初のロールベース アクセス制御 ( RBAC ) および強制アクセス制御 ( MAC ) パッチでした。^{[引用が必要]}

• RSBAC ホームページ
• Leonard LaPadula の GFAC に関するエッセイ^[盗用] 2006-10-11 にWayback Machineでアーカイブ
• Gentoo Wiki アクセス制御比較表