［セキュアOS LIDS入門］第3回 動作状態に応じてアクセス制御の厳密さを調節

　システムが起動した後，カーネルが封印（後述）されるまでの状態。このステートのACLを比較的緩く設定しておくことにより，デバイス・ドライバの組み込みやシステムで提供するサービスの起動が簡単に行える。

　システムが稼働中の状態である。POSTBOOTステートで，デフォルトのケーパビリティ（ケーパビリティ・バウンディング・セット）が有効になる。そのため，POSTBOOTステートで起動するプロセスに関しては，動作に必要なケーパビリティをきちんと設定しておく必要がある。

　システムをシャットダウンするときの状態。SHUTDOWNステートに移行してはじめて，システムを安全に停止できる。ACLの設定を緩く設定しておくことにより，設定の保存やプロセスの停止，ディスクのアンマウント（umount）といったシステム停止時の処理が正しく行えるわけだ。

　先に述べたように，ステートフルACLの機能はLIDS 2系列から取り込まれたものだ。LIDS 1系列ではこの機能はなく，すべての状態で1つのACLだけしか設定できなかった。そのため，システムの稼働状態（LIDS 2系列でのPOSTBOOT状態）に合わせてACLを厳しく設定すると，システムの起動時にプロセスを立ち上げられなかったり，終了時にプロセスを正常に停止できなかったりした。ステートフルACLにより，この問題を解消できる。

カーネルを封印してrootkitの侵入を防ぐ

　「LIDSを組み込んだLinuxでは，（カーネル保護機能により）カーネル・モジュールの組み込みを不可能にできる」と連載第1回に説明した。この機能は，POSTBOOTステートで使われる。ここで詳しく説明しておく。

　LIDSでは，特定のコマンドを実行することにより，カーネルに対するモジュールの組み込みと取り外しを禁止できる。禁止することを，「封をしてカギを掛ける」ことになぞらえて，カーネルの“封印（sealing）”と呼ぶ。封印以後は，モジュールの組み込みができないため，カーネル・モジュールを装ったrootkitの侵入などが防げるわけだ。

　カーネルの封印は，システム起動時（BOOTステート）の処理の一番最後に行う。システムの起動時には，カーネルがさまざまなドライバやモジュールを読み込む必要がある。こうした処理が終了してから，システム管理者がログインして手動でカーネルを封印するか，/etc/rcX.dディレクトリにスクリプトを作成して自動的にカーネルを封印する。

再起動しないとACLの設定は変更できない

写真1●GRUBのブート画面

写真2●GRUBの起動画面でeキーを押して表示される画面

写真3●さらにeキーを押して表示された画面 「root=LABEL=/　」に続けて「lids=0」と入力する。するとLIDSを無効にしてシステムを起動できる

　それでは，どのようにしてACLを設定するのかというと，いったんシステムを再起動させてLIDSを無効にしてから行うのである。LIDSを無効にするには，システムの起動時に“lids=0”というオプションを指定する。

　例えば，ブート・ローダーにLILOを使用している場合には，

LILO: linux lids=0

と入力することにより，LIDSを無効にした状態でシステムを起動できる。

　GNU GRUBを使用している場合には，GRUBの起動画面（写真1[拡大表示]）でeキーを押してオプションの画面（写真2[拡大表示]）を表示し，さらにeキーを押して表示された画面（写真3[拡大表示]）にて「lids=0」を入力することで，LIDSを無効にしてシステムを起動できる。

「LIDS Free Session」を使えば再起動なしでACLを調整できる

　しかしながら，ACLを変更するごとにシステムを再起動しなければならないのは大変不便である。そのため，再起動なしでACLを設定できる「LIDS Free Session（以下，LFS）」が用意されている。ACLを微調整するときなどには便利な機能だが，その分慎重に利用しよう。

　LFSは，LIDSによるアクセス制御を全く受けないターミナル・セッション（コンソール）のことである。システム管理者はLFSを使えば，いつでもACLを設定できる。

　LFSを使用するためには，LIDSを組み込んだカーネルの設定項目のなかにある「LIDS Free Session」を選択してカーネルをコンパイルしておく必要がある（デフォルトでは選択されている）。この際には，後述するように，リモート・アクセスではLFSを使えないように設定しておいた方が良い。

　LFSの利用例は次の通りだ。例えば，あるプログラムが（LIDSを組み込んだシステムで）起動するようにACLを設定する手順を示す。

（1）LFSを開く
（2）LFSでACLを更新する
（3）LFSを閉じる
（4）システムでプログラムを起動し，動作を確認する
（5）プログラムがきちんと動かない場合には（1）に戻る

　LFSを開くときには，LFS専用のパスワードの入力が必要である。このパスワードは，LIDSをインストールときに設定する。ただし，パスワードを忘れてしまったときには，再設定できる。

　LFSは便利なものの，root権限の取得者にパスワードが漏れると，システムのACLを変更されてしまう危険がある。そのため，システムを調整しているときのみにLFSを有効にしたカーネルを使用し，安定稼動後にはLFSを無効にしたカーネルを用いた方がよい。LFSを無効にするときにもカーネルの再コンパイルが必要である。そのため，LFSを有効にしたカーネルと無効にしたカーネルの両方を作成しておき，使い分けることを推奨する。

　次回（6月22日）は，Fedora Core 2にLIDSをインストールする方法を紹介する予定である。