<P>针对NSA（美国国家安全局）开发的Linux安全工具，很多Linux开放源代码开发人员都在做各方面的工作，努力使普通的系统管理员和应用开发人员更容易获得和使用这些工具。</P>
<P>最近，一些软件开发人员和用户聚在一起探讨了安全增强型Linux（Security Enhanced Linux，SE Linux）的发展趋势以及在企业数据中心部署时可能出现的潜在缺陷。</P>
<P>SE Linux并不是一个像SuSE或Red Hat那样的Linux发行版本，而是一系列对Linux内核的修改，限制了应用内存、处理器、操作系统配置文件和其他对服务器或PC机操作系统中关键组件的访问权。SE Linux使用强制访问控制来限制应用的访问能力，使其只能访问最小范围内的必需资源。这种概念的目的是防止黑客利用设计较差的代码中所存在的漏洞来控制或攻破服务器，当然也可以阻止黑客利用设计较好的软件中所存在的小漏洞。</P>
<P>SE Linux是NSA于2000年推出的，该局的研究科学家Stephen Smalley 指出：“当时的SE Linux只涉及了整个Linux系统中很小的一部分。而目前SE Linux策略已经扩展到了更多领域。一年前，我们的支持能力还很不成熟，而且只有单一的策略。今天，我们已经可以支持模块化策略，使第三方应用开发人员也可以为SE Linux创建策略，并把这些策略写进自己的应用程序中。”</P>
<P>为了使SE Linux 的使用变得更加容易，SE Linux Reference Policy 应运而生。这个开放源代码项目是SE Linux开发过程中的一项重大进步，它可以创建多种工具，使开发人员可以更方便地在软件中创建和应用SE Linux策略。</P>
<P>Smalley说，NAS还在进行其他一些SE Linux开发项目，目的在于将该技术推广到桌面Linux系统和运行在单个硬件平台之上的多种虚拟Linux系统上。</P>
<P>英国政府目前正在利用Linux系统和IBM WebSphere服务器对SE Linux进行测试，以确保其市政Web服务网站和面向公众应用的Web服务架构的安全。英国政府内阁办公室电子政府部技术设计师Mark Hocking 指出：“我们希望实施这些安全策略，这些策略规定了应用服务器只能够与哪些获得授权的端点进行通信。</P>
<P>英国的电子政府部门希望使用SE Linux来保护其Java 2 Enterprise Edition（J2EE）应用，而运行这些应用的WebSphere服务器几乎没有做任何修改。Hocking说，到目前为止，该部门已经成功完成了公开测试。“当然，我们并不是说使用了SE Linux后就具备了百分之百的安全保证，但从目前的情况来看，它的表现非常好。相信通过在现有产品上应用SE Linux，我们将可以获得更高的安全保障水平。”</P>
<P>目前，SE Linux已经被集成在Red Hat Enterprise Linux 4和Red Hat的Fedora Core版本4和最新的版本5中。然而，据Red Hat的开发人员称，在默认情况下，它是处于关闭状态的，因为这些策略会干扰常用的系统进程和应用，而打开SE Linux后，管理员可能会遇到很多问题，因为这些策略严重限制了应用可以调用的资源，并有可能使应用瘫痪。</P>
<P>Red Hat首席软件工程师Daniel Walsh说：“SE Linux似乎在应用中并不是很顺利。因此，我们要做的是找出SE Linux是否会产生问题以及管理员应当采取哪些行动来修正这些问题。目前，管理员只能选择启用和禁用SE Linux。”</P>
<P>Walsh指出，Red Hat正在开发一些工具，使SE Linux能够以模块的方式来实施，这样就使管理员可以更容易地反馈SE Linux策略对服务器产生的影响。这些工具将包含在即将于今年年底推出的Red Hat Enterprise Linux 新版本5中。</P>
<P>Walsh认为：“启用SE Linux后出现的最严重的问题是，所有的访问权都会突然间消失，系统管理员会变得不知所措，不知道该从哪里着手进行修复。更糟糕的是，为了让系统恢复运行，管理员很有可能采取一些不正确的措施，这样做很有可能导致系统总体安全性变得更差。”</P>
<P>尽管NAS、Red Hat和其他一些开放源代码开发人员在克服SE Linux缺陷方面遇到了很大的困难，但这种技术本身仍然不失为一种功能强大的安全工具，而它对于那些基于开放源代码软件的基础设施来说，具有极为重要的意义。</P>
<P>Walsh指出：“问题在于，软件中的废代码太多。这些没有价值的代码本身就是一个重大的安全问题。我们要做的就是锁定内存，使黑客无法访问内存并运行随机代码。”</P>
