Hardened Gentoo のインストール

このページはHardened Gentoo をインストールしたときのメモです。
Hardened Gentoo とは、seLinux 等を採用した、セキュリティを重視したGentoo Linux です。
seLinuxはカーネルに組み込むセキュリティモジュールで、アクセス制御機能が強化されています。
ただ、seLinuxはファイアーウォールのように、進入を防ぐと言う事に主眼を置いているのではなく、 侵入された後に被害の拡大を防ぐことに着目しています。
そのため、従来からのセキュリティ対策も、引き続き必要です。

なお、今回インストールするマシンには、マスター(hda)には Windows が既にインストール済みであるため、 スレーブ(hdb)に Hardened Gentoo をインストールし、デュアルブートを行うこととします。

マシンスペック

今回インストールを行うマシンのスペックは次の通りです。

マシン	自作PC
OS	Windows XP HomeEdition SP2
CPU	AMD Athlon XP 2500+
メモリー	256MB
ビデオカード	RADEON9200 メモリー:128MB
HD	マスター:Maxtor 80G スレーブ:Maxtor 30G

LiveCDの入手

Hardened Gentoo をインストールするために、Hardened Gentoo 用の LiveCDを入手する必要が あります。 ISOイメージは、ダウンロードミラーから取得できます。
experimental/x86/hardened/livecd ディレクトリ内から ISOファイルを入手してください。
今回、ダウンロードしたファイルは、vecd-x86-selinux-20040616-1.iso でした。 このISOイメージをCDに焼いてLiveCDを作成し、CDからマシンを起動します。

LiveCDによる起動

LiveCDにてマシンを起動すると、「Your default context is root:sysadm_r:sysadm_t.Do you want to choose different one?」 と問われます。ここは　[n]を入力してください。(何も入力せずにEnterボタンを押せば、[n]を選択した事になります。)

Rootパスワードの設定を行います

設定するパスワードを2度入力するように求められます。
同じパスワードを2度入力してください。

ハードディスクがDMA対応であれば、DMAを有効にします。

ネットワーク環境の準備

IPアドレスの設定を行います。例ではIPアドレスを 192.168.1.1 に設定しています。

ゲートウェイの設定を行います。
例ではゲートウェイとして、192.168.1.2を指定しています。
DNSを設定するために、/etc/resolv.confを以下のように編集します。
例ではDNSサーバーとして、192.168.1.3を指定しています。

ファイルシステムの準備

fdiskを用いてパーティションの作成を行います。
パーティションの作成については、ハードディスクの容量や用途等で千差万別と思います。
今回の場合は以下の様にパーティションを作成しました。

   Device Boot      Start         End      Blocks   Id  System
/dev/hdb1               1          13      104391   83  Linux
/dev/hdb2              14          30      136552+  83  Linux
/dev/hdb3              31        2000    15824025   83  Linux
/dev/hdb4            3736        3736    13944420   83  Linux

/dev/hdb1・・・Bootパーティション
/dev/hdb2・・・Swapパーティション
/dev/hdb3・・・/ パーティション
/dev/hdb4・・・home パーティション

ファイルシステムとしてはext3を採用しました。ext3パーティションを作成します。

スワップパーティションを作成します。
スワップを有効にします。
各パーティションをマウントするためのディレクトリを作成し、マウントします。

インストール

/mnt/gentoo に移動します。
ステージ圧縮ファイルのダウンロードを行います。
linksを用いて、ステージ圧縮ファイルをダウンロードします。
ダウンロードミラー にアクセスし、experimental/x86/hardened/stages ディレクトリから stage1-x86-selinux-pie-ssp-20041123.tar.bz2 をダウンロードします。
保存した圧縮ファイルを展開します。
コンパイルオプション変更のため、/etc/make.confの編集をします。

/etc/make.confは以下のようになりました。
chroot環境の準備のために、マウントとDNSの設定を行います。
chroot環境に入ります。
最新のPortage ツリーを取得を取得します。
ブートストラップを実行します。
ブートストラップを実行完了後,残りのシステムをインストールします。 まずはインストールされるパッケージを確認後にインストールを実行します。

カーネルの設定

カーネルは2.6対応のhardened-dev-sourcesを選択しました。
カーネルの構築を行います。
以下のオプションを確認します。

Code maturity level options --->
[*] Prompt for development and/or incomplete code/drivers

General setup --->
[*] Auditing support

File systems --->
<*> Ext3 journalling file system support (If using ext3)
[*]   Ext3 extended attributes
[ ]     Ext3 POSIX Access Control Lists
[*]     Ext3 security labels    

    Pseudo Filesystems --->
    [*] /proc file system support
    [ ] /dev file system support (EXPERIMENTAL)
    [*]   /dev/pts Extended Attributes
    [*]     /dev/pts Security Labels    
    [*] Virtual memory file system support (former shm fs)

Security options --->
[*] Enable different security models
[*] Socket and Networking Security Hooks
<*> Capabilities Support
[*] NSA SELinux Support
[ ]   NSA SELinux boot parameter
[ ]   NSA SELinux runtime disable
[*]   NSA SELinux Development Support
[ ]   NSA SELinux MLS policy (EXPERIMENTAL)

カーネルをコンパイルします。
ブートイメージをコピーします。

システムの設定

私は viエディターが好きなので、viエディターをインストールします。
タイムゾーン設定を行います。
/etc/fstab を編集し、マウントするパーティションを設定します。
編集後の/etc/fstab は以下の様になりました。

/dev/hdb1       /boot       ext3        noauto,noatime      1 1
/dev/hdb3       /           ext3        noatime             0 1
/dev/hdb4       /home       ext3        noatime             0 2
/dev/hdb2       none        swap        sw                  0 0

none            /proc       proc        defaults            0 0
none            /selinux    selinuxfs   defaults            0 0
none            /dev/pts    devpts      gid=5,mode=620      0 0

syslogとcronをインストールし、デフォルトランレベルに設定します。
ネットワークの設定をします。起動時にネットワークデバイスも起動するようにします。
ネットワーク起動時のIPアドレス、Gatewayを設定するために
起動オプションを編集します。編集するファイルは /etc/conf.d/net です。
普段作業するためのユーザーを作成し,パスワードを設定します。 またユーザーが su できるようにwheelグループへ所属させています。 -m ホームディレクトリが存在しない場合作成される。
-G ユーザーが所属するグループのリスト
-s ログインシェルの名前

ホスト名を hoge に、ドメイン名を gside.org に設定します。

キーマップと時間の設定のために　/etc/rc.conf を修正します

GRUBの設定

BOOTローダーGRUBはデフォルトでインストールされています。GRUBの設定を行います。
ここでは、GRUBをMBR(マスターブートレコード)にインストールし、Windows とデュアルブート を行うように設定します。
grub>とプロンプトが現れるので、以下のコマンドでインストールします。
/boot/grub/grub.confを編集します。今回のマシンでは以下の様になりました。

私の環境ではここでエラーが発生しました。カーネルとポリシーのバージョンが違うと言う 内容でした。2005/3/16現在のポリシーの最新バージョンは18ですが，LiveCDのkernelがサポートする バージョンは16になっています。
そこで、ロードするポリシーのバージョンを指定するため、/etc/security/selinux/src/policy/Makefileを修正します。
再度ポリシーのロードを行います。
以上でインストールは完了です。マシンをrebootします。
再起動後、もう一度ラベルを振りなおします。

Tweets by @T_MAtsuba