Belajar SELinux - Labeling & Filesystem Context

#Pendahuluan

Di episode 3 kita belajar membaca denial AVC dan mendiagnosisnya — dan sering kali jawabannya adalah label yang salah. Label adalah bahasa yang dicocokkan oleh policy: file dengan label user_home_t tidak akan dibaca oleh proses httpd_t sesederhana apapun file itu di-chmod. Episode ini akan mengajarkan kalian cara melihat, mengubah, memulihkan, dan merelabeling filesystem — keterampilan yang paling sering menyelamatkan kalian di produksi.

Ini juga episode di mana kalian akan mulai sering menggunakan semanage — tools yang disebut-sebut sejak episode 0. Mari kita bedah satu per satu.

#Membaca Label: ls -Z & stat -Z

Semua perintah yang biasa kalian pakai punya varian -Z untuk menampilkan security context — coba ls -Z dan stat -Z:

Lihat label file dan direktori

ls -Z /var/www
ls -lZ /etc/nginx/nginx.conf

Contoh output

/var/www:
drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 html

Kolom ekstra yang muncul adalah security context dalam format user:role:type:sensitivity yang sudah kita bedah di episode 2. Untuk detail yang lebih teliti — termasuk label yang belum dikenali yang ditampilkan sebagai ? — gunakan stat:

Lihat label dengan stat

stat -Z /etc/nginx/nginx.conf

Contoh output stat

  File: /etc/nginx/nginx.conf
  Size: 641        Blocks: 8          IO Block: 4096   regular file
Device: fd00h/64768d  Inode: 21347      Links: 1
Access: (0644/-rw-r--r--)  Uid: (    0/    root)   Gid: (    0/    root)
Context: system_u:object_r:etc_t:s0

ls -Z untuk melihat banyak file sekaligus, stat -Z untuk mengupas satu file secara mendalam — termasuk memastikan apakah labelnya ? (tidak diketahui), yang sering menjadi petunjuk awal ada yang salah.

#Mengubah Label: chcon (Sementara) vs semanage fcontext (Permanen)

Ada dua cara mengubah label, dan perbedaan keduanya adalah sumber kebingungan terbesar di dunia SELinux.

#chcon: Ubah Langsung, Tapi Sementara

chcon langsung menulis label baru ke objek — seperti chmod untuk context. Perintah ini cepat dan praktis untuk percobaan:

Ubah label sementara

sudo chcon -t httpd_sys_content_t /srv/www/index.html

Masalahnya, perubahan ini tidak permanen: saat sistem merelabeling filesystem (misalnya lewat fixfiles, atau saat boot dengan flag relabel), label akan kembali ke nilai default policy. Untuk production, ini bukan cara yang benar.

#semanage fcontext: Pemetaan Permanen

chcon hanya mengubah label; ia tidak mengubah aturan. Aturan hidup di database semanage fcontext, dan di sanalah pemetaan permanen dibuat:

Tambah pemetaan fcontext permanen

sudo semanage fcontext -a -t httpd_sys_content_t "/srv/www(/.*)?"
sudo restorecon -Rv /srv/www

Baris pertama menambahkan aturan: semua file di bawah /srv/www (pola regex (/.*)?) harus berlabel httpd_sys_content_t. Baris kedua restorecon menerapkan label tersebut ke objek yang ada sekarang.

Important

Aturan emas labeling: chcon untuk percobaan, semanage fcontext untuk permanen. Kalau kalian hanya memakai chcon di produksi, label akan hilang pada relabel berikutnya dan masalah akan kembali — dan kalian akan kesulitan menjelaskan kenapa. Biasakan selalu menambahkan aturan fcontext untuk perubahan permanen.

#restorecon: Memulihkan Label Default

restorecon memulihkan label objek sesuai aturan fcontext yang terdaftar. Ini adalah perintah paling sering kalian pakai saat file yang disalin atau dipindahkan membawa label lama:

Pulihkan label sesuai default

sudo restorecon -Rv /etc/nginx

-R untuk rekursif, -v untuk menampilkan perubahan. Contoh khas: kalian memindahkan file konfigurasi dari /home/user ke /etc — file tersebut masih membawa label user_home_t, padahal lokasinya sekarang di etc_t. Satu restorecon dan labelnya kembali benar.

#Relabeling Filesystem: fixfiles & setfiles

Kadang seluruh filesystem perlu di-relabel — misalnya saat pindah dari disabled ke enforcing, atau setelah banyak label kacau. Dua tools yang bekerja berpasangan:

fixfiles — tools tingkat tinggi (wrapper) untuk relabeling seluruh filesystem:

Relabeling seluruh filesystem saat boot

sudo fixfiles -F onboot
sudo reboot

fixfiles -F onboot menandai sistem untuk relabel saat boot berikutnya — cara paling aman karena filesystem belum di-mount read-write saat proses berjalan.

setfiles — tools tingkat rendah yang melakukan relabeling sebenarnya. fixfiles hanyalah pembungkus yang memanggil setfiles dengan argumen yang tepat. Untuk penggunaan manual pada direktori tertentu, berikan file context file dan root path yang dituju:

Relabeling manual dengan setfiles

sudo setfiles -v -A /etc/selinux/targeted/contexts/files/file_contexts /srv

Opsi -v menampilkan setiap perubahan label, dan -A menonaktifkan pelacakan inode ber-hardlink ganda — hemat memori untuk job relabeling yang besar.

Penting untuk dipahami urutan prioritasnya: restorecon memakai aturan fcontext yang kalian tambahkan lewat semanage; fixfiles dan setfiles memakai file context default yang tersimpan di /etc/selinux/<policy>/contexts/files/file_contexts beserta tambahan fcontext. Itulah mengapa aturan semanage fcontext tetap bertahan meski relabel dilakukan.

#Memahami Pemetaan: Regex vs Literal

Aturan fcontext bisa ditulis sebagai path literal atau pola regex — dan ini membedakan cakupan aturannya:

Jenis	Contoh	Cakupan
Literal	`/srv/www`	Hanya direktori itu persis
Regex	`/srv/www(/.*)?`	Direktori itu dan semua isinya

Pola /srv/www(/.*)? adalah idiom paling umum — lihat daftar aturan bawaan untuk mempelajari polanya:

Lihat semua aturan fcontext

sudo semanage fcontext -l | grep -E "^/var/www"

Contoh output

/var/www(/.*)?    all files    system_u:object_r:httpd_sys_content_t:s0
/var/www/html(/.*)?    all files    system_u:object_r:httpd_sys_content_t:s0

Perhatikan dua hal: kolom tengah (all files) menentukan kelas objek yang terkena aturan, dan pola regex yang sama dipakai berulang. Kebiasaan membaca tabel ini akan membantu kalian menebak label yang benar sebelum menjalankan restorecon.

Tip

Saat ragu label apa yang benar untuk sebuah file, cek contoh dari sistem: cari file sejenis yang sudah benar, misalnya ls -Z /var/www/html, lalu gunakan type dari hasil itu. Kalian juga bisa mencari referensi di semanage fcontext -l. Menebak type tanpa melihat contoh adalah sumber label kacau yang paling umum.

#Penutup

Pada episode 4 ini kita telah menguasai alur labeling lengkap: membaca label dengan ls -Z dan stat -Z, mengubah sementara dengan chcon, memetakan permanen dengan semanage fcontext, memulihkan dengan restorecon, hingga relabeling penuh dengan fixfiles dan setfiles. Kita juga memahami perbedaan pola literal vs regex dalam aturan fcontext.

Inti yang harus kalian bawa:

ls -Z untuk banyak file; stat -Z untuk detail satu file.
chcon = sementara, semanage fcontext = permanen — aturan emas labeling.
restorecon memulihkan label sesuai aturan fcontext yang terdaftar.
fixfiles -F onboot untuk relabel seluruh filesystem saat boot; setfiles sebagai tools tingkat rendahnya.
Pola regex (/.*)? membuat aturan fcontext mencakup seluruh isi direktori.

Di episode 5 selanjutnya, kita akan membahas domain, types & policy modules — membaca aturan TE dengan sesearch dan seinfo, memahami struktur aturan allow dan neverallow, hingga mengelola modul policy dengan semodule dalam format .pp dan .cil. Pastikan tetap semangat, karena dari sinilah kalian mulai "membaca" dan "memahami" policy yang selama ini hanya kalian lihat dari luar!