Термины

• автоматическое монтирование - автоматическое монтирование при загрузке системы или по команде mount -a. К сменным носителям практически не применяется;
• полуавтоматическое монтирование - монтирование с помощь графического инструмента fly-admin-reflex (включает автоматическое обнаружение подключенного носителя, и выдачу пользователю графического запроса  на монтирование обнаруженного носителя);
• монтирование - "ручное" монтирование с помощью инструмента командной строки mount;
• носитель - съёмный USB-накопитель или дисковый раздел на таком накопителе;
• учтённый учтенный носитель - носитель информации, зарегистрированный в системе учётаучета, и подготовленный для размещения на нём нем классифицированной информации;
• неучтённый носитель - любой носитель, не являющийся учтённым.
  
  
• Метка безопасности, классификационная метка - см. Метка безопасности: структура и состав

Настройки по умолчанию

Информация

«В качестве файловых систем на носителях информации компьютеров с ОС (в том числе съемных машинных носителях информации) должны использоваться только файловые системы Ext2/Ext3/Ext4, поддерживающие расширенные (в т.ч. мандатные) атрибуты пользователей и обеспечивающие гарантированное уничтожение (стирание) информации»  «Руководство по КСЗ, Часть 1» РУСБ.10015-01 97 01-1, 2020г., п. 17.3.1 «Условия применения ОС»

Настройки Astra Linux Special Edition, принятые по умолчанию:

• зарегистрированные учтенные носители отсутствуют;

• записи в файле таблице монтирования (файл /etc/fstab и в каталоге /etc/fstab.d/), определяющие порядок монтирования съёмных съемных носителей, отсутствуют. При этом порядок Порядок монтирования съёмных съемных носителей определяется записями правилами, хранящимися в файле /etc/fstab.pdac. Содержимое файла /etc/fstab.pdac по умолчанию:

  Информация

  # /etc/fstab.pdac: parsec devices access control mount instructions # #<file system>          <mount point>           <type>          <options>                                                       <dump>  <pass> ### usb flash /dev/*fat               /run/user/*/media/*     auto            owner,group,noauto,nodev,noexec,iocharset=utf8,defaults         0       0 /dev/*ntfs*             /run/user/*/media/*     auto            owner,group,noauto,nodev,noexec,iocharset=utf8,defaults         0       0 /dev/sd*ext*            /run/user/*/media/*     auto            owner,group,nodev,noexec,noauto,defaults                        0       0 ### [cd|dvd|bd]rom /dev/s*udf              /run/user/*/media/*     udf             owner,group,nodev,noexec,noauto,defaults                        0       0 /dev/s*iso9660          /run/user/*/media/*     iso9660         owner,group,nodev,noexec,noauto,defaults                        0       0 ### other /dev/sd*                /run/user/*/media/*     auto            owner,group,nodev,noexec,noauto,iocharset=utf8,defaults         0       0

  Эти правила:

  • для учтённых учтенных носителей (все правила, кроме последнего):
    • разрешают полуавтоматическое монтирование с помощью графической утилиты fly-admin-reflex в соответствии с принятым порядком учёта. Правила включаются в работу по мере появления подключения зарегистрированных носителей;
  • для неучтённых неучтенных носителей (последнее правило /dev/sd*):
    

    • разрешают полуавтоматическое монтирование с помощью графической утилиты fly-admin-reflex неучтенных носителей vfat и ntfs;

    • не обеспечивают полуавтоматическое монтирование носителей ext{2,3,4}
      (. Так как правило содержит параметр iocharset, необходимый для корректного монтирования носителей vfat, безразличный для носителей ntfs, и не поддерживаемый носителями ext{2,3,4}).
      При этом ,  при обнаружении любого носителя носителя ext{2,3,4} запрос на полуавтоматическое монтирование выдаётсявыдается, однако попытка монтирования ext{2,3,4} завершается ошибкой и неудачей.

При этом:

для

Для того, чтобы пользователь мог монтировать

неучтённые

неучтенные накопители, он должен быть добавлен в группу floppy (или

(

в Astra Linux Special Edition РУСБ.10015-01

очредное

очередное обновление 1.5

)

- в группу fuse).

Информация
title Актуально для Astra Linux Special Edition РУСБ.10015-01 очередное обновление 1.5
Группа fuse также используется для подключения разделяемых ресурсов samba ресурсов. Если предполагается использование samba ресурсов,

используйте

следует использовать другой способ запрета монтирования, например: для запрета монтирования USB-носителей с файловой системой ntfs

необходимо

снять suid бит с /bin/ntfs-3g.

Монтирование при этом будет выполняться в соответствии с правилами, заданными в файле /etc/fstab.pdac.

Изменить участие пользователя в группах можно с помощью графического инструмента fly-admin-smc. При использовании командной строки

добавить

:

• Добавить пользователя в группу floppy можно командой:

  Command
  sudo usermod -a -G floppy <имя_пользователя>

  
  

• Удалить пользователя из группы floppy можно командой:

  Command
  sudo gpasswd -d <имя_пользователя> floppy

  пользователь

  
  

Пользователь с правами администратора автоматически добавлен в группу floppy и может в ручном режиме монтировать любые носители (включая ext{2,3,4}) с помощью команды mount, действуя от имени суперпользователя (sudo).

Переход на использование

неучтенных съемных носителей ext{2,3,4} и ntfs

Как указано выше, правило подключения неучтённых съёмных носителей в файле /etc/fstab.pdac, используемое "по умолчанию", несовместимо с использованием носителей  ext{2,3,4}.

Для того, чтобы можно было использовать носители ext{2,3,4} в режиме полуавтоматического подключения, из соответствующего правила следует исключить параметр iocharset, приведя правило к следующему виду:

При этом в полуавтоматическом режиме носители vfat будут монтироваться с неверно определяемой кодировкой, что не позволит корректно отображать и использовать русские названия файловых объектов.
На монтирование носителей ntfs указанное изменение правила не влияет, они монтируются правильно как при наличии, так и при отсутствии параметра iocharset.

Данные с ненулевыми метками безопасности на

неучтенных съемных носителях

Принадлежность пользователя к группе floppy позволяет этому пользователю монтировать любые неучтённые USB-носители, и работать с ними по общим правилам мандатного разграничения доступа.

С учетом того, что метка безопасности файлового объекта может сохраняться только на носителях ext{2,3,4}, а для  всех остальных носителей (vfat, ntfs) метка безопасности не сохраняется:

• При работе с неучтёнными носителями ext{2,3,4} пользователь может или не может читать, изменять, создавать файловые объекты в соответствии с правилами мандатного разграничения доступа;
• Работать с неучтёнными носителями vfat и ntfs могут только пользователи с нулевой меткой безопасности. Пользователям с ненулевыми метками безопасности монтирование таких носителей запрещено;

Учтенные съемные носители

Подробная информация: Порядок работы с конфиденциальной информацией на учтенных USB носителях

Принадлежность пользователя к группе floppy позволяет этому пользователю монтировать любые неучтённые USB-носители, и работать с ними по общим правилам мандатного разграничения доступа.

Альтернативным  механизм разграничения доступа к носителям - механизм учёта носителей - позволяет ограничить доступ к носителю, разрешив монтировать это носитель только пользователю, для которого этот носитель учтён.
При этом учтённые носители не разрешено монтировать и пользователям, входящим в группу floppy, если эти носители не учтены для пользователя, выполняющего монтирование.
Таким образом, пользователь, входящий в группу floppy, может монтировать любые носители, кроме учтённых не для него (или, другими словами, монтировать любые неучтенные носители и носители, учтенные для него).
Если пользователя исключить из группы floppy, то он потеряет возможность монтировать все неучтённые носители, и у него останется только возможность монтировать учтённые для него носители.

Для файловых объектов, находящихся на учтённых носителях, поддерживающих сохранение меток безопасности (ext{2,3,4}), действуют общие правила мандатного разграничения доступа. Такие носители могут монтироваться пользователем, имеющим любую метку безопасности, независимо от метки безопасности, присвоенной при учёте этого носителя.

Дополнительным эффектом учета носителей является возможность ввести мандатное разграничение доступа для носителей, не поддерживающих сохранение меток безопасности (носители с файловыми системами vfat, ntfs).
При этом:

• метка безопасности, с которой учтен носитель, фактически становится единой для всех файловых объектов, находящихся на учтённом  носителе;
• монтирование такого носителя разрешается:
  • только пользователю, для которого этот носитель учтёнучтен;
  • при условии, что метка безопасности сессии пользователя равна метке безопасности, присвоенной носителю при его учёте.

Итого:

Некоторые нюансы

учета съемных носителей и дисковых разделов на этих носителях

По умолчанию учёт съёмных учет съемных носителей осуществляется по серийному номеру физического носителя (USB-накопителя).
В ситуации, когда на носителе находится несколько дисковых разделов, монтирование этих разделов подчиняется указанным выше правилам для носителей:

• разделы ext{2,3,4} могут монтироваться пользователем, имеющим любую метку безопасности;
• разделы vfat и ntfs могут монтироваться только пользователем, имеющим метку равную метке, присвоенной при учете физическому носителю.

При необходимости, можно вручную ввести дополнительные правила, учитывающие параметры дисковых разделов, что позволит дифференцировать мандатные права доступа на уровне дисковых разделов.  Однако делать это не рекомендуется, так как параметры дисковых разделов, в отличие от серийного номера физического устройства, слишком легко поддаются фальсификации.