Философия SELinux

25.12.2005 19:55

В PDF документе "Demystifying Security Enhanced Linux" рассказывается о путях применения и внутренней сути подсистемы SELinux, не совсем прозрачной для начального понимания. В статье также приводятся примеры создания несложных SELinux политик.

Дополнительно, можно отметить публикацию письма "SELinux kills multiboot" со ссылкой на дискуссию в списке рассылки fedora-test-list, в которой поднимаются проблемы использования SELinux в системах на которых установлено несколько ОС и используются одинакоые точки монтирования (например, один /home для всех).

исправить +/–

Главная ссылка к новости (http://www.ebcvg.com/articles....)

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/6700-selinux

Ключевые слова: selinux, mac, acl, limit, linux, security

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (24)

1.1, THESERG (??), 00:07, 26/12/2005 [ответить] [﹢﹢﹢] [ · · · ] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
глючит всё это наверно...

1.2, sash (??), 01:36, 26/12/2005 [ответить] [﹢﹢﹢] [ · · · ] [↓] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]

+/–

неа. давеча был на семинаре редхета. она по умолчанию включена в RHEL 4.

очень и очень. штука нетривиальная и с ней можно сделать все что угодно.

Кста после этого скучного семинара, самым полезным на котором нашел материалы редхета, презенташки и т.д. многое почерпнул из материалов, начал уважительно относится к редхету. Даже подумываю о подписке на Standart и использованию RHEL4

2.4, andrewk (?), 11:12, 26/12/2005 [^] [^^] [^^^] [ответить] [↓] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
жертва рекламы :) любую систему стоит использовать лишь потому, что она в состоянии тебе дать какие-либо преимущества, а не потому, что про нее красиво рассказали на семинаре.

3.6, sash (??), 12:08, 26/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
Реклама это последнее на что обращаю внимание. Преимущества в поддержке, и цене на нее.

4.9, Otto Katz Feldkurat (?), 12:21, 26/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]

+/–

переживаний детства - утрата прав на директорию в системе с ACL.

ACL, SELinux и TrustedBSD - потенциально источник больших проблем с правами на то и на сё. Отладить просто нормальную работу такой системы может оказаться сесьма ресурсной задачей. Готов ли ты к тому, что МТА недели две будет тебе отвечать в различных вариантах: "я отдыхаю и ты отдыхаешь у тебя правов нема"? Потом станешь прикручивать клиентов. По одному. И...

А ради чего? У тебя в системе каждый день объявляются бэкдоры, активнсоть пользователей которых надо ограничить?

Си - отличный копилятор. И что? Исходя из этого факта ты готов написать лично для себя ОС? Отладка прав может превратиться в написание собственного ядра в человеко-часах.

5.10, sash (??), 12:39, 26/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]

+/–

Согласен с каждым словом.

Я не сторонник ни противник SELinux.

Как и везде должна быть корреляция между приемлемым решением задачи (в данном случае безопасности) и затрат на нее.

Заметьте в списках политик SELinux нет sendmail. :))

6.13, Otto Katz Feldkurat (?), 13:36, 26/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]

+/–

с шифрования трафика.

Что толку наводить тень на плетень внутри DMZ, если твой внешний траф может быть обснифан из локалки провайдера, из локалки коллокатора, на пиринге, а внутренний - любым алкашом из соседней комнаты?

7.14, sash (??), 13:45, 26/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]

+/–

с тем что данные являются общедоступными не только в сети.

Хочешь безопасности - это дорого стоит. Толлу с шифрования траффика если вспомнить о тех.средствах позволяющие снимать изображение с ЕЛТ, получать данные с кабеля при печати на принтер, и т.д. Эти средства были на вооружении у СБ еще в 70-х. А что на вооружении у них сейчас?

Гугл может позволить себе выложить отснятую поверхность земли, в неплохом качестве. :) Что же тогда могут те у кого есть средства разработанные на деньги вкладываемые в ВВП?

Безопасность палка о десяти концах, и шифрованием трафика не обойтись.

8.17, Otto Katz Feldkurat (?), 14:42, 26/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
Ты не в курсе проститутской сетевухи и сниффа И сопутствующих средств В домо... текст свёрнут, показать

9.18, sash (??), 14:47, 26/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
В курсе Все средства упоминать попросту нет смысла Обязательно прочту в после... текст свёрнут, показать

2.5, Mikk (?), 12:05, 26/12/2005 [^] [^^] [^^^] [ответить] [↓] [↑] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
>с ней можно сделать все что угодно. С ней оракла сделать нельзя. Не будет работать.

3.7, sash (??), 12:10, 26/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]

+/–

>>с ней можно сделать все что угодно.
>С ней оракла сделать нельзя. Не будет работать.

SELinux не будет работать с oracle? имеешь ввиду oracle database 9i/10g ?

странно, rhel4 с включенным selinux работает БД.

Но не это имел ввиду. :)

2.8, Mike (??), 12:17, 26/12/2005 [^] [^^] [^^^] [ответить] [↑] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
CentOS 4 юзайте. Те же яйца, тока бесплатно.

3.11, sash (??), 13:09, 26/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
Поймите критерий бесплатности не играет такую большую роль как ему придают ?начинающие?.

4.12, Mike (??), 13:24, 26/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
Не думаю. Вот напр. мне зачем rhel4, когда есть совместимый с ним на 100% centos 4, ну мб лишенный нек. коммерческих шалабушек, кот мне вcе равно не нужны. Нет, конечно мне нужен rhel4, но просто чтоб был (иначе с чем будет Centos совместим?), но платить за него я не буду и никому не советую. А начинающим - тем более, зачем платить деньги, да и за что? Так что, я думаю тут решающий фактор - отсутствие информации, ну или нежелание искать альтернативы раскрученному бренду.

5.15, andrewk (?), 13:53, 26/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
Mike, здесь не такой простой вопрос, как ты думаешь. если начать обсуждать, почему иногда предпочтительнее купить решение от коммерческого вендора, а иногда можно обойтись и аналогичным бесплатным решением, все это выльется в огромной флейм, толку от которого будет 0. просто поверь, что есть такие обстоятельства, благодаря которым люди предпочитают юзать именно rhel4, а не centos, даже зная о существовании последней.

5.16, sash (??), 13:54, 26/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
Практически не использую RH, от федоры просто воротит - собрать столько ПО в одном месте да еще и запутать все это надо уметь. перед centos RHEL выигрывает имено поддержкой. мне так кажется, если ошибаюсь - поправте.

1.3, dsl (?), 08:25, 26/12/2005 [ответить] [﹢﹢﹢] [ · · · ] [↑] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
http://rhd.ru/docs/articles/selinux_rhel4/

1.19, PavelVice (ok), 16:10, 26/12/2005 [ответить] [﹢﹢﹢] [ · · · ] [↓] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
SeLinux сложен, но поддерживается без всяхих патчей. Есть еще lids и gradm. Они мне больще нравятся. Есть еще vserver(опять же в виде патчей толька). Хотелось бы иметь возможность выбора между этими решениями без лишнего гимора с патчами. Я конечно понимаю что трудно сделать что бы код этих проектов мог сосущестовать в ядре, но все же.

2.20, rt (??), 02:35, 27/12/2005 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
а что, так сложно патч наложить?

1.21, Сердюка (?), 10:57, 27/12/2005 [ответить] [﹢﹢﹢] [ · · · ] [↑] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
да и зачем патчи? есть уже наложенные и постоянно обновляемые, напр Gentoo emerge vserver-sources

1.22, don (?), 12:48, 27/12/2005 [ответить] [﹢﹢﹢] [ · · · ] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
Юзаю CentOS + SELinux - все отлично - всем доволен, как и все остальное - нужно сначала изучить...

1.23, Guest (??), 13:23, 27/12/2005 [ответить] [﹢﹢﹢] [ · · · ] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
А может grsecurity или RSBAC лучше?

1.25, Аноним (-), 09:02, 11/01/2006 [ответить] [﹢﹢﹢] [ · · · ] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]	+/–
>>А может grsecurity или RSBAC лучше? и там и там мандантный доступ -только все возможности RSBAC получаются как частный случай SELinux ,то есть это гораздо более мощная технология -да и лучшая железобетонность этого проекта -в сети есть две машины с SELinux (в проектах дженту и дебиана или редхата) которые стоят себя мирно с открытым доступом по ssh roota с известным паролем куда каждый может зайти попытать удачи по взлому ,а демострации других систем защиты пока нету почему то -это тоже показатель!

игнорирование участников | лог модерирования

Добавить комментарий

Имя:

E-Mail:

Текст: