SELinux architecture and kernel remarks (diskuse)

[smazáno]

Promin, ale napsat to musim - opravdu by to chtelo jeste trochu zamakat na anglictine, ono mozna mas napady dobry ale z toho textu se dost tezko ctou. Na druhou stranu az budu umet tak dobre spanelsky jak ty anglicky tak budu happy

(to je teda prvni prispevek )

[marek]

Po podrobném přečtení mám pocit, že autor blogu si pouze myslí, že ho napsal anglicky.

[pavlix]

Angličtina jako světový dorozumívací jazyk často nedosahuje kvalit angičtiny jako národního jazyka, ať už britského, amerického či australského. Já osobně jsem se s tím schopný v pohodě smířit, v případě podobných textů hodnotím radši obsah.

V případě beletrie to mám zase trochu jinak, ale tam musím říct, že je jenom pár autorů, kteří mě stihli jazykově zaujmout. Z těch novodobých je to Umberto Eco (kupodivu neangličan neameričan) a J.R.R. Tolkien. Jestli máte někoho kvalitativně srovnatelného v zásobě, tak si rád přečtu.

[David Jaša]

Jestli máte někoho kvalitativně srovnatelného v zásobě, tak si rád přečtu.

James Joyce. Četl jsem od něj jen sbírku povídek Dubliners, ale stála za to.

[pavlix]

Díky, počítám, že si do roka a do dne od něj něco přečtu. Bohužel už nečtu tak intenzivně, jako dosud, a na seznamu mám těch věcí trochu více. Sbírka povídek se zdá býti ideální.

[luv]

Od Joyce(e) jsem zkusil precist "A Portrait of the Young Artist" ale po padesati strankach jsem to zahodil .

Ale z klasiku, kteri se vyzivaji v hrani s jazykem (a narozdil od JJ se to da cist), je skvely Charles Dickens

[pavlix]

Dávám na seznam za Joyce.

[David Jaša]

Dubliners se dali číst velmi dobře - jejich čitelnost je v příkrém rozporu s Joycovou pověstí.

[pavlix]

Ahoj. Mám pro tebe takovou menší poznámky k textům tohoto typu. I když máš pocit, že text je „pouze“ o architektuře, tak bys tam měl mít alespoň jednu sekci o tom, k čemu je to vůbec dobré.

Případ SELinuxu je navíc zajímavý tím, že se SELinux používá, a to už pár let. Takže by stálo za to v takové sekci (či v samostatné, to už je volba autora), uvést i na co se SELinux reálně používá a na co se třeba reálně nepoužívá.

Příklad s ls je dobrý v tom, že je jednoduchý a jasný. Na druhou stranu je to ale utilita a spouští se obvykle z shellu nebo jiné čistě uživatelské aplikace. Tudíž běží obvykle s právy uživatele a navíc alespoň ve Fedoře nemá nastavený žádný speciální typ.

$ ls -Z /bin/ls
-rwxr-xr-x. root root system_u:object_r:bin_t:s0       /bin/ls

Takže z praktického hlediska postrádá smysl a lepší by bylo jako příklad použít něco, co se opravdu SELinuxem už dneska v praxi zabezpečuje nebo to alespoň dává nějaký konkrétní smysl.

Snad to pomůže.

[Jendа]

Jak je na tom SELinux s Xkama? Taková ta věc, jak nikdy nevím, jak se jmenuje, má jakýsi bezpečnější kreslící protokol.

[Nicky726]

Existuje nástroj sandbox, který má verzi pro GUI aplikace, myslím, že sandboxx?

[Jendа]

Hmm, tohle používá Xephyr, zkoušel jsem něco podobného s Xnest a výkon vykreslování nebyl nic moc (čti Firefox v tom byl nepoužitelný). Navíc samozřejmě nefunguje třeba xclipboard.

[Jendа]

Jů, tak Xephyr umí RandR extension, clipboard se dá ohackovat a tak… Nejvyšší čas přesunout půlku systému do virtualizace nebo rozchodit SELinux/grsec/Tomoyo :).

[David Jaša]

Proč nebo?

[Bystroushaak]

Když už jsme u Selinuxu - potřeboval bych si zabezpečit server, ale z letmého pohledu na Selinux mám pocit, že tohle není zrovna věc, při které bych si zachoval duševní zdraví (zábavné jsou 50 stránkové tutoriály, dočtení něčeho takového bych se nemusel dožít..). Existuje na to nějaké klikátko, nebo něco jednoduššího?

[Marek 'marx' Grác]

V podstate toho až toľko nepotrebuješ, na štandardné serverové aplikácie ti stačí 'targeted policy' a k tomu si pozrieť, čo všetko sa tam dá nastaviť (setsebool). Na písanie pravidiel pre vlastný softvér je možné si prejsť logy a pridať do to pravidiel, obvykle to funguje podľa predstáv.

[pavlix]

Standardně se selinux řeší tak, že software/OS dostaneš i s bezpečnostní politikou a maximálně si doladíš pár nastavení pomocí setsebool. Psaní bezpečnostních politik se v tomto případě nepovažuje za běžný administrátorský úkon.

[Bystroushaak]

Nj, jenže já chci zabezpečit vlastní SW. Jinak jsem googlil, až jsem narazil na apparmor, který vypadá docela jednoduše.

[David Jaša]

Protlač ho do Fedory a dostaneš selinuxí politiku zadarmo.

[David Jaša]

Ještě takový dodatek: pokud si tu bezpečnostní politiku bastlíš pro tvůj vlastní soft běžící na tvém vlastním serveru, můžeš si vybrat. Ale pokud ten tvůj soft pojede u někoho cizího, bude mít při výběru bezpečnostního frameworku hlavní slovo jeho správce serverů.

[Bystroushaak]

Jo, to je jasné. Jede to u mě na serveru, stahuje to nějaké ty data z netu, parsuje a ukládá. Jen taková paranoidní jistota kombinovaná s tím, že praxí se člověk nejlépe učí.

Jinak taky budu potřebovat omezit FTP pro jednoho kolegu, ale to zatím nespěchá (FTP pojede, až dodá disk) a předpokládám že konfigurák někde najdu.

[David Jaša]

Jinak taky budu potřebovat omezit FTP pro jednoho kolegu, ale to zatím nespěchá (FTP pojede, až dodá disk) a předpokládám že konfigurák někde najdu.

Kdybys na to chtěl přeci jen zkusit selinux, tak se obejdeš bez vlastních politik, stačí ti to jenom nastavit podle ftpd_selinux (8) (a na fedoře ještě předtím doinstalovat policycoreutils-python, v kterých je semanage).

[Bystroushaak]

Nj, ale apparmor tam už byl, selinux ne :) Jinak selinux mám na desktopu, mint ho má v sobě tak pěkně nacpanej, že se nedá úplně odinstalovat, protože na něm závisí skoro všechno :D Takže na desktopu apparmor nebude, což me donutí se na selinux někdy podívat.