SELinux - dobré zabezpečení za cenu použitelnosti

SELinux je software z dílny NSA určený pro omezování oprávnění programů podle nastavených zásad. S jádrem se propojuje skrze LSM (Linux Security Modules). Jeho nevýhodou je až 7% ztráta výkonu systému a komplikovanější konfigurace. Více o SELinuxu, známém hlavně v souvislosti s Fedora Core, píše Linux.com.

11.12.2006 21:40 | Luboš Doležel (Doli) | Zajímavý software

Komentáře

[cm3l1k1]

vzhledem k tomu ze NSA = velky bratr, tak bych tento MLS system radeji nepouzival... mrknete treba na RSBAC nebo GRSec

[Sid]

A to uz preco? kod je pod GPL, upravovany nielen NSA, je do neho vidiet a nejake zadne dvierka by sa uz davno nasli - troska menej paranoje by to chcelo.

[pol128]

Ide o to, že si k nim človek vybuduje dôveru a potom mu podstrčia špióna.

[Michal Kubeček]

Možná mi něco uniklo, ale zdrojáky SELinuxu snad neprocházejí stejným procesem schvalování jako všechno ostatní, co se přidává do jádra? A, čistě mezi námi, kdybych chtěl do linuxového jádra protlačit backdoor, rozhodně ho nedám do SELinuxu, ale raději do nějaké méně nápadné části, která není tolik na očích.

[cm3l1k1]

jasne a ty jsi takovy geeek a specialista ze dokazes udelat audit vsech zdrojaku a odhalit backdoor, ktery tam nechali specialiste na bezpecnost z NSA?

[Michal Jordán]

Sid přece nepsal že právě (a jedině) _on_!
Zřejmě nebudu daleko od pravdy, pokud si myslím, že se na zdrojáky SELinuxu přece jenom "pár" lidí (schopných analýzy) podívalo...

[cm3l1k1]

to ano, myslel jsem to vseobecne...

vzhledem k tomu ze v NSA pracuji nejvetsi mozky sveta (bez nadsazky), kteri umi bez problemu kreknout (tim nemyslim brute force, ale ze vedi o chybe v algoritmu na kterou doposud nikdo neprisel) v dostatecnem case sifru AES (kterou NSA schvalilo), tak bych rek ze jen malo lidi, jestli vubec nekdo, by dokazal najit v jejich kodu aspon naznak backdooru...

[Zdeněk Burda]

Máš pro své tvrzení o AES nějaký důkaz nebo tu jen tak vaříš z vody?

[cm3l1k1]

kdyby AES nedokazali v kratke dobe desifrovat, tak ho neuvolni jako americky standard pro sifrovani

- proc asi dokazali desifrovat rozhovor via skype, kdyz se nejaky blbci domlouvali na neci vrazde? + vem si kolik je na skypu hovoru :o/ - precti si neco taky o echelonu

...asi tak

-- optimista je clovek s nedostatkem informaci...

[Vašek Lorenc]

Možná jsem jen pomalejší.. ale ten důkaz je kde?

[cm3l1k1]

ze desifrovali komunikaci skypu, ktera je sifrovana pomoci AES, behem nekolika minut (a nejen tu jednu!)

uz svita?

[Vašek Lorenc]

Asi furt ne.. možná by pomohl nějaký odkaz, kde to důkladně rozebírají. Jak říkám, jsem pomalejší.

[cm3l1k1]

bud si pockate do zitra a maybe se po tom ohlidnu, nebo byste mohl (coz bych uvital) pouzit google a ukazat aspon naznak snahy se o dane problematice neco dozvedet...

[Vašek Lorenc]

Klidně počkám.. zatím bych to spíš tipoval na to, že někdo přišel na způsob, jak zjistit klíč, který si obě strany musí při komunikaci vyměnit. Pak bych i tušil, proč ta doba rozkódování byla tak rychlá. To ale nepraví nic o tom, že by byl AES sám o sobě slabý.

Ale čistě selským rozumem -- k čemu by NSA bylo, kdyby takhle okatě ukazovali, že umí lousknout AES?

[cm3l1k1]

ne, to neni okate, oni to nikdy nepriznaji, ale zaroven by to nikdy neschvalily, kdyby to neumeli lousknout... si vem jak dlouho trvalo nez priznali ze maji echelon a pritom uz nekoli let se o tom verejne mluvilo...

[cm3l1k1]

bohuzel ja ani nikdo z kamaradu ten clanek nemuzeme najit, vim jen ze u nas to nevyslo...

[David Jaša]

AFAIK má skype protokol zařízený tak, aby mohli vybrané hovory sledovat bez ohledu na šifrování. Tudíž vaše historka o AES vůbec nic nevypovídá.

[cm3l1k1]

hovory skajpu jdou pres linky lidi ve tvem kontakt listu (cast tudy, cast tamtudy - nikdy jeden hovor jednou cestou) aby bylo tezsi cely hovor zkompletovat, takze neafaikuj a zkus pouzit google a mozek

[Michal Kubeček]

kdyby AES nedokazali v kratke dobe desifrovat, tak ho neuvolni jako americky standard pro sifrovani

Ale no tak. AES (ještě pod jménem Rijndael) byl samozřejmě veřejně znám po celou dobu, co probíhalo výběrové řízení, tj. IIRC asi pět let (1997-2002). Stejně jako všichni ostatní kandidáti. Takže NSA nic neuvolnila, ale pouze jej posvětila, jako oficiálně schválený algoritmus pro určité účely.

[cm3l1k1]

a v cem se to lisi od me puvodni vety? ja jsem nepsal ze ho vymysleli v NSA, schvalili ho jako standard