Testy vlivu SELinuxu na výkonnost systému

Phoronix provedl několik testů vlivu SELinuxu na výkonnost systému v různých aplikacích. Celkově se výkonnostní dopady zapnutého SELinuxu neprojevily; výjimkou je Apache a PostMark, kde jsou dopady minimální.

5.6.2011 14:51 | Nicky726 | Nová verze

Komentáře

[Anonymous]

Má cenu odkazovat na každý nový test Phoronixu, když ani nic moc objevného neříká?

[Kamil Páral]

Opravdu nic nového neříká? Já si třeba myslel, že SELinux zpomaluje dost. (Ale ocenil bych, kdyby tam otestovali i rychlost bootu systému.)

[michich]

U mně je to opačně. U toho Apache je zpomalení o víc, než jsem čekal.

Boot trvá déle kvůli nutnosti načíst policy a kvůli stupidnímu chování funkce selabel_open(), která bude doufám brzo opravena (RHBZ#709014).

[Tomáš Bžatek]

No jesteze to mam vsechno vyple

[pht]

Bezpečnost a zabezpečení málokdy mají takový drastický efekt na rychlost jak se obvykle říká.

[a.syntsow]

Nevedel som ze Selinux ma nieco spolocne s proaktivnou bezpecnostou.

[pit0]

zacina uhorkova sezona, niet sa co cudovat

[cezz]

U mna sa SELinux sice neprejavoval na vykonnosti systemu, ale na mojej vykonnosti rozhodne. Podchvilou ma otravoval nejakym zablokovanym pristupom ako sa snazili aplikacie uplne normalne fungovat.. (Pravda, bola to Fedora 15 beta, to vela vysvetluje, ale vseobecne mam skusenost, ze to zatial viac problemov prinasa, ako riesi)

[filbar]

Tak já mám se SELinuxem jenom dobré zkušenosti. Je to výborný systém, a když člověk pochopí základní jednoduchý princip, na kterém to funguje tak zjistí že to není vůbec složité.

[lib]

+1

[vain]

O jaké aplikace se jedná například? Vím osobně jen o Skype a o Dropboxu (na 64bitu). Stačilo vygenerovat pravidla a bylo. Ještě jsem tedy nezažil problém s aplikací z repositářů (to by bylo na bug report).

[cezz]

Co si spominam tak openvpn nevedel pristupovat ku konfigurakom v /etc/openvpn/, dalej mi koli tomu padal nejaky telepathy backend (to je uz tusim fixnute) V minulosti si spominam, ze s tym mal problem tcpdump. Ale vravim, ze to bola este beta - to je normalne, nestazujem sa.

Ja netvrdim, ze je to zle, alebo zlozite. Len sa mi to zda zbytocne. (minimalne na desktope) Dobre nastaveny firewall a pravidelne aktualizacie zvycajne stacia. (Pripadne este nieco ako fail2ban) Pravda, neprevadzkujem systemy, kde spustam kod tretich stran ktoremu nemozem doverovat a tak podobne.

[pht]

Pravda, neprevadzkujem systemy, kde spustam kod tretich stran ktoremu nemozem doverovat a tak podobne.

Chodíte na web, se zapnutým javascriptem, flashem, a podobně?

[cezz]

Pravda, neprevadzkujem systemy, kde spustam kod tretich stran ktoremu nemozem doverovat a tak podobne.

Chodíte na web, se zapnutým javascriptem, flashem, a podobně?

To samozrejme chodim, ale neviem si predstavit, ako by som obmedzil napriklad takemu Firefoxu pristup k comukolvek, aby to malo nejaky ucinok a zaroven ma neobmedzovalo v praci. Tym kodom tretich stran som myslel napr. PHP kod, ktory neuploadujem ja sam a podobne. Aby to tak nevyznelo, ze si myslim, ze SELinux je zbytocny. Ja chapem, ze to ludia potrebuju, len si nemyslim, ze medzi nich patrim. `urcite by to o malicko bezpecnost zvysilo aj u mna, ale nie je to worth the trouble.

[pht]

To samozrejme chodim, ale neviem si predstavit, ako by som obmedzil napriklad takemu Firefoxu pristup k comukolvek, aby to malo nejaky ucinok a zaroven ma neobmedzovalo v praci.

Tak např. se asi shodneme, že přístup firefoxu k soukromým klíčům pro ssh je nežádoucí.

[cezz]

Tak např. se asi shodneme, že přístup firefoxu k soukromým klíčům pro ssh je nežádoucí.

Povedzme ze ano, vo vacsine pripadov - nech uz su tie kluce ulozene kdekolvek. Problem je, ze takych suborov a pristupov je neskutocne vela. Je tazke (alebo skor nemozne) osetrit vsetky taketo pripady a priliz uzke obmedzenia by ma asi brzdili v praci. Aktualny a pravidelne updatovany Firefox mi pride ako lepsie riesenie co sa pomeru cena/vykon tyka.

[pht]

Problem je, ze takych suborov a pristupov je neskutocne vela. Je tazke (alebo skor nemozne) osetrit vsetky taketo pripady a priliz uzke obmedzenia by ma asi brzdili v praci.

Proto se používá princip "co není povoleno je zakázáno" a pokud je povolení hodně tak se hledají cesty jak to zjednodušit.

Aktualny a pravidelne updatovany Firefox mi pride ako lepsie riesenie co sa pomeru cena/vykon tyka.

Bohužel tohle není principielně dobré řešení protože updaty budou vždy o krok (nebo dva) pozadu. Proto jsou řešení typu selinux, apparmor, uac, které předpokládají děravý browser a snaží se omezit dopad na okolí.

[cezz]

Proto se používá princip "co není povoleno je zakázáno" a pokud je povolení hodně tak se hledají cesty jak to zjednodušit.

To samozrejme viem, problem je, ze Firefox tak IMHO obmedzit nejde. Resp. ide, ale pouzivat by som to nechcel..

Bohužel tohle není principielně dobré řešení protože updaty budou vždy o krok (nebo dva) pozadu. Proto jsou řešení typu selinux, apparmor, uac, které předpokládají děravý browser a snaží se omezit dopad na okolí.

Podla mna je to otazkou priorit. Mne osobne to za tie komplikacie nestoji, povazujem v tomto smere Firefox za dostatocne bezpecny.

[pht]

problem je, ze Firefox tak IMHO obmedzit nejde

Já myslím že defaultní politika v selinuxu, apparmoru i nastavení UAC ve windows je v tomto směru postačující. Funguje to out of the box, a zabrání to nejhoršímu.

[cezz]

Ked ti to tak vyhovuje, ja s tym problem nemam. Moja skusenost na desktope je taka, ze od vypnutia selinuxu v podstate nemam problem.