英語キーボードにまだ慣れない。。。 今日の修正 存在しないファイル（存在を特定できないファイル）の扱い allow ~/public_html r,s; と設定を書いたとき、 allow ~/public_html/* r,s;と扱われてしまっていたので修正。 存在しない(存在を特定できないファ…

Russell Cokerさんとの勉強会が終わったころかな。 英語キーボードになったので、タイプミス続発。。。 全然関係ないけど、breakって、「分岐する」みたいな意味もあるんですね。 selinux-usersの投稿で初めて知った。 今日の変更点 audit2spdlのログ中のタ…

Fedora Core Expert Vol.2 [DVD付き] 見本誌が届いた。 FC5のSELinuxがあります。semodule,refpolicy,MCSまでまとめてます。 書くのに相当苦労しました。 この書籍は、ある意味一番Fedoraらしい本だと思います。 初心者向けだけではなく、Fedoraに取り込まれ…

外出から帰ったら、LSMのMLが例によってすさまじい。。 未読の山になってしまった。ついていけなくなっちゃったかもorz PitbullをLSM対応させてカーネル本家にsubmitする予定だ、との電撃発言。 例の「LSMいらないんじゃないの？」発言以降、凄まじい勢いで…

Uploaded to show progress to colleagues. I'm writing documents in broken English:-) When document is complete, I'll announce to some mail lists. but I think I can not complete in Apr, because of deadline of research report at GWU. Changes …

例によって作業メモ… ホームディレクトリのサポート ホームディレクトリのサポートを忘れてた。 例えば，httpd_tに，public_htmlのアクセスさせたい場合 allow /home//public_html r,s; をユーザーの数だけ書く必要がある。。100人ユーザがいたら100行(^^; A…

直接対決 SELinuxのネ申のAppArmor批判 http://lkml.org/lkml/2006/4/20/108 AppArmorネ申の反論 http://lkml.org/lkml/2006/4/20/264 長いので後で読もう。 読んだ。AppArmorネ申最高。多少謎な部分もあるが(/tmpの保護は嘘だろうと思う)，私がなんとなく感…

自宅でメインに使ってるノートPCのHDDが死亡。 相当酷使したからなぁ。やばすぎる… 実はメインマシンのHDDクラッシュは初体験。 デュアルブートだが、Windowsは相当遅いながらも起動。 一方、Linuxはランレベル１でかろうじて起動。データを救出。 なんかdma…

朝になってもおさまる気配がない。。 参戦 野次馬に徹してたが、ひとつだけ投稿してみた。 SELinuxでAppArmorライクなことできるじゃないの? と言ってる人がいたので、seeditを紹介しておいた。 下手するとSELinuxとAppArmorの両方に嫌われるな(笑 本当は、A…

今浮かんだネタを実装 /etc/selinux/targeted/contexts/customizable_types にfile_type transitionで作られたラベルを登録するように (/etc/mtabなど） seedit-converterに-cオプションをつけ、customizable_typesファイルを生成する。 ファイルタイプ遷移…

http://securityblog.org/brindle/2006/04/19/security-anti-pattern-path-based-access-control/ 必見です。 なぜパス名ベースのアクセス制御が駄目なのかを語ってます。 policy is not analyzable パス名ベースだと 「Policy is not analyzable」って言っ…

ついにlkmlに送られたらしい。どうなるのかな。 さっそく色々突っ込みが入ってるな。 「カーネルでパス名ベースのアクセス制御をしちゃ駄目だという意見があるので、パス名ベースのアクセス制御を正当化する必要がある」 との、大変そうな突っ込みが入ってる…

今日の修正 seedit-unconfinedコマンドを作った ドメインが用意されてても、allowpriv allしてるものがあるので、注意を促すため。 appaprmorのunconfinedのパクリ seedit-unconfined -e :起動中のプロセスのドメイン+unconfinedなものはその旨表示 seedit-u…

Linux Security Modules(LSM)のML http://vger.kernel.org/vger-lists.html#linux-security-module が、すごく面白くなっている。 LSMやめて、LinuxのセキュアOSをSELinuxだけにしたら？という冗談（本気？）めいた話から、色々と釣れてる。 例えば。。 問い…

勉強会のお知らせです。 SELinuxの主要人物の一人である，Russell Coker氏が 来日されることになりました。 この機会に， 日本SELinuxユーザ会と、Linuxコンソーシアムセキュリティ部会の主催で Russell Coker氏を囲み勉強会を開催することになりました。 奮…

ドメイン遷移のプログラム名のワイルドカードサポート dxパーミッション実装 { domain foo_t; ... allow /foo/bar dx; } とすると、/foo/barにドメインが定義されているときは、ドメイン遷移する。 allow /foo/** dxというワイルドカード指定も可能。/foo以…

seeditのドメイン遷移簡略化を考えるにあたってAppArmorのドメイン割り当てを見てみる。 AppArmorのドメイン（プロファイル）割り当ては、次のようになっているようだ。 プロファイルが割り当てられる場合 unconfinedなプロセスから起動され、プロファイルが…

AppArmorは使われるか？ AppArmorは, それなりに使われるようになると私個人は思う。 実際にAppArmorを使ってみて， 「お手軽セキュアOS」としてのAppArmorを私個人は高く評価している(今のところ）。 一般人受けしそうな理由を考えてみた。 デフォルトはど…

ドメイン遷移さようなら？？ ドメイン遷移も、「緩い」ポリシーならば隠蔽できる気がしてきた。 普通の場合、一つのプログラムにはドメインは一個しか割り当てない。 strictポリシだと、１つのプログラムにロール毎のドメインが割り当てられるけど。つまり，…

修正 statの返り値をちゃんと見るように変更。 PANDAさんありがとうございます。 他にも怪しい箇所が山盛りかも。。。 シンボリックリンクの扱いが怪しい allow /var/mail/** (/var/mail -> /var/spool/mail という関係） とした場合、 file_contextsに /var…

ファイルに対するdenyの動作が不定だったので、修正。 ファイルルールを格納するデータ構造を変更。ハッシュテーブルに入ってたのを普通の配列に。 statのハマリ statシステムコールを使う場合、 stat(buf,path) とするが、 ループでbufを使いまわす場合は，…

Simplified Policyのディレクトリ構造整理。 拡張子名を「.sp(Simplified Policy)」に変更。 .aだったのは、あんまりなので。 core,apps,servicesディレクトリに分割配置。 coreは、システム関連のポリシ。appsは、普通のコマンド類。servicesにデーモンの設…

最新版はどこに？ Novell ForgeのサイトにあるAppArrmor↓ http://forge.novell.com/modules/xfmod/project/?apparmor が最新だと思い込んでいたが、違ったようだ。 Novell Forgeの「Development」の現時点の更新日付は2006年1月になっている。 一方、OpenSus…

seeditを、FC5で動かしてみた。 特に苦労することなく動いた。で、軽いポリシを作ってみた。 AppArmor並に、 保護したいデーモンにだけポリシを用意するという方針のもの。 policy.20のルール数が3000しかない。 新seeditのポリシの例。 Apacheでテストペー…

OpenSuSE10.1b9をインストールした。 メモリ256MBのマシンにインストールしたら、パッケージ選択の画面ではてしなく時間がかかる。yastも超重い。 # 512MBのマシンだとサクサク FC5もメモリ256だと不足を感じたし、メモリ最低512MBの時代に突入ですな。 そう…

Change logを書くためのpersonal memo。 FC5対応 ひとまず，思いっきり軽いポリシに とりあえず吐き出すポリシのコンパイル通った checkpolicyはモジュール対応してないポリシもちゃんとコンパイルできるようだ。 SPDL文法エラーの行番号をcheckpolicyを参考…

4日ぶりぐらいにsourceforge.netのCVSが復活。 SPDL(Simplified Poilcy Description Language)の文法を整理 allow/allowonlyの統合 ファイルのアクセス制御にallow(サブディレクトリ全部許可）/allowonly（ディレクトリ直下のファイルのみ許可）とあったが、…

sourceforge.netのCVSが金曜から死んでる。。。 問題 SPDLでは，ファイルタイプ遷移の設定がしにくい。 /var/runにpidファイルを作るとき allow /var/run exclusive syslogd_var_run_t; allow syslogd_var_run_t r,w,s; のようになるが，ぱっと見わかりにく…

AppArmorを見ていると、「単純さ」について考えさせられる。 （AppArmorは、ちょっと単純過ぎるけど） Simplified Policyは，「Simplified」と言っているけど 本当に単純さを追求しているのだろうか。 AppArmorをみて，Simplified Policyがわかりにくいと感…