SELinux Developer Summit

SELinux Developer Summitが3月3日に開催された。
招待された人だけで、濃い議論を行うのが趣旨。
NSA,Tresys,Redhat,IBM,HPなどを中心に、約30人が参加。
日本からも、中村、海外組が出場。

以下、今後まとめるため&皆様の参考のためのメモ。
まずは、注意事項から。
所詮メモなので、
Symposiumに出た人しか分からない表現も含まれてます。
また、見直ししてません。
後日、NSAのMLにSmalleyさんから詳細が流れるはずですので、そちらのほうがはるかに正確です。

セッション1 General Discussion　8:30-9:30

一般的な問題が話し合われた。主なテーマは、SELinuxのソース管理方法と、Desktop。
仕切りはStephen Smalley。

  • ソース管理方法について
    • 現状、ソースコードが最新になっていない。NSA,Tresysのinternalなツリーと、sourceforge.netの公開ツリーが同期取れてない。sourceforgeに一本化するにしても、sourceforgeはよく落ちるので、心配が多い。
    • 公開ソースが常にアップデートされていることは、Fedora以外のdistroのために重要(特にdebianか?)
    • Tresysが、ソースコードを管理するサイトをホストする方向で進むことになりそう。進捗はMLに投げるとのこと。selinux.orgとかになるかも。
    • 全ての開発をこのサイトでまとめて行えるようにするようで、seeditのような、ツール開発者もこのサイトを使えるようになるかもしれない。
  • SELinuxは、「閉鎖的」と感じている人がいるらしい。
    • AppArmorはNovel+Immunixで閉鎖的だけど、同じように、SELinuxもRedhat+Tresysじゃないか、とのこと。
    • Frank Mayerは、「うちも有名になったもんだ!」と喜んでいた。「evil Tresys」と冗談を言っていた(誰かが、evil NovellがAppArmorを採用しやがって!と怒っていたことに対応して)
  • Desktop

MCSについて議論が行われた。NFSのサポートは難しいらしい。NFSなんか使うな、という強引な意見も出ていた。

  • その他
    • Security-Enhanced Xを略して「SE-X」となっているが、このネーミングについては、本場の人もやっぱり問題を感じているらしい。
    • capability:sys_adminのうち、sethostnameがSELinuxで代替できない問題についてSmalleyに聞いてみた。NSAのもう一人の人がこの問題に取り組んでいるとか。が、色々難しいと言っていた(難しい理由が聞き取れなかった…)。

　

セッション2 Policy Development 9:30-12:00

ポリシーの開発に関する議論。仕切りはKarl Macmilan。
問題を洗い出すのが目的。どうやって実現するかはMLでdiscussion

  • Policyの利用形態について
    • Dan Walshによると、「システム管理者」「アプリケーションベンダ(オラクルとか)」「セキュリティ管理者」という利用層に分かれるとのこと。システム管理者は、ほどほどのセキュリティ。セキュリティ管理者は、完全な最小特権設定をする
  • システム管理者用のツールは?
    • 今ある物として、日本人達が作ったseeditとか、TresysのBrickWallとか。
    • audit2allow,audit2whyみたいなツールのさらなる充実が必要だろう
    • 何をつくればいいんだ?
    • Bastille的なもの?
  • アプリケーションベンダ用のツールは?
    • polgen?
  • セキュリティ管理者用のツールは?
    • TresysのIDE,refpolicyなど色々ある
  • refpolicyについての問題点
    • ソースのインストールが難しすぎる。学ぶためにやっぱりソースが欲しい。

→ 善処するとのこと。

    • マクロが細かすぎる。もっと上位レベルのマクロが欲しい。

→　これはその通りと認めていた。が、人手が足りないようで、contributeしてくれとFrankが呼びかけていた。

  • Tresysが、設定言語の拡張を提案。なにやら、interfaceの書式を含めるらしい。反対がなかったので、進めることに。
  • 海外さんの提案:パス名ベースの設定を楽にする方法
    • genfsconを全てのファイルシステムで使えるようにする
    • Stephenより。これは、できたとしても、lkmlでrejectされるだろうとのこと。実は、2.4の時代、genfsconは全てのファイルシステムをサポートしていたのだが、lkmlにrejectされたそうだ。
    • パス名←→ラベルの対応保証の目的ならば、inotifyを使ってはどうかと言われた。
    • 「dissatisfaction of SELinux」という表現が、皆にうけていた。身に覚えがあるに違いない。
    • Smalleyが、websphereのSELinux対応の仕事で単純化をやっている、と言うので、ついでに、Tresys Rasorではパス名ラベルはどうなの?と聞いてみた。Karlの返答はあいまいだった。Tresys Rasorはやっぱり極秘らしい。

セッション3 LSPPの議論 14:00-16:00

はっきり言って、全然分かりません!!!!!
私から、一つだけ発言。

  • MCS/MLSのラベルは国際化してるの?
    • 分からない、との結論。
    • じゃ、試しに日本語で確かめてね、とDanに言われた。宿題。

その他感想

SELinuxもだいぶ領域が広くなり、全てに詳しくなるのは非常に難しくなっているようだ。
#本場の人ですら、そうなのでちょっと安心。
そのせいか、細分化が進んでいる。
例えば、LSPPに詳しい人は、policyの最新動向に詳しくないし、その逆もしかり。
なので、policyのWGの時はLSPPの人々はほぼ沈黙。LSPPの時はポリシーの人々は沈黙。議論に参加できない人は眠そうだった。
　で、Karlは、最後に「LSPPのセッションは退屈だった」と素晴らしい感想を述べてくれた。Frank→Karlの教育が悪い(?)というジョークが飛んでいた。
セッションは2つに分けて同時並行にしたほうが効率が良かったかも。