seeditとAppArmor

色んな意味で時間が全く無い今日この頃。。

たまに、seedit関連キーワードでGoogleをかけて、ネット上の反応を見ている。
こんな記事を見つけた。
https://lists.ubuntu.com/archives/ubuntu-hardened/2006-September/000159.html

AppArmorネ申がseeditについて言及しているのを発見。

> Besides, with seedit, the policy language syntax was
> copied from Apparmor in large parts:
> http://seedit.sourceforge.net/ note that sf is dead right now.
Leaving out only the important part: dynamic binding.

The SEEdit system is a remarkable work, compiling a syntax that looks
almost exactly like AppArmor into SELinux labels and policies. To
enforce such a policy, it does a massive re-label of your file system.
If you make one change to any profile, you have to re-label the *entire*
file system, because of the transformation that SEEdit has to do to AA
rules to turn them into labels. Worse, because it depends on labels, the
policy is only effective on files that existed at the time you loaded
the policy: any *new* files don't get the right label, and so the policy
doesn't work right.

最初の一文だけ褒めてくれてありがとう(笑
> If you make one change to any profile, you have to re-label the *entire*
file system,
「一行変えるたびに全部のリラベルが必要」といってるぞ。まじかよ。
あと、AppArmorを知る以前からseeditがあったことも知って欲しいなぁ。
９月の投稿だし、この投稿にレスするのはもう手遅れか。

>Worse, because it depends on labels, the
>policy is only effective on files that existed at the time you loaded
>the policy:
これはその通り。FAQに書かねばかも。
パス名ベースのアクセス制御は楽でうらやましい。。

because Linux users
mostly care a lot more about intrusion prevention and ease of use than
they do about information assurance.

この辺は、私も思想は一致している。
「Information assurance」なる大層なものは，軍隊しか欲しがらないだろう。
もっとも、「難しい目標に向かうことこそ意味がある」っていう人もいるが。
そっち方面の開発は、既に人材がいるし、SELinuxネ申達にお任せしたい。

にしても、AppArmorネ申も必死だなぁ。頑張ってほしい。

2.1.0の開発は、インストール、アンインストールテストでコケてますorz