refpolicyとSEditのポリシサイズを計測

SELinux 組込み

refpolicyもちょっと試してみた。

refpolicy

refpolicyで
ntpd,named,klogd,syslogd,httpd,sshd用のポリシモジュールだけを作って、
（実際には依存関係上、他のモジュールを含めざるをえなかった。頑張れば削れるかも）
targetedにして、モジュールオフにして、ポリシのサイズを計測。
policy.20 -> 163.296k
file_contexts ->42.781k
合計: 206.077k
＃ちなみに、モジュールサポートすると、40Mぐらい食います（笑

SEEdit

SEEditで、上と同じアプリ用のポリシのサイズ。

  • ダイエット無し

policy.20 -> 69.266k
file_contexts -> 10.015k
合計 -> 79.281k

  • SEDietレベル１

policy.20 -> 53.222k
file_contexts -> 10.015k
合計->63.237k

  • SEDietレベル2

policy.20 -> 44.937k
file_contexts -> 7.204k
合計 -> 52.141lk

SEEditのほうが、軽いポリシを作りやすいのは間違いない。
＃refpoilcyのほうが堅いとは思うが。。

refpolicyも、組込みに使おうとするならば、
「最小セットのrefpolicy」を作る必要があるだろう。
今のrefpolicyは、「フル装備のところから削っていく」
という感じだが、
組込み用は、「最低限のbaseモジュールに、少しづつ加えていく」
というイメージ。
これをちゃんとやれば、SEEdit並みのサイズは実現できる気もする。