SELinux vs AppArmor(AA)の戦い
延々と続いているが、何となく根が見えてきた。
こちら
http://www.selinux.gr.jp/selinux-users-ml/200706.month/1918.html
でも書いたように、
SELinux陣営：「AppArmorが誇大広告をしている！絶対許せん！」
というのがあり、お互い感情的になってるように思える。
「MAC」「confinement」という用語は軽々しく使うと
「誇大広告だ」と怒られます。気をつけましょう。
で、今回の議論を一番よくまとめているのは↓の
Chris Wrightさん(LSMの論文のFirst Author）の発言だと思う
http://lkml.org/lkml/2007/6/22/424
AA陣営、SELinux陣営双方に提言している。
AA folks: deal with the VFS issues that your patchset have in a palatable
way (which does not include passing NULL when it's inconvenient to
do otherwise). You've already missed an opportunity with Christoph's
suggestions for changes in NFS. I know you've considered many alternative
approaches and consistently hit dead ends. But please note, if you
have coded yourself into a corner because of your policy language,
that's your issue to solve, not ours.SELinux folks: do something useful rather than quibbling over the TCSEC
definition of MAC and AA's poor taste in marketing literature. Here's
some suggestions:1) Make SELinux usable (it's *still* the number one complaint). While
this is a bit of a cheap shot, it really is one of the core reasons AA
advocates exist.
2) Work on a variant of Kyle's suggestion to squash the relevancy of AA.
3) Write an effective exploit against AA that demonstrates the fundamental
weakness of the model (better make sure it's not also an issue for
targetted policy).
AAに対しては、実装方法についてコミュニティに受け入れられるようにしろ、
と言っている。
どうやら、「パス名ベースだからカーネルに入らない」ということではなさそう。
となると、TOMOYO Linuxもチャンスがありそうだ。
SELinuxとの議論に明け暮れるよりも、各サブシステムの人々に
自分たちのパッチを入れてもらえるように働きかけるほうが、効率がよいのかも。
SELinux陣営についても、
「Make SELinux usable」と言っている(w
SELinuxが使えないからAAの出現を許すんだ！
ということだろう。
