Forum Debian Users Gang

Jeśli SELinux to raczej w rodzinie RH, tam domyślne polityki działają ;-)

pasqdnik@nx7300:~ # uname -a
Linux nx7300.k_53_13 2.6.32-358.2.1.el6.x86_64 #1 SMP Wed Mar 13 00:26:49 UTC 2013 x86_64 x86_64 x86_64 GNU/Linux
pasqdnik@nx7300:~ # sestatus
SELinux status:                 enabled
SELinuxfs mount:                /selinux
Current mode:                   enforcing
Mode from config file:          enforcing
Policy version:                 24
Policy from config file:        targeted

"SELINUX - to  w ogóle jest zabawka dla RHEL."

SELinux to mechanizm jądra Linux, a te używane jest w każdej dystrybucji. Różnica polega tylko na tym, że w dystrybucjach z pod znaku RH polityka jest dopracowana - i to jest cała różnica - polityka, a nie sam mechanizm SELinux.


"a wystarczy włączyć u mnie targeted permisive, żeby GDM się wysypywał"

W trybie permissive SELinux nie blokuje niczego.



"...Grsecurity z potężnym systemem ACL, przewyższającym możliwości trybu Selinux strict"

hahaha x2 (czytaj http://www.cs.virginia.edu/~jcg8f/SELinux%20grsecurity%20paper.pdf)

Natomiast co do AppArmor to on nie kontroluje programów tylko pliki. Kontrolować proces to on może w taki sposób, że ktoś go może uruchomić albo nie, ale po uruchomieniu jego działania (poza dostępem do innych plików) nie są kontrolowane. W ścisłym znaczeniu AppArmor nie jest mechanizmem modelu MAC. (czytaj: http://w3.linux-magazine.com/issue/69/AppArmor_vs_SELinux.pdf)

Tak się składa , że Mr  Grzesiek ma taką maszynę z Selinuxem do testowania http://grzesieklog.blogspot.com/p/selinux.html
Dostajesz roota i możesz się pobawić -> przejąć nad nią kontrole, używać exploitów -> no wsjo co chcesz. 


Ja już się bawiłem  ]:->

Nie mogę się oprzeć aby sprostować wypisywane przez Ciebie teorie :)

Grsecurity po włączeniu trybu poprzez Gradm zapewnia całkowitą kontrolę ACL plików i gniazd sieciowych w całym systemie, do takiego poziomu ochrony w Selinuxie trzeba odpalić tryb strict.

Całkowita kontrolę mówisz, ciekaw jestem czy w grsecurity prawo obiektu "a" wyklucza "r" - innymi słowy mówiąc, czy "a" nie oznacza automatycznie również czytania?

W SELinux wszystkie gniazda są kontrolowane nawet w polityce typu targeted (nie trybie, tryby są 3: disabled, permissive i enforcing). A wiesz dlaczego, bo SELinux to implementacja modelu MAC, a MAC oznacza wymuszoną kontrolę i stosuje wymuszone etykietowanie i wymuszone sprawdzanie wszystkiego.

Apparmor tak samo jak Selinux w trybie targeted i Gardm jest systemem ACL, kontroluje dostęp do plików, należy jednak pamiętać, że w Linuxie wszystko jest plikiem.

AppArmor jak już pisałem nie jest tym samym co SELinux, a już na pewno SELinux nie jest mechanizmem typu ACL! A gradm też nie jest mechanizmem tylko narzędziem do zarządzania Grsecurity. Więc SELinux nie kontroluje tylko dostępu do plików, a w systemie GNU/Linux nie wszystko jest plikiem - np. proces, komunikacja pomiędzy nimi.
Załóżmy, że użytkownik U ma dwa procesy A i B, oba zajmują się innymi zadaniami. Czy w Grsecurity można zrobić tak, aby procesy te nie miały dostępu nawzajem do swoich danych mimo iż pracują w ramach tego samego użytkownika? Bo w DAC proces A może np. czytać dane procesu B, ba może nawet zmienić ich prawa, tak aby wszyscy mogli usuwać dane procesu B :)

Pod tym względem wszystkie systemy ACL działają jednakowo, natomiast SElinux w swojej najpotężniejszej postaci nie dorobił się żadnego mechanizmu zapewniającego ochronę przed expolitami działającymi w pamięci RAM, co łatka Grsecurity załatwia obecnością PAX_MPROTECT  i kilkoma innymi mechanizmami.

Co za głupota. Wszystkie programy działają w pamięci RAM w tym i exploity, przed którymi "w swojej najpotężniejszej postaci" SELinux chroni :)

Standardowy Red Hat na jaju 2.6.32 miał niedawno nawet dziurę pozwalającą z dowolnego konta manipulować procesami roota przez pliki w /proc, jak na aktywnego SElinuxa, to niezłe osiągnięcie.
Sznurek:
http://www.securityfocus.com/bid/46567
Dla porównania w Grsecurity restrykcje /proc są dostępne z buta bez żadnej specjalnej konfiguracji, wystarczy zaznaczyć 2 opcje  w konfigu kernela.

heheh nie wiem czy dam rade do końca to prostować... ale ok
Co za głupoty ;)

a) użytkownik ograniczony w SELinux nie może zmieniać plików w katalogu /proc
b) w tym linku co podałeś nie ma słowa o SELinux
c) ale skoro już, to pewnie że nie broni, bo domyślnie po instalacji SELinux wszyscy użytkownicy pracują w domenie unconfined_t i trzeba o tym wiedzieć ;) a wiesz czemu tak jest, bo tacy jak ty o tym nie wiedzą i potem by wystawiali opinię dla systemu, że nie działa.

SElinux, to jest mocna przewaga formy na treścią...

Nie zawsze najprostsze rozwiązania są najlepsze.
Nie zawsze skomplikowane rozwiązania są złe.

A jak wygląda support w Selinuxie?
Ile kosztuje?

Jak dla Ciebie 4000 PLN ;)

Powiem tak, co do Twoich wypowiedzi na temat SELinux to wynika z nich, że po prostu nie rozumiesz modelu MAC.
Tym bardziej dalej nie rozumiem czemu w to brniesz...

Chyba nie wiesz do końca po co i do czego jest jail.

16.3. Introduction

Since system administration is a difficult and perplexing task, many powerful tools were developed to make life easier for the administrator. These tools mostly provide enhancements of some sort to the way systems are installed, configured and maintained. Part of the tasks which an administrator is expected to do is to properly configure the security of a system, so that it can continue serving its real purpose, without allowing security violations.

One of the tools which can be used to enhance the security of a FreeBSD system are jails. Jails were introduced in FreeBSD 4.X by Poul-Henning Kamp <phk@FreeBSD.org>, but were greatly improved in FreeBSD 5.X to make them a powerful and flexible subsystem. Their development still goes on, enhancing their usefulness, performance, reliability, and security.
16.3.1. What is a Jail

BSD-like operating systems have had chroot(2) since the time of 4.2BSD. The chroot(8) utility can be used to change the root directory of a set of processes, creating a safe environment, separate from the rest of the system. Processes created in the chrooted environment can not access files or resources outside of it. For that reason, compromising a service running in a chrooted environment should not allow the attacker to compromise the entire system. The chroot(8) utility is good for easy tasks which do not require much flexibility or complex, advanced features. Since the inception of the chroot concept, however, many ways have been found to escape from a chrooted environment and, although they have been fixed in modern versions of the FreeBSD kernel, it was clear that chroot(2) was not the ideal solution for securing services. A new subsystem had to be implemented.

This is one of the main reasons why jails were developed.

Jails improve on the concept of the traditional chroot(2) environment in several ways. In a traditional chroot(2) environment, processes are only limited in the part of the file system they can access. The rest of the system resources (like the set of system users, the running processes, or the networking subsystem) are shared by the chrooted processes and the processes of the host system. Jails expand this model by virtualizing not only access to the file system, but also the set of users, the networking subsystem of the FreeBSD kernel and a few other things. A more complete set of fine-grained controls available for tuning the access of a jailed environment is described in Section 16.5, “Fine Tuning and Administration”.

A jail is characterized by four elements:


A directory subtree — the starting point from which a jail is entered. Once inside the jail, a process is not permitted to escape outside of this subtree. Traditional security issues which plagued the original chroot(2) design will not affect FreeBSD jails.


A hostname — the hostname which will be used within the jail. Jails are mainly used for hosting network services, therefore having a descriptive hostname for each jail can really help the system administrator.


An IP address — this will be assigned to the jail and cannot be changed in any way during the jail's life span. The IP address of a jail is usually an alias address for an existing network interface, but this is not strictly necessary.


A command — the path name of an executable to run inside the jail. The path is relative to the root directory of the jail environment.

Apart from these, jails can have their own set of users and their own root user. Naturally, the powers of the root user are limited within the jail environment and, from the point of view of the host system, the jail root user is not an omnipotent user. In addition, the root user of a jail is not allowed to perform critical operations to the system outside of the associated jail(8) environment. More information about capabilities and restrictions of the root user will be discussed in Section 16.5, “Fine Tuning and Administration” below.

Raczej chodzi Ci o MAC  Mandatory Access Control
http://www.freebsd.org/doc/handbook/mac.html

jail jest rodzajem zwirtualizowanego systemu szczelnie zamkniętego w więzieniu w systemie gospodarzu. Taki system w systemie  i z  bezpieczeństwem głównego systemu nie ma nic wspólnego. Jak chcesz utwardzac bsd http://www.trustedbsd.org/

Ostatnio edytowany przez Yampress (2013-06-27 20:02:45)

Przywołany przeze mnie błąd nie dotyczy SElinuxa?

W końcu zrozumiałeś :)

CONFIG_GRKERNSEC_PROC=y

znaczy więcej, niż całe twoje opowieści o domenie unconfirmed.

unconfined_t a nie unconfirmed_t, ponad to domena ta oznacza małe ograniczenia, myślałem, że o tym wiesz :(

natomiast  alternatywy dla  Paxa w SElinux nie ma i nie było.

i nie miało być, to są dwa różne zagrożenia, SELinux chroni przed eskalacją a nie przed sztuczkami w przestrzeni procesu. SELinux nie jest all-in-one.

I chyba jest ten SElinux niezwykle "skuteczny" skoro do separacji uprawnień  w FreeBSD wystarcza jail, przy Grsecurity nawet  chroot z GRKERNSEC_CHROOT, za to przy SElinuxie jedyny skuteczny sposób, to podobno wirtualizacja

Nie wypisuj głupot, którymi tylko udowadniasz, że nie znasz SELinux, bo właśnie zaprzeczyłeś całej idei SELinux.

W  tym miejscu Grsec jest znacznie łatwiejszy od SElinuxa, jest też łatwiejszy od MAC w FreeBSD.

SELinux to właśnie pierwotna i najobszerniejsza implementacja modelu MAC.
Grsecurity jest łatwiejszy bo nie oferuje tak dużych możliwość i tyle. AppArmor też jest łatwiejszy, również kosztem możliwości. W bezpieczeństwie jaki i w łamaniu zabezpieczeń nie ma prostych dróg :)

The US military (and others) trust SELinux with their information, shouldn’t you?

SELinux – Because life is too simple.