Forum Debian Users Gang

[root@proton linux]# cat .config | grep -i selinux
CONFIG_SECURITY_SELINUX=y
CONFIG_SECURITY_SELINUX_BOOTPARAM=y
CONFIG_SECURITY_SELINUX_BOOTPARAM_VALUE=1
# CONFIG_SECURITY_SELINUX_DISABLE is not set
CONFIG_SECURITY_SELINUX_DEVELOP=y
CONFIG_SECURITY_SELINUX_AVC_STATS=y
CONFIG_SECURITY_SELINUX_CHECKREQPROT_VALUE=1
CONFIG_SECURITY_SELINUX_POLICYDB_VERSION_MAX=y
CONFIG_SECURITY_SELINUX_POLICYDB_VERSION_MAX_VALUE=19
# CONFIG_DEFAULT_SECURITY_SELINUX is not set

Niby wszystko jest, ale nie ma.

Kod:

# CONFIG_DEFAULT_SECURITY_SELINUX is not set

Pokaż wynik:

cat /proc/cmdline

Dodaj do cmdline:

security=selinux  selinux=1

Powinno radykalnie pomóc.

PS.
W 7 niebie to będziesz, jak się SELinux nie skicha z powodu Grsec/Paxa,
a system ruszy na PAX_MPROTECT.

Ostatnio edytowany przez Jacekalex (2015-09-02 18:34:34)

To samo, co w Debianie Squeeze, włączenie SELinuxa, dwukrotne markowanie wszystkich plików, reboot, i czarna konsola, bo SELinux w trybie targeted ubił proces /sbin/init, na dystrybucyjnym jaju bez Grseca.

Ale zdawało mi się, że CentOS ma Selinuxa włączonego i skonfigurowanego domyślnie. :D

To teraz  zabawa z logami AVC i czary z debugerem, jak SELinux czegoś nie zaloguje.

Jak dotąd, Grsec, Pax  i Selinux udało mi się ożenić tylko na Gentusiu,
a było z tym ze 2 tygodnie gimnastyki za pierwszym razem. ;P

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2015-09-03 03:09:29)

selinux z grsecurity zajmują się tym samym, a więc kolidują ze sobą.

Niezupełnie tym samym, Grsecurity to kilka różnych technik, w których RBAC (ACL) to jeden z modułów używanych opcjonalnie.
Selinux to praktycznie wyłącznie ACL, chociaż rozbudowany do granic korpoabsurdu.

Jak pierwszy raz zobaczyłem oznaczanie pakietów sieciowych przez firewall w tablicy SECURITY, żeby miały prawidłowe konteksty selinuxa,
to myślałem, że ktoś spadł na głowę z diabelnie wysokiego budynku.
RBAC w Grsec po prostu pozwala albo nie pozwala wisieć demonowi na określonym porcie, i gotowe.
W standardowym Linuxie jest od tego mechanizm CAPABILITIES albo Cgroup.

System, który nie wstaje po włączeniu selinuxa przez cmdline, na 99,9 % ma problem z jakąś binarką, która się pogryzła wlaśnie z paxem, albo zablokowany dostęp do /dev/mem, /dev/kmem lub /dev/port, albo jakaś z innych technik może bruździć, np HARDEN_IPC

W każdym razie, póki nie włączysz w Grsecu RBAC, to nie powinno być kłopotu z Selinuxe.

@bryn1u
Odpal SELinuxa w trybie Permisive, i dopiero po starcie włącz przez setenforce, a potem zobacz w logach Grsec i Selinuxa, co się dokładnie dzieje.

Ostatnio edytowany przez Jacekalex (2015-09-04 18:28:25)