LINUX.ORG.RU
Галерея — Скриншоты  

Tomoyo

 ,

Tomoyo

0

1

Tomoyo - мандатная система контроля доступа. Предусмотрены механизмы для автоматического и интерактивного формирования правил. В ядре Linux уже достаточно давно присутствует неполноценная версия 2.x (умеет только ограничивать доступ к ФС), для использования версии 1.x необходимо пропатчанное ядро. Также доступна Akari - версия Tomoyo в виде модуля, которую можно устанавливать на непатчанное ядро.

На скриншоте запущен ccs-editpolice (редактор правил доступа) в различных режимах, ccs-queryd (позволяет интерактивно отслеживать нарушения правил и при необходимости изменять их), показан выхлоп ccs-pstree (показывает дерево процессов с указанием применяемым для каждого процесса профиля и домена).

Ссылки:

http://tomoyo.sourceforge.jp/

http://akari.sourceforge.jp/

>>> Просмотр (1280x1024, 69 Kb)



Проверено: JB ()
Последнее исправление: Klymedy (всего исправлений: 2)
← Ubuntu Hello Kitty)
Viva la revolucia →

зачем реклама в галерее?

sambo ★★
()

Настроенный tomoyo на десктопе? Редко такое увидишь.

x3al ★★★★★
()
Ответ на: комментарий от tn1

>Реклама?

Это не реклама, просто вещь не очень известная, но для многих полезная. Может кому-то будет интересно.

csaiv
() автор топика

> показан выхлоп ccs-pstree (показывает дерево процессов с указанием применяемым для каждого процесса профиля и домена)

У всех процессов <kernel>? Это вообще как, нормально? Хотя, понятия не имею, что это означает.

mtfk ★
()
Ответ на: комментарий от mtfk

Не <kernel>, а, к примеру, <kernel> /bin/sh. Это значит, что процесс подчиняется правилам описанным в домене <kernel> /bin/sh.

csaiv
() автор топика

если можно коротко расскажите зачем нужен этот tomoyo.
сам почитал на ibm developer works и в вики стало интересно,но не понял как и для чего можно использовать.

alikhantara ★
()
Ответ на: комментарий от alikhantara

Я изначально искал механизм по ограничению доступа к сети для отдельных приложений (аналогично всяким оутпостам и зоналармам в оффтопике), чтобы выходить в интернет могли только те программы, которым это действительно нужно. traceroute на скриншоте не может найти ya.ru, поскольку для него не выделен домен с нужными разрешениями.

Также можно ограничивать доступ к файлам - к примеру, чтобы у приложений не было возможности смотреть в чужие дот-файлы, где могут храниться какие-нибудь важные личные данные, вроде паролей. Можно даже ограничить переменные окружения и фокусы с LD_* перестанут работать.

csaiv
() автор топика
Ответ на: комментарий от csaiv

Какая полезная штука. Сколько всего сразу можно поломать...

Axon ★★★★★
()

а тут будет срач SeLinux vs Tomoyo vs SMACK vs AppArmor? На самом деле я хотел бы его послушать

gaga ★
()

Поскольку скрин находится в галерее тут должны были быть комменты насчет ШГ, дефолта и прочего, но все про это забыли увидев Tomoyo.

tranceGemini ★★
()

Tomoyo полон кучи багов, и его, взломать намного легче, чем SELinux (особенно с grsecurity/PaX)

ИМХО, - игрушка. Да еще без толковой поддержки.

XVilka ★★★★★
()
Ответ на: комментарий от vasily_pupkin

Если имеется в виду file_pattern, то оно присутсвовало в 1.7.x, но было удалено в 1.8.x (причины: http://www.mail-archive.com/tomoyo-dev-en@lists.sourceforge.jp/msg00013.html). Была весьма удобная фича для обучающего режима, впрочем при использовании ccs-queryd несложно обойтись без неё (и без обучающего режима вообще).

csaiv
() автор топика

Welcome to 80-е. Экран небось ЖК, чтобы ВСЮ палитру цветов отображать?

Tataarujin
()
Ответ на: комментарий от vasily_pupkin

Если верить документации в 2.2.x (с 2.6.30 по 2.6.35) и 2.3.x (с 2.6.36) file_pattern присутсвует.

csaiv
() автор топика

Уныло и безрадостно

ipwww ★★
()

Интересная вещь. Хотел попробовать, но патч для 1.7 из дебиановского репозитория не накладывается на дистрибутивное же ядро — каким местом его тестировали? :(

GotF ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Ubuntu Hello Kitty)
Скриншоты
Viva la revolucia →