История изменений

Кстати, вопрос тем, у кого Wheezy в пределах доступности - там в ядре есть SMACK?

к этому Чуду Инжереной Мысли есть какие-либо еще конфиги, кроме «unclassified, c, s, ts»?

это я к тому, что selinux, хотя и сложен, но является конструктором — т.е. дает возможность сделать то, что надо, а эта хрень, кмк, не является конструктором и соответственно не должна делать вид, будто является, и должна быть реализована без конфигов через lsm — достаточно жестко прошить соответствие первого ненулевого бита в юзер-ид-е с классом доступа

заодно такая прошивка позволит работать напрямую с инодом, а не с говнопутем, как SMACK

btw, для десктопного юзера был бы полезен простенький модуль ядра на эту тему, и даже еще проще — с одним уровнем иерархии «confidential» — именно, юзера с установленным определенным битом в ид-е обладают свойством — их world-readable файлы все равно невозможно прочесть unclassified юзерам (в ид-е которых бит не установлен), а так же confidential юзеры не могут писать в unclassified файлы, сокеты, разделяемую память и все остальное

понятно, что еще нужно прикрыть интернет для них, но тут есть iptables

Кстати, вопрос тем, у кого Wheezy в пределах доступности - там в ядре есть SMACK?

к этому Чуду Инжереной Мысли есть какие-либо еще конфиги, кроме «unclassified, c, s, ts»?

это я к тому, что selinux, хотя и сложен, но является конструктором — т.е. дает возможность сделать то, что надо, а эта хрень с виду не является конструктором и соответственно не должна делать вид, будто является, и должна быть реализована без конфигов через lsm — достаточно жестко прошить соответствие первого ненулевого бита в юзер-ид-е с классом доступа

заодно такая прошивка позволит работать напрямую с инодом, а не с говнопутем, как SMACK

btw, для десктопного юзера был бы полезен простенький модуль ядра на эту тему, и даже еще проще — с одним уровнем иерархии «confidential» — именно, юзера с установленным определенным битом в ид-е обладают свойством — их world-readable файлы все равно невозможно прочесть unclassified юзерам (в ид-е которых бит не установлен), а так же confidential юзеры не могут писать в unclassified файлы, сокеты, разделяемую память и все остальное

понятно, что еще нужно прикрыть интернет для них, но тут есть iptables