Введение в использование категорий SELinux

интересная статья.

хороший цикл статей, да.

только из-за отсутствия объяснений, как это все работает кажется, будто читаешь мелкомягкую КВ.

"Нажмите кнопку мыши на этой кнопочке, а потом вон на той кнопочке. Еще можно перещелкнуть воон ту пимпочку" :)

Лучше бы написали, как сделать respin федоры, чтоб выдернуть оттуда весь selinux нафиг. Все равно дома он не нужен.

просто, либо загрузиться с параметром к ядру, либо в конфиге selinux указать что он задизаблен.

по хорошей лоровской традиции не ходил по ссылке. но вопрос все равно есть.

>(в том числе и администратору)

грубо говоря, можно ограничить доступ админа в домашнюю директорию, однозначно и безповоротно?

Посмотри внимательно на документацию _на_диске_ с дистрибутивом, в /usr/share/doc/<чего-нибудь-selinux>/ -- а вдруг?!! Google(fedora turn selinux off) http://docs.fedoraproject.org/selinux-faq-fc5/#id2962490 и вокруг http://www.linuxforums.org/forum/linux-tutorials-howtos-reference-material/31... ~~"Turning SELinux off"

> грубо говоря, можно ограничить доступ админа в домашнюю директорию, однозначно и безповоротно?

Не совсем.

можно если домашняя директори размещена на afs OR dfs

>Не совсем.

Жаль, а подробнее?

>можно если домашняя директори размещена на afs OR dfs

А подробнее?

>Лучше бы написали, как сделать respin федоры, чтоб выдернуть оттуда весь selinux нафиг. Все равно дома он не нужен.

Не дает сделать make install ?

> Не дает сделать make install ?

Нет. Он идеологически не нужен. По крайней мере я никакой нужды в нем не испытываю, поскольку я единственный юзер на своей домашней машине и в 99% случаев знаю, что делаю.

Отключить конечно его можно. Но overhead останется - даже для /bin/ls.

> поскольку я единственный юзер на своей домашней машине

уверен? =)

интересная статья. а где бы почитать про содержательную часть политик: внутреннюю организацию, алгоритмы установки и проверок? хочется что-то уровнем выше, чем копание в коде, а то вообще мрак...

> грубо говоря, можно ограничить доступ админа в домашнюю директорию, однозначно и безповоротно?

да, как в китайской метафоре - старик отточеным движением сабли отрезает свои же яйца

> поскольку я единственный юзер на своей домашней машине

>> уверен? =)

уже нет =(

> грубо говоря, можно ограничить доступ админа в домашнюю директорию, однозначно и безповоротно?

Насколько помню идеалогически все смотрится так : root может настраивать SELinux, он может ограничить себе доступ в /home. Если он снимет это ограничение - тогда это отразится в логах и с него просят. Если он почистит логи, то это отразится в тех же самых логах и с него опять же спросят.

От администратора защищаться бесполезно, но контролировать его действия можно.

А если админ перед последней чисткой логов эти самые логи отключит? Или не совсем отключит, а каким-нибудь способом сотрет например, загрузившись ночью с флешки :)

И для контроля логов поидее надо второго админа чтоб он проверял логи первого админа, да еще и чтоб они не сговорились...

Кто сторожит самих сторожей?

именно.

quod custodiet custodes?

Отдел безопасности, наверное, который сам находится под контролем какого-нибудь отдела внутренних расследований и т.д. :)

>Отдел безопасности, наверное, который сам находится под контролем какого-нибудь отдела внутренних расследований и т.д. :)

Отдел красноглазых Селинуксоидов?