Re: [gentoo-user-ru] capabilities

[Alexander Tiurin]

Сейчас режим обучения RBAC я не назвал бы продвинутым,  хотя ранее я с

ним не работал.  Прмерно %30-50 он генерит верно. Хотя еще от

приложения зависит. У меня в топе по занудству это postfix. Примерно

более недели создавал для него правила как методом обучения так и

простым просмотром логов и создания правил вручную.



30 сентября 2013 г., 16:56 пользователь Alex Efros

<powerman@××××××××.name> написал:

> Hi!
>
> On Mon, Sep 30, 2013 at 07:38:51PM +0800, Pavel Labushev wrote:
>> Так и есть. Практика показала, что вместо возни с suidctl.conf,
>> патчами и DAC-разрешениями на setuid-бинарники, гораздо надёжнее и
>> почти так же просто написать простые разрешительные правила RBAC,
>> жёстко ограничивая только привилегированные процессы, включая
>> гадость вроде consolekit и policykit. К тому же, потом эти правила
>> можно дополнять всем, к чему душа ляжет.
>
> Да, звучит разумно. Я так и не добрался до GrSec's RBAC/RSBAC/SeLinux.
> SeLinux слишком переусложнён, RSBAC несовместим с GrSecurity, на AppArmor
> я не смотрел. Самым привлекательным вариантом выглядит RBAC из GrSecurity,
> но когда я много лет назад пытался с ним разобраться правила
> сгенерированные режимом обучения были во-первых слишком большие и сложные,
> а во-вторых нерабочие (много приложений глючило/падало и в каждом случае
> уходило довольно много времени на то, чтобы выяснить что виноват RBAC и
> поправить его правила).
>
> Идея использовать вместо режима обучения простые разрешительные правила по
> умолчанию и постепенно их дополнять ручными ограничениями отдельных
> приложений выглядит соблазнительно в плане сложность/безопасность.
> Этот подход где-то документирован (статьи, примеры, etc.)? Можете выложить
> свои правила в качестве примера/стартовой точки?
>
> --
>                         WBR, Alex.