2006年2月22日

[selinux-users:01434] Re: ラベルvsパス名

On Wed, 22 Feb 2006 01:50:36 +0900
Yuta Yamamoto wrote:
> ラベルベースというのは、考え方を変えると
> ラベルによって抽象化したアクセス制御が書けるということなのだと思います。

> 再利用という観点で考えるとラベルベースのほうが適している気もします。

> アクセスを抽象化し、まとめるためにラベルは必要なのではないでしょうか。

まさしくその通りだと思います。

> 中村さんの言う一つのファイルに、というのは非常に同意です。
> 一つのファイルに一つのラベルしか付与出来ないために、
> システム全体で、あるラベルがどのリソースに付与されているかを把握していないと
> コンフリクトを起こす可能性があるために複雑さが増しているような気も。
おっしゃる通り、SELinuxの実装だと、
ラベルのコンフリクトが大問題ですね。
ファイルのラベルを変えてしまうと、
そのファイルにアクセスしている他のドメインがアクセスできなくなってしまう。
これのせいで、「ラベルベースがわかりにくい」となっているわけですね。
で、SELinux Policy Editorを作ることを決心したわけなのですが。

なお, SELinuxの
MCS/MLSでは、ファイルが複数のカテゴリに所属できるようになっています。
この辺は、ラベルベースの良さがダイレクトに現れるかもしれません。

ちなみに
http://danwalsh.livejournal.com/424.html
のコメントを見てみると
- パス名賛成意見
 パス名のほうがわかりやすい、カスタマイズをしたい場合はパス名ベースが適している(逆にポリシーが固まっているならラベルベースも良い)
- パス名ベース反対意見
 パス名ベースはセキュリティじゃない(パス名はセキュリティの意味を含まないので)
 過去の教訓からパス名は駄目だと分かっている

と賛否あるようです。 私自身は、SELinux Policy Editorを作った当初は
パス名大賛成だったのですが、ラベルの良さも分かってきた今日この頃です。
うまく好みに合わせてハイブリッドにできないかな。

----
Yuichi Nakamura


投稿者 xml-rpc : 2006年2月22日 02:28
役に立ちました?:
過去のフィードバック 平均:(0) 総合:(0) 投票回数:(0)
本記事へのTrackback: http://hoop.euqset.org/blog/mt-tb2006.cgi/32012
トラックバック
コメント
コメントする




画像の中に見える文字を入力してください。