2006年3月21日

[selinux-users:01479] Re: refpolicyはじめました


中村です。
ちょっとご無沙汰してました。

On Sun, 19 Mar 2006 22:52:04 +0900
Shintaro Fujiwara wrote:
> クライアントマシン(FC4)にrefpolicを入れてみました。
> 約1時間でこのメールの最後までできました。

FC4でやるとは!

> リンクは、
> http://serefpolicy.sourceforge.net/index.php
> です。考え方を読むと、今勉強中のオブジェクト指向っぽい。
> ソースがまる見えでは安全ではないと言っている。ですね。
> モジュールにして、ロードしたり外したり柔軟性を持たせたいと。
> FLASKアーキテクチャに則っていますな。
> ポリシをどう書くかはまだわかりませんが、おそらく
> テンプレートとかインターフェースとかあって、仮想関数になっているんでしょう。
「インターフェース」
というのは、タイプにアクセスするためのマクロです。
例えば、httpd_tドメインに関する設定ファイルの中で、
「httpd_homepage_t」
というタイプを宣言したならば、
「他のドメインがこのタイプにアクセスする場合は、
インターフェースと呼ばれるマクロを定義してアクセスする必要がある」
というルールになってます。
(実際はこのルールに従わなくともポリシのコンパイルは通りますが)
httpd_homepage_tにhoge_tドメインが読みこみアクセスする場合は
homepage_read(hoge_t, httpd_homepage_t)
のようなインターフェースマクロを作るのだと思います。

「テンプレート」というのは、普通のマクロです。

なお、私はこの辺の思想を理解しきってません。
「インターフェースマクロを通してタイプにアクセスする」
ということの良さが分かってないです。

C++の場合、変数へのアクセスのしかたは「変数のセット又は値を得る」
の二通りあればいいので、変数へアクセスする関数は2つでなんとかなると思うのですが、
SELinuxのタイプの場合、
「タイプへのアクセスは、パーミッションの数だけある」
ので、
「最悪の場合、パーミッションの数(700個超)だけマクロを用意しなければならない」
ことになり、マクロ地獄が発生する???
実際どうなるか、現在実験中なのかも。

> すいません、また適当な事言っちゃいました。
> じゃ、報告します(懐かしいな、人柱報告ってやつですネ)。
> 去年と大違いなのは、自作の分析ツールを使えることです。
> ログをマクロ化してくれます。楽です。
refpolicyのマクロを生成するツールというのが、
まだないそうです。
Tresysの人が、シンポジウムの講演の中で、
「refpolicyのマクロを生成するツールを作りたい」
と言ってたのですが、その本人に聞いてみたら
「難しいだろうね…」とか言っていて、案外やる気がなさそうでした。
ログからrefpolicyのマクロを生成するツールを作れば、
人気者間違いなしです。

Yuichi Nakamura

投稿者 xml-rpc : 2006年3月21日 01:33
役に立ちました?:
過去のフィードバック 平均:(0) 総合:(0) 投票回数:(0)
本記事へのTrackback: http://hoop.euqset.org/blog/mt-tb2006.cgi/33637
トラックバック
コメント
コメントする




画像の中に見える文字を入力してください。