2006年4月 8日

[selinux-users:01496] Re: AppArmorの話題


中村@AppArmor調査中 です。

On Fri, 7 Apr 2006 09:42:39 +0900
omok (Kazuki Omo) wrote:
> 古い話題ですが、AppArmorが、こちら(Full-Disclosure)
> でもネタになってます。
> http://www.forbiddenweb.org/viewtopic.php?id=85799


Crispinさんが、AppArmorの宣伝(?)に登場してるんですかね?
彼は、どうやら、AppArmorの主要人物のようです。
http://forge.novell.com/modules/xfmod/project/memberlist.php?group_id=1864
Project Managerとなってます。

このCrispinさんのホームページを見てみると、、
http://crispincowan.com/~crispin/
AppArmorのアクセス制御モデルであるSubDomainの論文の主著者になってます。
http://crispincowan.com/~crispin/subdomain.pdf
LSMの論文にも名前を連ねてますね。
LSMの論文見ると、SELinux陣営の名前も。

ついでに、今、OpenSuse10.1b9のAppArmorを使ってみてますが、その感想を。
まずは、AppArmorの良い点を。
イメージとしては、「デフォルトは許可で、保護したいものだけ、ドメインをあたえていく」
と言う感じです。
また、設定項目も非常に少ないし、ラベルがないため、とても簡単です。
わざわざ面倒な書式,作法を覚える必要はないです。
マクロ地獄もありません。
SELinuxをマスターするのに、教育5日(すごくいい加減な数値です!!)だとすると、
AppArmorマスターの教育は1,2日ぐらいだと思います。
以下のページをみるぐらいで使えます。
http://en.opensuse.org/Apparmor
http://forge.novell.com/modules/xfref_library/detail.php?reference_id=2691

次に、SELinuxのほうが優れている点を。
SELinuxのような
「情報フローが検証可能なセキュリティ」
「LSPP準拠セキュリティ」
「RBAC」
については、AppArmorは実現不能です。
また、AppArrmorのアクセス制御粒度は荒いです。
- ファイル:「読み、書き、実行、消去」パーミッション
- POSIX Capability
のみです。
ネットワークアクセス制御、プロセス間通信の制御はないです。
ネットワークアクセス制御は、
最初に公開されたバージョンにはあったのですが、
OpenSuse10.1では,なぜか外れているようです。

さらについでに。。。
LIDSと比べると....
- AppArmorは、カーネルレベルで、「パス名」をアクセス制御に使っている
 一方、LIDSは、「iノード」をアクセス制御に使っている。iノード番号が変わる場合はLIDSが不利。
- TPE機能などとの比較は私はできません。。。

TOMOYOと比べると..
- 双方「パス名」をアクセス制御に使っているのは一緒
- TOMOYOのほうが粒度が細かい(LSMに束縛されない)
LSM使わない分、インストールはTOMOYOのほうが大変そう。
- TOMOYOは、「デフォルト拒否を学習でポリシーを作っていく」という方針。
AppArmorは、守りたいデーモンだけ保護する方針。

---
Yuichi Nakamura

投稿者 xml-rpc : 2006年4月 8日 01:15
役に立ちました?:
過去のフィードバック 平均:(0) 総合:(0) 投票回数:(0)
本記事へのTrackback: http://hoop.euqset.org/blog/mt-tb2006.cgi/34523
トラックバック
コメント
コメントする




画像の中に見える文字を入力してください。