2007年11月14日

[selinux-users:02052] Re: LSMの作り方で質問

海外です。

> 現状のTOMOYOのLSM対応版の場合、カーネルコンパイル時の
> コンフィグでSELinuxを無効にする必要があります。
> http://tomoyo.sourceforge.jp/wiki/?TOMOYO-LSM#c1397ea0
> カーネルでSELinuxが組み込まれていると、
> /etc/selinux/configでDisabledにしてもTOMOYOは動作しません。

この場合、selinux=0 で SELinux を無効化できるのと同様に、
capability.disable=1 をカーネル起動オプションに加える事で
POSIX CapabilityモジュールがLSMに乗っかる事を抑制できます。

TOMOYOの場合、本体にも修正が必要なのでこれだけでFedoraのカーネルに
モジュールを突っ込んで『ハイ、OK!』とは行きませんが、同じカーネルで
SELinuxと併用可能というオプションは一考の価値があると思います。

あと、上記の記述によると排他利用となっている POSIX Capability の
機能ですが、security/commoncap.c で定義されている関数群を TOMOYO の
中から呼ぶことで(SELinuxがsecondary_opsを呼んでいる部分で)、
Capabilityと両立する事も可能だと思います。
# なぜかこの辺の関数の EXPORT_SYMBOL() が、2.6.24-rc2 でまるっと
# 消えていますが、例のLSM-static論争の影響と思われますので、指摘す
# れば元通りになると思います。

ちなみに、register_security()が失敗した時の動作ですが

RootPlug = エラーログを吐いて呼出元に -EINVAL を返す
Capability = エラーログを吐いて呼出し元に -EINVAL を返す
SELinux = 俺様を登録できないとは何事だ!panic()してやる!

お後がよろしいようで。
--
KaiGai Kohei <kaigai@xxxxx>

投稿者 xml-rpc : 2007年11月14日 17:45
役に立ちました?:
過去のフィードバック 平均:(0) 総合:(0) 投票回数:(0)
本記事へのTrackback: http://hoop.euqset.org/blog/mt-tb2006.cgi/66431
トラックバック
コメント
コメントする




画像の中に見える文字を入力してください。