Les personnes qui ont un usage réellement utile de SELinux me semblent aussi nombreuses que les militaires dans la population générale, soit une proportion congrue.
Tu sembles considérer que tout le monde à le besoin d'avoir de multiples couches de sécurité et durcir tous les couches, ce n'est généralement pas le cas dans la vrai vie...
Je n'ai jamais dis que SELinux était moins puissant que les acls.
Je pense avoir voulu dire que dans 99% des cas, les acls suffisent.
Pour une application web par exemple et ça va se borner à des bons vieux :
setfacl -m u:apache:rwX vers/le/cache
setfacl -m u:apache:r /etc/app.conf
Quel intérêt d'aller explique que php peut rien exécuter dans vers/le/cache, tu peux très bien configurer apache-mod_php en collant un RemoveType .php sur le répertoire qui suffira largement.
Passé un temps SELinux marchait même pas sur XFS par défaut, fallait changer la taille par défaut de l'inode de 128 à 512 à la création du filesystem...
[^] # Re: pourquoi ?
Posté par Raphaël G. (site web personnel) . En réponse à la dépêche CentOS se saborde‐t‐elle ?. Évalué à 0.
Je pensais avoir choisi mes mots avec soin.
Les personnes qui ont un usage réellement utile de SELinux me semblent aussi nombreuses que les militaires dans la population générale, soit une proportion congrue.
Tu sembles considérer que tout le monde à le besoin d'avoir de multiples couches de sécurité et durcir tous les couches, ce n'est généralement pas le cas dans la vrai vie...
Je n'ai jamais dis que SELinux était moins puissant que les acls.
Je pense avoir voulu dire que dans 99% des cas, les acls suffisent.
Pour une application web par exemple et ça va se borner à des bons vieux :
setfacl -m u:apache:rwX vers/le/cache
setfacl -m u:apache:r /etc/app.conf
Quel intérêt d'aller explique que php peut rien exécuter dans vers/le/cache, tu peux très bien configurer apache-mod_php en collant un RemoveType .php sur le répertoire qui suffira largement.
Passé un temps SELinux marchait même pas sur XFS par défaut, fallait changer la taille par défaut de l'inode de 128 à 512 à la création du filesystem...