> Ah bon c'est AppArmor qui "impose" LSM ? Et comment il fait pour l'imposer ? Il met un pistolet sur la tempe de Linus Torvalds ?
Évidemment que non. Mais s'il n'y avait pas AppArmor, il n'y aurait probablement pas aujourd'hui LSM. Linus envisageait de virer LSM vers 2005 si j'ai bonne mémoire.
M'enfin, constatons qu'il y a AppArmor et voilà. On ne va pas aligner les développeurs d'AppArmor face et un mur etc. Évidemment que non.
Autre problème avec AppArmor, et en fait plus avec ceux qui détestent SeLinux et supportent le "cette solution simpliste devrait suffire", c'est la confusion que ça a mis dans ce qui est perçu comme la communauté des experts sécurités de Linux. Un beau bordel avec des arguments à la con (même Linus qui ne veut pas se méler de questions de sécurité c'est énervé). Ce qui est perçu comme la communauté des spécialités sécurités Linux a maintenant plusieurs discours qui sont incompatibles. La crédibilité en prend un gros coup. Et ça c'est arrivé avec AppArmor. Tu peux dire que c'est un hazard, mais je n'y crois pas. Tu peux aussi dire qu'avant tout le monde n'était pas d'accord, mais à 90 % ils étaient d'accord sur les grands principes.
Maintenant il y a les pro label et ceux qui dise que ça sert rien, c'est compliqué et blabla. Les pro pathname et ceux qui disent que c'est pourri au niveau conception. Les pro "ça devrait suffir" et les pro "il faut être rigoureux avec les sécurités". Etc. Un beau bordel.
> La vérité c'est qu'il n'y a pas du tout de consensus sur la sécurité
Comment tu entends ça ?
Au niveau NSA, DOG (armé américhaine), certains grandes comptes, administrations, etc et les spécialistes qui sont largement reconnus, il y a consensus. Et le concensus est (pour faire court) : Le principe adopté par AppArmor "sucks". Il n'y aurait pas SeLinux, alors mieux vaux AppArmor que rien (pour faire court). Et le gros de l'affaire tourne ici. Des gens ne veulent pas SeLinux (souvent avec des arguments vaseux), donc pour eux au niveau sécurité c'est AppArmor ou rien. Donc ils défendent AppArmor "à mort".
Il n'y a pas concensus dans la communauté Linux. Mais chez les personnes qui ont une forte crédibilité au niveau sécurité il y a consensus.
> Linus garde LSM en mainline pour permettre a toutes les solutions de fonctionner.
This code has suffered from broken core design and lack of developer attention. Broken security modules are too dangerous to leave around. It is time to remove this one.
Il avait accèpté du n'importe quoi, puis il l'a viré. Il peut très bien accèpter AppArmor (et ça va probablement arriver) et le virer dans quelques mois si le vent change de direction. NB : Linus n'est pas comme ça pour tout.
M'enfin, je le comprend. C'est le leader d'un projet avec une vaste communauté. Notons bien ce qu'a dit Linus lorsqu'on le lit "entre les lignes" :
- Il ne prétend pas être un spécialiste sécurité et ne veut pas l'être. Donc il ne veut pas prendre de lui seul la responsabilité de virer LSM.
- Il trouve que beaucoup d'arguments autours de la sécurité ces derniers temps sont du n'importe quoi (crap).
- Il constate qu'il n'y a pas consensus pour virer LSM.
Donc Linus garde LSM mais sans grande motivation. Seulement pour des raisons de "confort" car il ne veut pas prendre de décision et espère ainsi faire plaisir à tout le monde. Il changerait d'avis assez vite que ça ne m'étonnerait pas.
> Bien entendu il y a de la propagande a tous les étages.
Oui et non, voir ce que j'ai déjà écrit. Mais clairement il y propagande dans Linux et Linus la subit même s'il ne le veut pas.
Notons bien que c'est Novell qui a principalement initialisé/participé à ce bordel afin de se démarquer de Red Hat en poussant AppArmor. Mais maintenant Novell abandonne AppArmor. Novell a virer 5 développeurs d'AppArmor je crois et il doit n'en rester qu'un. Crois-tu qu'une grosse administration qui doit gérer des données sensibles va le faire avec une solution Novell/AppArmor alors que Novell n'a qu'un developpeur pour faire le support ? Ce n'est pas sérieux. On voit déjà Novell faire moins de FUD sur SeLinux (j'en est pas vu depuis longtemps). Ils prépareraient leur retour à SeLinux que ça ne m'étonnerait pas. Continuer sur AppArmor interdirait à Novell tout ce qui est armé américaine, administrations sensibles, etc...
> Il y a ceux (SeLinux) qui disent : "Je suis le seul vrai module de sécurité alors pas besoin de LSM".
C'est un peu plus compliqué. Tu simplifies le discours voire le fausse. Il y avait un excellent article sur lwn.net, mais je n'arrive pas à le retrouver. Article écrit par James Morris (gros figure de SeLinux).
Le but de virer LSM, n'est pas de virer les concurrents. C'est une conséquence. Le problème est que LSM sucks et suckera toujours. C'est aussi des points d'entrés que des modules proprios peuvent utiliser pour faire n'importe quoi.
Se trainer LSM pose des problèmes à tous les développeurs (et pas seulement aux développeurs de SeLinux ou de modules de sécurité).
Se trainer LSM pose de gros problème quand il faut faire évoluer l'API (il faut l'accord de tous ceux qui utilisent LSM).
Avoir plusieurs solutions pour la sécurité disperce les efforts. Par exemple il n'y a qu'une pile tcp/ip dans Linux. C'est un problème ? Non. Et s'il y avait plusieurs piles tcp/ip, la pile tcp/ip de Linux n'aurait pas atteind le formidable niveau qu'elle a actuellement. Il n'y a qu'un scheduler. C'est un problème ? Non. Il n'y a qu'un gestionnaire de la VM. C'est un problème ? Non. Etc.
N'avoir qu'une solution pour l'infrastructure sécurité de Linux, pourrait donner un gros coup de boost à cette dernière et donc aussi à Linux. Évidemment cette solution doit permettre les trucs archis compliqués et les trucs simples.
J'image que tu va rétorquer qu'il y a plusieurs FS. Mais c'est car il y a différents besoins techniques. Ramfs ou ext3 ou NFS ce n'est pas la même chose, ça répond à différents besoins techniques (et pas philosophique). Aucun FS n'a comme philosophie "on préfère faire simple pour l'utilisateur même si c'est au risque de perdre ses données".
Je ne suis pas un spécialiste sécurité. SeLinux est compliqué. Mais j'ai des oreille et j'écoute. J'ai des yeux et je regarde ce qui se fait.
Les oreilles ont entendu du côté de SeLinux à ses débuts et jusqu'à peu :
- "Ne cherchons pas à faire simple, faisons juste. La simplicité (ou l'accessibilité) sera faite par des applis et/ou règles qui utiliseront SeLinux"
Les yeux voient aujourd'hui que c'est le cas (du moins c'est un bon début). Par exemple pour faire des règles SeLinux voilà une petite applis (c'est un module de system-config-selinux) : http://www.redhatmagazine.com/2007/08/21/a-step-by-step-guid(...)
Les applications qui utilisent Selinux permettront (voire le permettent déjà) de faire aussi simple qu'AppArmor pour l'utilisateur mais sans se baser sur un principe qui sucks sur une architecture qui sucks.
Au exemple : http://seedit.sourceforge.net/
NB : Ça utilise un modèle de sécurité moins puissant/souple que celui de la NSA/Red Hat.
SeLinux devrait être la base de la sécurité de Linux. Pas le "tout". S'il n'y avait que SeLinux, il y aurait par exemple concurrence entre Fedora et Ubuntu dans l'utilisation de SeLinux. L'un cherchant à être complet et utilisable par les clients qui exigent un controle du "workflow" et/ou des attributs de sécurité qui passent de bécanes en bécanes, etc. L'autre serait moins puissant en terme de configuration mais plus facile à assimiler. Il pourrait y avoir une concurrence plus frontale entre Mandriva avec seedit et Ubuntu.
SeLinux ce n'est pas l'uniformité.
> Clair non ?
Et alors ?
T'as trouvé un coup de sang de Linus.
Linus ne voulait pas entendre parler de la GPL v3 il y a quelques mois. Maintenant il dit "pourquoi pas".
Et regardons les forces en présence puisque sur le dossier sécurité c'est actuellement plus le lobbying qui compte que les arguments techniques (J'ai presque envis d'ajouter "dexit Linus").
- Red Hat/Fedora utilise SeLinux (Linus utilise Fedora ;-)).
- Novell va revenir à SeLinux. J'en suis persuadé.
T'as ici les deux distributions qui contribuent le plus à Linux (et de très très loins).
- IBM : Pro SeLinux.
IBM fait partit des plus gros contributeurs à Linux.
Les autres contributeurs majeurs (Intel par exemple) à Linux s'en foute que ce soit SeLinux ou AppArmor ou autre.
Si on prend en compte que l'aspect contribution (ou "méritocratie"), SeLinux l'emporte facilement.
Pour l'aspect "popularité" :
Debian semble plus impliqué dans SeLinux que AppArmor.
Ubuntu propose actuellement AppArmor mais ne ferme pas la porte à SeLinux.
Quand SeLinux sera plus accessible (avec des jolis outils graphiques), Ubuntu pourrait très bien passer à SeLinux. Ubuntu ne vise pas que le desktop (même si c'est l'impression que donne Ubuntu). Pour certains grands comptes ou administrations sensibles, il faut SeLinux.
Reste notamment Mandriva. Je ne vois pas Mandriva passez à SeLinux de lui-même.
Reste aussi peut-être OpenSuse que je vois rester avec AppArmor (Novell passant à SeLinux). M'enfin, OpenSuse est passé de Reiser à ext3 (décision prise avant les pépins juridiques de Hans).
Même si AppArmor est upstream, les choses peuvent changer. Et vite (pas en 2 ou 3 semaines évidemment).
[^] # Re: LSM
Posté par IsNotGood . En réponse au journal Le nouveau SeLinux. Évalué à 4.
Évidemment que non. Mais s'il n'y avait pas AppArmor, il n'y aurait probablement pas aujourd'hui LSM. Linus envisageait de virer LSM vers 2005 si j'ai bonne mémoire.
M'enfin, constatons qu'il y a AppArmor et voilà. On ne va pas aligner les développeurs d'AppArmor face et un mur etc. Évidemment que non.
Autre problème avec AppArmor, et en fait plus avec ceux qui détestent SeLinux et supportent le "cette solution simpliste devrait suffire", c'est la confusion que ça a mis dans ce qui est perçu comme la communauté des experts sécurités de Linux. Un beau bordel avec des arguments à la con (même Linus qui ne veut pas se méler de questions de sécurité c'est énervé). Ce qui est perçu comme la communauté des spécialités sécurités Linux a maintenant plusieurs discours qui sont incompatibles. La crédibilité en prend un gros coup. Et ça c'est arrivé avec AppArmor. Tu peux dire que c'est un hazard, mais je n'y crois pas. Tu peux aussi dire qu'avant tout le monde n'était pas d'accord, mais à 90 % ils étaient d'accord sur les grands principes.
Maintenant il y a les pro label et ceux qui dise que ça sert rien, c'est compliqué et blabla. Les pro pathname et ceux qui disent que c'est pourri au niveau conception. Les pro "ça devrait suffir" et les pro "il faut être rigoureux avec les sécurités". Etc. Un beau bordel.
> La vérité c'est qu'il n'y a pas du tout de consensus sur la sécurité
Comment tu entends ça ?
Au niveau NSA, DOG (armé américhaine), certains grandes comptes, administrations, etc et les spécialistes qui sont largement reconnus, il y a consensus. Et le concensus est (pour faire court) : Le principe adopté par AppArmor "sucks". Il n'y aurait pas SeLinux, alors mieux vaux AppArmor que rien (pour faire court). Et le gros de l'affaire tourne ici. Des gens ne veulent pas SeLinux (souvent avec des arguments vaseux), donc pour eux au niveau sécurité c'est AppArmor ou rien. Donc ils défendent AppArmor "à mort".
Il n'y a pas concensus dans la communauté Linux. Mais chez les personnes qui ont une forte crédibilité au niveau sécurité il y a consensus.
> Linus garde LSM en mainline pour permettre a toutes les solutions de fonctionner.
Linus botte en touche.
Sur les trucs de sécurité ce n'est pas la première fois.
http://marc.info/?l=git-commits-head&m=115954981329305&a(...)
Il avait accèpté du n'importe quoi, puis il l'a viré. Il peut très bien accèpter AppArmor (et ça va probablement arriver) et le virer dans quelques mois si le vent change de direction. NB : Linus n'est pas comme ça pour tout.
M'enfin, je le comprend. C'est le leader d'un projet avec une vaste communauté. Notons bien ce qu'a dit Linus lorsqu'on le lit "entre les lignes" :
- Il ne prétend pas être un spécialiste sécurité et ne veut pas l'être. Donc il ne veut pas prendre de lui seul la responsabilité de virer LSM.
- Il trouve que beaucoup d'arguments autours de la sécurité ces derniers temps sont du n'importe quoi (crap).
- Il constate qu'il n'y a pas consensus pour virer LSM.
Donc Linus garde LSM mais sans grande motivation. Seulement pour des raisons de "confort" car il ne veut pas prendre de décision et espère ainsi faire plaisir à tout le monde. Il changerait d'avis assez vite que ça ne m'étonnerait pas.
> Bien entendu il y a de la propagande a tous les étages.
Oui et non, voir ce que j'ai déjà écrit. Mais clairement il y propagande dans Linux et Linus la subit même s'il ne le veut pas.
Notons bien que c'est Novell qui a principalement initialisé/participé à ce bordel afin de se démarquer de Red Hat en poussant AppArmor. Mais maintenant Novell abandonne AppArmor. Novell a virer 5 développeurs d'AppArmor je crois et il doit n'en rester qu'un. Crois-tu qu'une grosse administration qui doit gérer des données sensibles va le faire avec une solution Novell/AppArmor alors que Novell n'a qu'un developpeur pour faire le support ? Ce n'est pas sérieux. On voit déjà Novell faire moins de FUD sur SeLinux (j'en est pas vu depuis longtemps). Ils prépareraient leur retour à SeLinux que ça ne m'étonnerait pas. Continuer sur AppArmor interdirait à Novell tout ce qui est armé américaine, administrations sensibles, etc...
> Il y a ceux (SeLinux) qui disent : "Je suis le seul vrai module de sécurité alors pas besoin de LSM".
C'est un peu plus compliqué. Tu simplifies le discours voire le fausse. Il y avait un excellent article sur lwn.net, mais je n'arrive pas à le retrouver. Article écrit par James Morris (gros figure de SeLinux).
Le but de virer LSM, n'est pas de virer les concurrents. C'est une conséquence. Le problème est que LSM sucks et suckera toujours. C'est aussi des points d'entrés que des modules proprios peuvent utiliser pour faire n'importe quoi.
Se trainer LSM pose des problèmes à tous les développeurs (et pas seulement aux développeurs de SeLinux ou de modules de sécurité).
Se trainer LSM pose de gros problème quand il faut faire évoluer l'API (il faut l'accord de tous ceux qui utilisent LSM).
Avoir plusieurs solutions pour la sécurité disperce les efforts. Par exemple il n'y a qu'une pile tcp/ip dans Linux. C'est un problème ? Non. Et s'il y avait plusieurs piles tcp/ip, la pile tcp/ip de Linux n'aurait pas atteind le formidable niveau qu'elle a actuellement. Il n'y a qu'un scheduler. C'est un problème ? Non. Il n'y a qu'un gestionnaire de la VM. C'est un problème ? Non. Etc.
N'avoir qu'une solution pour l'infrastructure sécurité de Linux, pourrait donner un gros coup de boost à cette dernière et donc aussi à Linux. Évidemment cette solution doit permettre les trucs archis compliqués et les trucs simples.
J'image que tu va rétorquer qu'il y a plusieurs FS. Mais c'est car il y a différents besoins techniques. Ramfs ou ext3 ou NFS ce n'est pas la même chose, ça répond à différents besoins techniques (et pas philosophique). Aucun FS n'a comme philosophie "on préfère faire simple pour l'utilisateur même si c'est au risque de perdre ses données".
Je ne suis pas un spécialiste sécurité. SeLinux est compliqué. Mais j'ai des oreille et j'écoute. J'ai des yeux et je regarde ce qui se fait.
Les oreilles ont entendu du côté de SeLinux à ses débuts et jusqu'à peu :
- "Ne cherchons pas à faire simple, faisons juste. La simplicité (ou l'accessibilité) sera faite par des applis et/ou règles qui utiliseront SeLinux"
Les yeux voient aujourd'hui que c'est le cas (du moins c'est un bon début). Par exemple pour faire des règles SeLinux voilà une petite applis (c'est un module de system-config-selinux) :
http://www.redhatmagazine.com/2007/08/21/a-step-by-step-guid(...)
Les applications qui utilisent Selinux permettront (voire le permettent déjà) de faire aussi simple qu'AppArmor pour l'utilisateur mais sans se baser sur un principe qui sucks sur une architecture qui sucks.
Au exemple :
http://seedit.sourceforge.net/
NB : Ça utilise un modèle de sécurité moins puissant/souple que celui de la NSA/Red Hat.
SeLinux devrait être la base de la sécurité de Linux. Pas le "tout". S'il n'y avait que SeLinux, il y aurait par exemple concurrence entre Fedora et Ubuntu dans l'utilisation de SeLinux. L'un cherchant à être complet et utilisable par les clients qui exigent un controle du "workflow" et/ou des attributs de sécurité qui passent de bécanes en bécanes, etc. L'autre serait moins puissant en terme de configuration mais plus facile à assimiler. Il pourrait y avoir une concurrence plus frontale entre Mandriva avec seedit et Ubuntu.
SeLinux ce n'est pas l'uniformité.
> Clair non ?
Et alors ?
T'as trouvé un coup de sang de Linus.
Linus ne voulait pas entendre parler de la GPL v3 il y a quelques mois. Maintenant il dit "pourquoi pas".
Et regardons les forces en présence puisque sur le dossier sécurité c'est actuellement plus le lobbying qui compte que les arguments techniques (J'ai presque envis d'ajouter "dexit Linus").
- Red Hat/Fedora utilise SeLinux (Linus utilise Fedora ;-)).
- Novell va revenir à SeLinux. J'en suis persuadé.
T'as ici les deux distributions qui contribuent le plus à Linux (et de très très loins).
- IBM : Pro SeLinux.
IBM fait partit des plus gros contributeurs à Linux.
Les autres contributeurs majeurs (Intel par exemple) à Linux s'en foute que ce soit SeLinux ou AppArmor ou autre.
Si on prend en compte que l'aspect contribution (ou "méritocratie"), SeLinux l'emporte facilement.
Pour l'aspect "popularité" :
Debian semble plus impliqué dans SeLinux que AppArmor.
Ubuntu propose actuellement AppArmor mais ne ferme pas la porte à SeLinux.
Quand SeLinux sera plus accessible (avec des jolis outils graphiques), Ubuntu pourrait très bien passer à SeLinux. Ubuntu ne vise pas que le desktop (même si c'est l'impression que donne Ubuntu). Pour certains grands comptes ou administrations sensibles, il faut SeLinux.
Reste notamment Mandriva. Je ne vois pas Mandriva passez à SeLinux de lui-même.
Reste aussi peut-être OpenSuse que je vois rester avec AppArmor (Novell passant à SeLinux). M'enfin, OpenSuse est passé de Reiser à ext3 (décision prise avant les pépins juridiques de Hans).
Même si AppArmor est upstream, les choses peuvent changer. Et vite (pas en 2 ou 3 semaines évidemment).