> Si une autre techno entrait en mainline qui soit plus simple que SeLinux on pourrait très bien assister a un ralliement de plusieurs distros.
De fait les principales distributions ont déjà choisi :
1- Les dernières versions de Mandriva, SuSE et Ubuntu intègrent AppArmor
2- Red Hat utilise SELinux
Le 1 permet de comprendre le fait qu'a cette occasion SuSE ai licencié une partie de ses développeurs AppArmor (à mon avis un appel du pieds aux autres distribution, à la « à votre tour aussi, de participer au financement du bidule, maintenant que vous êtes dépendants »).
Le 2 permet de relativiser les prises de positions bruyantes d'Alan Cox (et de IsNotGood)...
L'intégration d'AppArmor semble imminente à présent (probablement pour le 2.6.25), je suppose que c'est pour ça que les FUDistes se réveillent... Aussi : patrick_g a totalement raison de soupçonner les devs SELinux de vouloir enlever LSM pour virer la concurrence, c'est du moins pour ça que Linus les a rappelé à l'ordre (et puis, rappelons-nous leur réaction aux besoins derrière AppArmor : « ah, mais la simplicité à la AA, il suffit de l'implémenter au-dessus de SELinux » (ce qu'ils n'ont pas fait) et à Smack (« ah, mais il n'ont qu'à réimplémenter un smack au-dessus de SELinux » (ce qui ne sera pas fait)).
Concernant les modèles de sécurité : certains spécialistes (pas moi, mais par exemple chez OpenBSD) considèrent qu'un modèle valable doit être simple, clair et auditable. Iznogood, as-tu audité les modèles de sécurité en oeuvre sur ton poste pour savoir précisément de quoi ils te protègent, et de quelle façon (par ex. s'il n'y a pas, dans une police, une bourde qui laisse une énorme brèche ouverte dans la cathédrale ? ce genres de bourdes sont courantes sur les systèmes complexes). Combien de personnes ont audité ce jeu de règles ? Les contraintes sécurité de la NSA sont autant d'ordre bureaucratiques que techniques (d'où une forme assez byzantine du machin). Pour le commun des mortels, le fait qu'un modèle et des polices de sécurité soient intégralement lisibles auditable par beaucoup de monde (et auditable plus efficacement par les spécialistes) est bénéfique à la sécurité.
Cela étant posé, on sait qu'il faut être attentifs à certaines choses en déployant du AppArmor (ne pas autoriser les processus confinés à monter des périphériques ou faire des hardlinks, faire attention aux rennomages, confiner tout les autres processus susceptibles d'échanger des file descriptors avec celui qui nous intéresse, ...). N'empêche. Sans jeter l'opprobre sur SELinux, ça laisse la place pour d'autres modèles (Tomoyo, Smack, AppArmor, ...).
[^] # Re: LSM
Posté par herodiade . En réponse au journal Le nouveau SeLinux. Évalué à 3.
De fait les principales distributions ont déjà choisi :
1- Les dernières versions de Mandriva, SuSE et Ubuntu intègrent AppArmor
2- Red Hat utilise SELinux
Le 1 permet de comprendre le fait qu'a cette occasion SuSE ai licencié une partie de ses développeurs AppArmor (à mon avis un appel du pieds aux autres distribution, à la « à votre tour aussi, de participer au financement du bidule, maintenant que vous êtes dépendants »).
Le 2 permet de relativiser les prises de positions bruyantes d'Alan Cox (et de IsNotGood)...
L'intégration d'AppArmor semble imminente à présent (probablement pour le 2.6.25), je suppose que c'est pour ça que les FUDistes se réveillent... Aussi : patrick_g a totalement raison de soupçonner les devs SELinux de vouloir enlever LSM pour virer la concurrence, c'est du moins pour ça que Linus les a rappelé à l'ordre (et puis, rappelons-nous leur réaction aux besoins derrière AppArmor : « ah, mais la simplicité à la AA, il suffit de l'implémenter au-dessus de SELinux » (ce qu'ils n'ont pas fait) et à Smack (« ah, mais il n'ont qu'à réimplémenter un smack au-dessus de SELinux » (ce qui ne sera pas fait)).
Concernant les modèles de sécurité : certains spécialistes (pas moi, mais par exemple chez OpenBSD) considèrent qu'un modèle valable doit être simple, clair et auditable. Iznogood, as-tu audité les modèles de sécurité en oeuvre sur ton poste pour savoir précisément de quoi ils te protègent, et de quelle façon (par ex. s'il n'y a pas, dans une police, une bourde qui laisse une énorme brèche ouverte dans la cathédrale ? ce genres de bourdes sont courantes sur les systèmes complexes). Combien de personnes ont audité ce jeu de règles ? Les contraintes sécurité de la NSA sont autant d'ordre bureaucratiques que techniques (d'où une forme assez byzantine du machin). Pour le commun des mortels, le fait qu'un modèle et des polices de sécurité soient intégralement lisibles auditable par beaucoup de monde (et auditable plus efficacement par les spécialistes) est bénéfique à la sécurité.
Cela étant posé, on sait qu'il faut être attentifs à certaines choses en déployant du AppArmor (ne pas autoriser les processus confinés à monter des périphériques ou faire des hardlinks, faire attention aux rennomages, confiner tout les autres processus susceptibles d'échanger des file descriptors avec celui qui nous intéresse, ...). N'empêche. Sans jeter l'opprobre sur SELinux, ça laisse la place pour d'autres modèles (Tomoyo, Smack, AppArmor, ...).
Voila ce qu'en dit Ted T'so, je souscris totalement : http://lwn.net/Articles/252588/