Использование Tomoyo Linux

[neochapay]

Это очень похоже на selinux или я ошибаюсь?

[Spewow]

Типа того, только попроще.

[merlin-vrn]

Да, это такой «другой селинукс».

[J_o_k_e_R]

А так же на RBAC от grsecurity.

[iavael]

Tomoyo, как и selinux, основан на Linux Security Module framework. RBAC же сам по себе.

[amarao]

Главная проблема всех таких штук:

q: I've got problem: foo bar не работает.
a: disable SELinux first, than try again.

[Spewow]

a2: Solve the problem and turn it back :)

[amarao]

После этого оно опять не работает.

Просто для понимания, SELinux, Tomyo и т.д. — это технологии, единственной задачей которых является мешать работать другим программам по специальным правилам, в которых прописаны исключения — те, кому мешать не надо.

И нет, я не троллю.

[zabbius]

Напоминает старый добрый Outpost Security, который на каждый чих спрашивал, разрешать ли.

[WGH]

> И нет, я не троллю.
А ничего, что эти технологии мешают не просто так, а с конкретной целью?

[amarao]

А это уже совсем другая песня. Они сначала мешают, а потом уже с конкретной целью.

[pfactum]

Инфа на Арчевики, наверное, уже немного устарела. Я писал те разделы достаточно давно, и для Арча могло что-то поменяться. Хотя как примеры использовать можно.

[mehatron]

Какое название говорящее. То не твоё, Tomoyo!

[Spewow]

Ага, еще по поиску гугль постоянно выдает эту анимешную девицу, которую зовут видимо Tomoyo :)

[nebularia]

А что плохого в чтении /etc/password?

[soko1]

Представим картину: хакер воспользовался уязвимостью в вашем браузере и подсмотрел в /etc/passwd имя одного или нескольких пользователей и использовал их для входа по SSH, например. А т.к. у нормальных людей вход под рутом запрещён — задача перебора паролей усложняется. Да и зачем вообще браузеру знать что у вас в /etc/passwd?

[ruikarikun]

Tomoyo няша!

[Spewow]

Похоже нашел странный баг в Томе, позволяющий обходить все запреты. Попробую попинать разрабов…

[Spewow]

В общем initialize_domain фактически не работает для библиотеки линковки. Разрабу написал, тот сказал блочить такой прямой вызов либы.
Костыль конечно, но что поделать…

[soko1]

Благодарю за хороший мануал. Ранее использовал apparmor, но он мне не нравился тем, что там очень много готовых профилей и не один нормально не работает, по крайней мере на Debian. Пути к файлам там вообще как будто бы из /dev/urandom берутся и это сильно раздражает. Попробую Tomoyo.

Кстати, а какие у него преимущества перед Apparmor?

[Spewow]

Ну лично мне нравится глобальность подхода, я об этом написал. Можно создать правило которое примерится сразу ко всем процессам системы.