Dem Dennis sein Blogdingen da...

Was fuer mich neben SE mal ganz interessant waere, ist das Thema Posix Capabilities ... gibts als eigenes Modul aehnlich wie SE und tut aehnliches ... wo nu Unterschiede sind etc weiss ich auch nicht, kenn mich dafuer bisher auch zuwenig mit SE aus.

Ansonsten klingen die Buecher doch schon mal sehr interessant

POSIX Capabilities sind auch interessant. Hab bislang nur wenig damit rumgespielt, aber soweit bin ich recht beeindruckt.
Der Schutz den Capabilities anbieten ist aber nichtmal annaehernd mit dem von SELinux vergleichbar.

Was ich persoenlich an POSIX Capabilities mag ist dass sie in der Lage sind, zumindest zum Teil, das SetUID-Bit ueberfluessig zu machen (ich mein ich haette auch mal darueber gebloggt), was ich z.B. in EasyLFS nutze.

So haben bei mir weder ping noch passwd das SetUID-Bit gesetzt.
Hier mal der entsprechende Teil aus meinen Scripts der das handhabt:

Code bash:

1 2 3 4 5 6 7

chmod -s /bin/ping* setcap cap_net_raw=ep /bin/ping setcap cap_net_raw=ep /bin/ping6   chmod -s /bin/passwd setcap cap_dac_override=ep /sbin/unix_chkpwd setcap cap_chown,cap_dac_override,cap_fowner=ep /bin/passwd

An su arbeite ich noch, hab es aber bislang nicht dazu bringen koennen ohne SetUID-Bit leben zu koennen. Naja, vielleicht geht's ja irgendwann noch.
Der daraus resultierende Schutz (also durch die Abwesenheit des SetUID-Bits) ist dass es dadurch unmoeglich sein sollte ein fehlerhaftes Programm dazu zu nutzen um root-Rechte zu erhalten. Dies geschieht schlichtweg dadurch dass der User eben nicht zu root wird sondern, ueber die Capabilities, nur mit den notwendigen Faehigkeiten ausgestattet wird die er fuer die Aufgabe (z.B. den ping) benoetigt.

SELinux hingegen ueberwacht ja viel umfassender, eben alles was so im System ablaeuft. Dabei kann auch die Allmacht von root stark eingeschraenkt werden.
Es gibt/gab irgendwo im Internet mal ein mit SELinux geschuetztes Test-System wo man sich als root einloggen konnte und rumtesten. Kaputtmachen konnte man nichts, da eben root wirklich stark eingeschraenkt war.

Ein User ist ja in SELinux nicht einfach nur noch ein User. Er bekommt ja auch verschiedene Rollen. So kann z.B. root in der Rolle staff_r eingeschraenkt im System rumwuseln, um aber wirklich administrative Taetigkeiten auszufuehren muss er in die Rolle sysadm_r wechseln. Es gibt noch, je nach Policy, andere Rollen, z.B. secadm_r und auditadm_r, oder fuer normale User user_r.
Und natuerlich kann nicht jeder User frei zwischen den Rollen waehlen, wer welche Rolle nutzen darf ist festgelegt.

Uebrigens, falls Du was zu POSIX Capabilities lesen willst schau mal hier vorbei. Die Seite hat mir gut geholfen.

Edit: Hab grad mal fix bei Amazon geschaut, aber ein Buch zu POSIX Capabilities konnte ich nicht finden.

Ok, gibt noch viel zu lesen Aber der Link sieht hilfreich aus, muss ich mir die Tage mal genauer anschaun

So, das letzte Buch, Linux in a Windows world, ist nun auch eingetroffen.
Jetzt hab ich wieder so einiges zum Lesen. Fein, fein.