So, ich hab grad mal was Zeit damit verbracht in dem frisch gebauten EasyLFS nach Deiner Anleitung SELinux einzubauen.

Das hat soweit auch ganz gut geklappt. Ich konnte jetzt auch mit dem SELinux-eigenen load_policy die Policy aktivieren. Das will ich jetzt mal beim Boot testen, moeglicherweise ist Dein loadselinux garnicht mehr noetig.

Schauen wir mal.

Hab soweit auch schon die Scripts etwas angepasst. Die Policy wird zwar noch nicht automatisch installiert, aber soweit die ganze noetige Software.
Die Installation der Policy will ich noch etwas austesten und dann wird auch das automatisch geschehen.
Weiterhin hab ich die Installation der SELinux-Utilities und der Policy weiter nach hinten in Stage 2 verlegt, zu den anderen optionalen Komponenten.
Der Grund dafuer liegt ganz einfach darin, dass ich zuerst mal den ganzen "offiziellen LFS-Kram" installieren will und anschliessend optionale Pakete.
Auf die Funktion sollte das keinen Einfluss haben da ja die SELinux-Libraries weiterhin ziemlich frueh installiert werden und die Tools lediglich zur Installation der Policy und fuer den Betrieb von SELinux notwendig sind, aber nicht dafuer, dass andere Programme mit SELinux-Support kompiliert werden koennen.

So, hab's kurz getestet. Es ist im Grunde kein Problem SELinux ueber load_policy zu starten. Es muss dazu lediglich noch das Boot-Script mountkernfs angepasst werden sodass dort auch /selinux gemountet wird.

Nachtrag: Das Boot-Script mountfs muss auch noch angepasst werden damit /selinux in der mtab eingetragen wird. Ansonsten gibt es bei eben diesem Script einen Fehler da dort dann nochmal versucht wird /selinux zu mounten.
Soweit geht es hier jetzt ganz gut voran. Das Filesystem ist gelabelt und somit sind nun auch die ganzen Fehlermeldungen weg.
Nur muss ich wirklich sagen, dass das labeln ganz schoen lang dauert.

Dazu werd ich mir wohl auch noch was einfallen lassen muessen. Ich denk mal ich werd da ein Script am Ende des Bootvorganges einfuegen welches sich dann nach erfolgreichem Abschluss selbst loescht.

Also: Da andy72 so viel Zeit und Arbeit in die Aufklaerung der Mysterien um SELinux gesteckt hat freue ich mich androhen zu duerfen, dass der SELinux-Support fuer EasyLFS in der kommenden Version mehr als nur die Verfuegbarkeit der Libraries und Tools sein wird. Vielmehr wird SELinux wirklich aktiv und nutzbar sein!
Natuerlich wird SELinux nicht zum Standardumfang gehoeren sondern weiterhin eine Option sein, denn die genauen Auswirkungen von SELinux koennen wir bislang noch nicht abschaetzen, z.B. ob es irgendwo Probleme bereitet.

Auf jeden Fall freue ich mich EasyLFS bald auch mit einer brauchbaren SELinux-Unterstuetzung ausliefern zu koennen, welches das System wohl wieder ein wenig interessant machen duerfte und es wohl auch noch ein wenig von anderen Distributionen abheben sollte.

Grosser Dank hierfuer geht an andy72 der sich einen Haufen Arbeit gemacht hat um einen wertvollen Anteil an diesem Projekt leisten zu koennen!

Hallo,

Zitat von andy72

Habe jetzt die Projektseiten auf http://www.3-seiten.com etwas aktualisiert und etwas gestyled - ...

wenn Ihr mit den Seiten viele Leute erreichen wollt würde ich sie:
1.) so gestalten das sie auch in andren Browsern lesbar sind (bei mir im Firefox sind die Anleitungen unlesbar: siehe Anhang)
2.) die Seiten auf Englisch veröffentlichen.

Gruß,
RedWing

So weit so gut, schön auch, dass ich hier helfen konnte.Meine Arbeit ist damit jedoch nicht so GANZ erledigt, da ich heute Nacht noch einen fatalen Fehler bei der Python-Installation gesehen habe: Python-2.5 ist nötig, um die Funktionalität von SELinux und refpolicy zu gewährleisten, da Python 2.4 diese Funktionalität nicht mitbringt,ist dieses Upgrade also notwendig. Beim kompilieren erhalte ich in version 2.5 nun zig Fehlermeldungen, in 2.4 wurden die Python-Module nicht mitinstalliert - so habe ich also bis heute morgen um 4 dran gehockt, um den Fehler zu beheben, bis jetzt noch ohne grosse Erfolge. Fazit: ich werd noch den Sonntag dran sitzen, um Python-2.5 zum laufen zu bekommn und später die Installationsanweisung updaten.

Ein grosser Dank geht hier auch erstmal an Dennis, der so schnell und eifrig die ganze Sache an sich nimmt,und sich auch die Nächte damit um die Ohren schlägt - und das noch zwischen Arbeit und Umzugsstress

@RedWing:
Danke für deinen Hinweis:
Die Seiten habe ich erstmal nur Online gestellt, damit Dennis weiss,wie man SELinux integriert. Wie man sieht, haben die Seiten noch keinen Titel, keine Suchmaschinenoptimierung und selbst meine Anwendung (loadselinux) hat noch nicht mal ein Copyright, Readme oder eine Lizenz der GPL inne - zur Zeit habe ich wichtigeres zu tun, als an der Seite zu fummeln - trotzdem aber Danke für Deinen Hinweis

Mir ist uebrigens aufgefallen, dass in Deiner Anleitung scheinbar checkpolicy nicht erwaehnt wird.

In EasyLFS hab ich auch gleich Python 2.5 eingesetzt und auch bei meinem Test heute hab ich diese Version genutzt. Entsprechend bin ich dann auch nicht ueber irgendwelche Probleme gestolpert.

Uebrigens, hier der Teil der die Bootscripts anpasst/erstellt.

Code :

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24

sed -i 's@boot_mesg ""@if ! mountpoint /selinux &> /dev/null; then\n\t\t\tboot_mesg -n " /selinux" ${NORMAL}\n\t\t\tmount -n /selinux || failed=1\n\t\tfi\n\n\t\t&@' /etc/rc.d/init.d/mountkernfs || LFS_ERROR=1 sed -i 's@mount -f /sys || failed=1@&\n\t\tmount -f /selinux || failed=1@' /etc/rc.d/init.d/mountfs || LFS_ERROR=1 cat > /etc/rc.d/init.d/selinux.sh << "EOF" || LFS_ERROR=1 #!/bin/sh   . /etc/sysconfig/rc . ${rc_functions}   case "${1}" in     start)     boot_mesg -n "Starting SELinux:"     /sbin/load_policy || failed=1       (exit ${failed})     evaluate_retval     ;;     *)     echo "Usage: ${0} start     exit 1     ;; esac EOF chmod 754 /etc/rc.d/init.d/selinux.sh ln -s /etc/rc.d/init.d/selinux.sh /etc/rc.d/rcsysinit.d/S02selinux

Dadurch ist es dann auch unnoetig Dein eigenes kleines Tool zum Laden von SELinux zu nutzen.

Ich lass uebrigens auch load_policy von /usr/sbin nach /sbin verschieben. Das sollte wohl eher dem FHS entsprechen da der Befehl ja beim Systemstart benoetigt wird.

Dieses Tool habe ich geschrieben, da ich massive Probleme mit den booleans habe - bei mir kommen beim laden von SELinux zig Meldungen über "unknown boolean allow_"... - in meinem kleinem Toollade ich die Policy Ohne booleans, und es geht trotzdem - sogar im enforcing-Mode *kopfkratz* ...ich vermute, der Fehler liegt am falschen Python

Setzt Du nach dem Laden von udev und dem Mount von /dev/shm nochmal die Berechtigungen der Verzeichnisse ? Wenn nicht, gibts spätestens beim laden von X11 probleme, da nach dem Laden das Verzeichnis /dev dem falsschen Context gehört: system_u:object:r:tmpfs_t ---- es muss aber system_u:object_r:dev_t gehören, darum nochmal das restorecon -R /dev

Das ist moeglich.
Enforcing hab ich nicht probiert, aber diese Fehlermeldungen hab ich mein ich nicht gesehen, nur eben so einiges an Ausgaben, dass so diverses initialisiert wurde.

Kann das jetzt auch nicht nochmal testen da ich grad das Image wieder ueberschrieben hab um nun die naechsten Tests laufen zu lassen.

Mist ... jetzt steh ich aber doof da ... hab an den coreutils gefummelt, und nun hab ich den Befehl "cp" zerschossen, und kann nix mehr installieren, weil dat kopieren nich mehr geht ... ich werd mal nen Bash-Script schreiben, wo ich mit "cat" kopieren kann *g*

Update:
Python-2.5 läuft jetzt, die Policy wird jetzt korrekt erstellt und ich kann tatsächlich ohne mein Tool das System starten. Habe meine Seiten dahingehend nochmal überarbeitet, da Python-2.5 von Hause aus keine Module installiert und SELinux auch noch etwas mehr Python unterstützt. Der Befehl "cp" geht auch wieder, habe mit einem Bash-Script "cp" simuliert und konnte so die Coreutils neu installieren

Von mir war es das für heute denn wohl erstmal, ich werde jetzt mal anfangen, die Webseiten Firefox-Tauglich zu machen, da das etwas arg grausam aussieht

LG
Andy

So, nachdem ich mir gestern bis halb 5 die Nacht um die Ohren geschlagen und mit EasyLFS verbracht hab gibt es wieder gute Nachrichten.
Die Scripts fuer SELinux funktionieren jetzt soweit. Ich musste zwar noch ein paar Anpassungen vornehmen bis es dann alles wollte, aber nun laeuft die Installation vollautomatisch ab.
Eine Vollinstallation mit GCC 3.4 und SELinux ist nun also getestet und fuer gut befunden.
Jetzt noch die Tests mit GCC 4.0 und 4.1 und dann kann es eigentlich losgehen.

Meine heutige Mittagspause hab ich auch noch in etwas Arbeit investiert um ein paar Korrekturen an den Bootscripts vorzunehmen (da gab es noch Probleme mit dem sed-Aufruf der diese aendert).

Wenn ich dann heute nach der Arbeit heim komme werd ich mal ein Script schreiben welches dann beim Reboot das Dateisystem labelt und sich anschliessend loescht.
Wenn das dann auch funktioniert kommt das mit in das SELinux-Config-Script damit das dann gleich beim ersten Reboot nach der Installation geschieht.
Ausserdem werd ich wohl auch noch Links fuer restorecond einbauen muessen damit dieser beim Systemstart gestartet wird. restorecond sorgt wohl dafuer, dass neue Dateien gleich mit den entsprechenden Labels ausgestattet werden.

Diese beiden Punkte sind aber dann eher "Kinderkram" und sollten eigentlich keine Probleme bereiten.

Heute Nacht kommt dann also der Test mit GCC 4.0, und morgen dann GCC 4.1.
Am Donnerstag sollte ich dann also, wenn es keine unerwarteten Probleme gibt, soweit sein, dass ich die offizielle LiveCD bauen kann.

@andy: Ich wollte Dich eigentlich darauf hingewiesen haben, dass bei Python noch die Shared-Libraries fehlen, hab aber grad gesehen, dass Du dies auch schon auf der Website vermerkt hast. Was ich mich aber grad noch frage ist wofuer Du die Setup.dist kopierst und wofuer Du das Signal-Modul aktivierst.

Moin,moin ...

habe das in nem Thread gelesen, als ich irgendwo im Nirvana des Internet unterwegs war, und sich Python 2.5 bei der Installation verabschieded hat, weildie Module nicht Threadfähig seien - das "--with-signal-module" fügt diese Fähigkeit hinzu. Das Kopieren der Setup.dist mussteich auf MEINEM System machen, da sonst das python das bauen der Module verweigert hat (warum auch immer). Nach dem kopieren der Setup.dist lief die installation dann ohne Probleme durch.

News von den Coreutils:
Bin mitten in der Arbeit,die Coreutils SELinux-tauglich zu programmieren - bisjetzt gibt es schon "ls, stat, mkdir, chcon, runcon, id,mv und install" mit VOLLER Funktion.Ganz praktisch scheint mir "ls -Z" oder "ls --context" zu sein, daich auf einen Blick den Context der Files sehen kann, auch mv,mkdir und install erlauben was nettes: ich kann kopieren bzw Files/Verz.unter anderem Context erstellen, was bei installationen Sinn macht.

@Dennis:
restorecond ist bei der Installation bereits mit vorgesehen, allerdings habe ich in meinen Webseiten noch einen kleinen Bug drin (?): versuche mal, einen Link von /etc/rc.d auf /etc/init.d zu erstellen - eigentlich wird restorecond dann auch richtig installiert.

Noch was:
In deinen Bootscripts könntest Du evtl. den Befehl "selinuxenabled" mit verwenden, das erspart villt. einiges an Scripting

So, und wieder gibt es frohe Botschaft.
Ich hab einen SELinux-Patch fuer die CoreUtils gefunden, und zwar bei Fedora.

Hab ihn grad mal getestet und es scheint alles wunderbar zu funktionieren.
Der wird nun auch noch in's Script eingebaut und dann koennen die naechsten Tests anfangen sodass ich auch wirklich noch vor dem Umzug die neue Version fertig haben kann.

hm, denselben Patch hatteich von Gentoo ... das problem dabei ist aber, dass wenn Du die Patches (uname,i18n etc) von LFS bereits integriert hast, dieser Patch nicht mehr geht - darum mein Umbau ... wenn Du ne Lösung hast, meld dich bitte - dann kann ich mir den Spass nämlich sparen *g* ...zur zeit sitze ich eh noch an den Coreutils Version 5.94, da die aktuelle 6.7er nur mist macht. Abgesehen davon unterhalten sich die Entwickler in der Mailingliste der Coreutils auf Gnu.org bereits darüber, dass vorraussichtl. in Version 6.9 SELinux voll unterstützt werden soll und in einigen CVS-Variationen soll es bereits laufen - ist also ne Frage der Zeit (evtl ja schon in 2-3 Monaten) wann die releasen

Hab auch schon gelesen, dass das fest mit rein soll. Ist auch vernuenftig.

Mit den beiden Patches werd ich mal schauen wie das aussieht.
Nur hab ich mein System mit dem ich vorhin getestet hab halt schon wieder geplaettet um den GCC 4.0 Test laufen zu lassen. Ich benutz dafuer immer das gleiche Image-File.

Obwohl, ich hab noch ein CD-Image, damit muesste ich ja testen koennen.
Ich werd das mal probieren.

Nachtrag: So, getestet und fuer gut befunden.
Dein Problem koennte uebrigens damit zusammenhaengen, dass Du versuchst mit den alten CoreUtils die neuen zu kompilieren, warum auch immer. Auf jeden Fall kann ich in meinem aktuellen System (also das mit dem ich jeden Tag arbeite) auch nicht die neuen CoreUtils kompilieren. Mit der LiveCD oder dem fertig installierten System, wo ja bereits die neuen CoreUtils drauf sind, ist es aber kein Problem.

Nachtrag 2: Hmm, mit den Patches konnte ich die neuen CoreUtils auch auf meinem aktuellen System uebersetzen. Das Problem muss also scheinbar woanders liegen.
Naja, Tests laufen, und es wird sich zeigen ob sich alles wie erwartet installieren laesst. Aber im Grunde bin ich zuversichtlich.
Wenn das alles laeuft duerfte es an irgendwas anderem in der von Dir genutzten Version des EasyLFS liegen.
Aber dafuer lass ich ja die Volltests laufen, sodass ich zumindest weiss dass die Scripts alle in Ordnung sind und auch alle Abhaengigkeiten aufgeloest sind.

Ich denk es ist mal Zeit fuer eine komplette Liste der kommenden Version.
So kann dann jeder gleich sehen was denn so dabei ist.
Dabei ist natuerlich zu bedenken, dass nicht alle Pakete installiert werden (es wird z.B. nur ein GCC installiert), einige Pakete sind optional und werden standardmaessig nicht installiert.

Code :

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111

autoconf           2.61                automake           1.10                bash               3.2                bash-doc           3.2                beecrypt           4.1.2              bin86              0.16.17            bind               9.3.4              binutils           2.17                bison              2.3                bzip2              1.0.4              checkpolicy        1.34.0              coreutils          6.7                dcron              3.2                dejagnu            1.4.4              device-mapper      1.02.18            dhcp               3.0.5              diffutils          2.8.1              dmraid             1.0.0rc13          dosfstools         2.11                dpkg               1.10.28            e2fsprogs          1.39                eject              2.1.5              expect             5.43.0              file               4.19                findutils          4.2.29              flex               2.5.33              fuse               2.6.3              gawk               3.1.5              gcc                3.4.6              gcc                4.0.4              gcc                4.1.2              gettext            0.16.1              glib               2.12.9              glibc              2.5                glibc-linuxthreads 2.5                grep               2.5.1a              groff              1.19.2              gzip               1.3.3              hdparm             6.9                iana-etc           2.20                inteutils          1.5                iproute2           2.6.19-061214      iptables           1.3.7              jfsutils           1.1.11              joe                3.5                kbd                1.12                kexec-tools        1.101              less               382                lfs-bootscripts    6.2                libselinux         1.34.0              libsemanage        1.10.0              libsepol           1.16.0              libtool            1.5.22              libusb             0.1.12              libxml2            2.6.27              lilo               22.7.3              linux              2.6.20              lm_sensors         2.10.2              lynx               2.8.6              m4                 1.4.8              make               3.81                man                1.5p                man-pages          2.43                mc                 4.6.1              mdadm              2.6                mktemp             1.5                module-init-tools  3.2.2              nano               2.0.3              nasm               0.98.39            ncftp              3.2.0              ncurses            5.6                neon               0.26.3              net-tools          1.60                ntfsprogs          1.13.1              openssh            4.5p1              openssl            0.9.8d              parted             1.8.2              patch              2.5.4              pciutils           2.2.4              perl               5.8.8              pkg-config         0.21                policycoreutils    1.34.1              procps             3.2.7              psmisc             22.3                python             2.5                readline           5.2                refpolicy          20061212            reiserfsprogs      3.6.19              rpm                4.4.7              screen             4.0.2              sed                4.1.5              shadow             4.0.18.1            slocate            3.1                smartmontools      5.37                sqlite             3.3.13              swig               1.3.31              sysfsutils         2.1.0              sysklogd           1.4.1              sysvinit           2.86                tar                1.16.1              tcl                8.4.14              texinfo            4.8a                udev               105                udev-config-rules  6.2                usbutils           0.72                util-linux         2.12r              vim                7.0                wget               1.10.2              which              2.16                xfsprogs           2.8.18              zlib               1.2.3

Das ist also nun die verfuegbare Software fuer EasyLFS 0.2.6, welches hoffentlich noch diese Woche fertig wird.

Habe die Coreutils mit dem Patch von RedHat kompilieren können, SELinux funktioniert auch wie erwartet - muss also an deinem Sys liegen *arbeit hinschmeiss undmich jetzt an PAM (Pluggable Ath. Modules) ranmache,um dasmit SELinux zu testen ...