M. Takeyama です。
On Wed, 28 Apr 2004 13:18:37 +0900
Hirano Kazunari
SELinux
あるセミナーで次のような話を聞きました。
SE（Security Enhanced）LinuxはRBAC（Role Based Access Control）機能を付 加するものである。 だから、Linuxカーネルにパッチを適用する必要がある。 kernel 2.4系以前だと確かにパッチを適用が必要だったようですが kernel 2.6系だとパッチを適用は必要がないみたいです。 ＃kernelのビルド時のオプションには依存するかもしれません。
かつ、kernel 2.6系だとLSM(Linux Security Modules)の機能を利用 してSELinuxやLIDSというようなセキュリティモジュールを切り替え ることが容易にできるようです。 ＃さすがに、networkのドライバーみたいに動的にはできないでしょう。
そのため、プログラムの互換性に影響を与える可能性がある。 defaultをSElinuxとしておけば普通のkernelと同じ動きを するのではないでしょうか。 ＃少なくとも 私は、そう認識しています。
商用ソフトウェアが動作しなくなったり、サポート対象外になる可能性がある。 使うときは、自己責任で使うようになると思います。 (それまで、保証してくださいということではありません。)
ただ、FC2(Redhatの最新版のテストバージョン)なんかは 標準的なテンプレートがついているようなのでSUSE(ディストロ) としてそのようなテンプレートはつける／つけない ”どうなるだろうか？”ということです。
また、BOF（Buffer Over Flow)防御機能はもっていない。 これに関しては、SElinuxが万能だとは思っていません。
SELinuxの有効なところは、デーモン(アプリ)がBOF(Buffer Over Flow) で権限を取られるようなことがあっても、プロセス毎に細かく ACL(アクセスコントール)できることや権限昇格の制御すること によって不正アクセスの被害を最少限くい止めることができる というメリットがあると思います。 ＃サーバ管理者的には、導入するメリットは大いにあると ＃思います。(これから勉強モードです。) ちなみに、SELinuxモジュールには ・MAC(強制アクセス制限) --- 全プロセスに関する制御みたいです。 ・TE(Type Enforcement) --- プロセス単位のＡＣＬ ・ドメイン遷移 --- 権限昇格の制御 ・ＲＢＡＣ --- ユーザ単位の権限分割 ・監査ログ --- プロセス動作やユーザ行動を監査可能にする為 ・SELinux API --- SELinux用のアプリ開発用ＡＰＩ (オプション機能) ・MLS --- 軍事用のＯＳの為の制御機能 ・タイプつきIP通信 --- SELinux同士の通信用(IPSecを使うみたい) などの機能があるようです。 日立ソフトさんが運営しているＭＬがありますので詳しいことは そちらの方で議論されると良いと思います。(結構、hot だと思います。) http://www.selinux.hitachi-sk.co.jp/ml/ml-selinux-users-ml.html ----- M. Takayama