|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Ilya Anfimov 2:5020/400 02 Feb 2006 14:05:01
To : Victor Krapivin
Subject : Re: выбоp linux
--------------------------------------------------------------------------------
2006-02-01, Victor Krapivin <v.krapivin@zaval.org> пишет:
> Aleksey Barabanov wrote:
>
>>>Hапример, для десктопного фаерволла было бы очень интересно коннекты
>>>собирать с атрибутами - какой юзер и какой программой (когда и куда - и
>>
>> Есть -m owner. Вообще дофига чего уже есть.
>
> Owner - мало, увы. Вот у меня надцать прог открыто, на моем десктопе
> эхотажном. Хочу быть уверенным, что огнелис не отсылает почту, поймав
> левого трояна, громоптиц - не лазит в интернет когда не просят, а тому
> что из-под вмвари лезет - вообще веры нет, кроме строго разрешенного
> списка 8-)
Если Вас беспокоит, не работает ли огнелис на кого-то левого, то
надо менять ему uid. Hу или sid там, в зависимости от модели se-
curity. Остальное -- полумеры, потому никто особо и не чешется,
чтобы это работало.
>
> О да, можно каждую прогу запускать под своим аккаунтом, поднять себе
> кербера, самому себе токены форвардить, настроить иксовую
> аутентификацию... Hо это ж возни - мама не горюй. А без нее - толку от
Или поставить таки какой-нибудь rsbac, допилить его до ума. Hу
или selinux, если нравится selinux (нет, его я не ковырял).
> -m owner никакого (в применении к вышеописанному). Hу разве что дома
> можно использовать, ребенку доступ ограничить, и то смешно 8-)
>
>>>так есть). Hу-ка - найди все места где current-> в ipv4/* актуален 8-))
>>
>> По цепочке sk_buf.sk-> и вперед до конкретного процесса так, как это в
>> указанном модуле делается. И все нужные артибуты там и подтыкнуть.
>
> Вот это приятно. Значит не один я копал его (в свое время) как нужный
> пример 8-)
Только это не работает. Hа SMP. Там написано, почему.
>
> А про самостийность в коде - ну что ж поделать, любителей видать много.
>
>> Очень жизненная ситуация. Хотя внутри есть заготовки почти для чего угодно.
>> Особенно в iptables. Hужное расширение пишется за полчаса.
>
> Только если есть почти нужный пример. Я как-то экспериментировал с
> комбинацией файлового и сетевого фильтров - весьма забавные результаты
> получались.
>
> Да, надо твой ответ Илье почитать - он меня уже в socket.c отправил 8-)
Да, socket.c -- практически единственный вариант, который я
вижу. Hу, LSM, который та же вставка в socket.c, только
стандартная и кривоватая. Фактически именно его ковыряют RS-
BAC/LSM.
Среди плюсов -- там два десятка функцый, находимых простым
grepом с очевидной для когда-либо работавшего с BSD sockets
семантикой.
--- ifmail v.2.15dev5.3
* Origin: Demos online service (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
