SE (security enhanced) Linux

1 名前：login:Penguin [04/06/12 05:18 ID:s7bBlWwQ] SE Linux についてのスレです。 利点、問題点、導入に当たっての注意など。 www.selinux.jp/ www.selinux.gr.jp/ www.amazon.co.jp/exec/obidos/ASIN/4847028104/ref=sr_aps_b_9/250-6763748-6898652 175 名前：login:Penguin mailto:sage [2005/04/10(日) 12:19:17 ID:JCyLqN7t] 邪な心があるから読めないんだよw 176 名前：167、173 mailto:sage [2005/04/10(日) 12:50:56 ID:rXUX0agL] >>174 言われてみれば、そこまで長いソースでないので頑張って読んでみます。 だけど、知らない関数が… ちなみに、ソースコードの.arからアラビア語だと思って、翻訳かけたらすごいことに… コメント文に何が書いてあるかちと知りたい。 177 名前：login:Penguin mailto:sage [2005/04/10(日) 13:18:31 ID:P0rRpkGQ] >>176 そのまま自動翻訳掛けてる時点でMake Exploit C0D3D by [Hellraiser]を自分で訳してみな。 178 名前：login:Penguin mailto:sage [2005/04/10(日) 13:31:10 ID:2od0vbE4] アラビアって名前の国はないんでどうかひとつ アラブ首長国連邦なら .ae サウジアラビアなら .sa 世界のドメイン情報 www.benri.com/domain/ 179 名前：login:Penguin mailto:sage [2005/04/10(日) 14:53:54 ID:rXUX0agL] >>177 >Exploit C0D3D by [Hellraiser]を自分で訳してみな。 自分で訳したら、「Hellraiser（ヘルレイザー）によってC0D3Dを開発する」 って感じになるのですが....。 >>178 間違ってたみたいですね。 arだからアラビア圏のどっかだと思ってました。 .arは、アルゼンチンですね（言語はスペイン語） ありがとうございますm(__)m 180 名前：login:Penguin mailto:sage [2005/04/10(日) 15:25:30 ID:XO5Kjlei] C0D3D ってのは coded って読むのだよ。 181 名前：167、173、179 mailto:sage [2005/04/10(日) 15:38:35 ID:rXUX0agL] >>180 そうだったのですか。ありがとうございます。 ということは、「Hellraiser（ヘルレイザー）によって功績は暗号化された」ってことになります。 >そのまま自動翻訳掛けてる時点でMake の意味が分かりました＠＠ 182 名前：login:Penguin mailto:sage [2005/04/18(月) 18:09:48 ID:GyZFJyyz] googleで調べりゃくさるほどコード出てくるけどな もっとよく探してから聞けよ なんか話がそれてるな 183 名前：login:Penguin mailto:sage [2005/05/02(月) 00:02:16 ID:nQQXjlrv] Oracleのポリシーできた？ ってか、日本オラクルは作ってくれないの？ 184 名前：login:Penguin mailto:sage [2005/05/12(木) 22:47:07 ID:JM0i3cbl] ttp://www.nsa.gov/selinux/ HTTP/1.1 200 OK Connection: close Date: Thu, 12 May 2005 13:37:45 GMT Server: Microsoft-IIS/6.0 どこまでほんと？ 185 名前：login:Penguin [2005/05/28(土) 19:24:31 ID:SZbGwWIV] ﾊｧ? 186 名前：login:Penguin mailto:sage [2005/05/30(月) 00:13:44 ID:KWwFz+yC] >>184 ヘッダ情報だけだからいくらでも偽装できる 187 名前：login:Penguin mailto:sage [2005/05/30(月) 08:40:40 ID:iZPaZpQK] >>184 Windows Serverっていうのは本当っぽいよ。 OSとWeb Serverを表示させるHPでやってみたら、 OS:Windows Server 2003 Web Server:Microsoft-IIS/6.0 って出てきたから。 188 名前：login:Penguin mailto:sage [2005/05/30(月) 08:57:51 ID:i64dRy21] 流石NSAだ 俺らはWindowsだろうと堅固に出来るぜということか 189 名前：login:Penguin mailto:sage [2005/06/21(火) 23:35:20 ID:k46Hhdg9] age 190 名前：login:Penguin [2005/07/14(木) 05:17:41 ID:TFsXQ32L] 　 191 名前：login:Penguin mailto:sage [2005/07/22(金) 03:52:12 ID:WIaeG04T] ＮＳＡによる壮大な釣り・・・・だと思う 192 名前：login:Penguin [2005/07/22(金) 09:58:25 ID:ymZGW3HP] Windowsの方がLinuxより堅牢にするのは簡単そうだ Windows： 穴がすぐ出来るがすぐ塞がる Linux： 穴がなかなか出来ないがなかなか埋まらない だからな 193 名前：login:Penguin mailto:sage [2005/07/23(土) 01:23:00 ID:OG8etS/6] >>192 もうすでに発表から何ヶ月も過ぎている穴がいくつもポコポコあいてますが・・・ MSは穴を塞ぐ気がないようですが・・・ 簡単ですか・・・そうですか・・・ 194 名前：login:Penguin mailto:sage [2005/08/03(水) 12:52:41 ID:oR/NUpKB] >>192 お前はアホか？ Windows : 穴がすぐ見つかる上にMSにその気がなければ、平然と何ヶ月も放置。全てはMSの気分次第。 Linux : Windows同様、穴が見つかる事も多々あるが、オープンソースコミュニティにより、誰かがその穴を塞ぎすぐにパッチがでる。 195 名前：login:Penguin [2005/08/03(水) 13:11:10 ID:kkYvCA+6] >>194 ＞誰かがその穴を塞ぎ ここが弱い。近年どんどん弱まってる。保証も無い。 MSの場合、気分次第とは言ってられないから必ず穴は塞がれる。 196 名前：login:Penguin [2005/08/03(水) 20:24:58 ID:E0to4R2W] headlines.yahoo.co.jp/hl?a=20050802-00000004-cnet-sci だとよｗ 197 名前：login:Penguin mailto:sage [2005/08/04(木) 17:05:15 ID:YSDGc6SO] >>195 MS狂信者が何故ここに？ www.google.com/search?hl=ja&lr=lang_ja&ie=UTF-8&oe=UTF-8&q=Windows+%E6%9C%AA%E4%BF%AE%E6%AD%A3+%E8%84%86%E5%BC%B1%E6%80%A7&num=50 198 名前：login:Penguin mailto:sage [2005/08/14(日) 21:14:51 ID:q9taHhbq] make　clean 199 名前：login:Penguin mailto:sage [2005/08/17(水) 14:17:36 ID:jxiwnKnn] -bash: make　clean: command not found 200 名前：login:Penguin mailto:sage [2005/08/20(土) 08:12:24 ID:t4rnP1is] コマンドまたはファイル名が違います 201 名前：login:Penguin mailto:sage [2005/09/07(水) 01:47:37 ID:elRriIGS] newrole -r 2ch_r 202 名前：login:Penguin mailto:sage [2005/09/07(水) 14:08:57 ID:0G7ZHT98] RHEL4 で初めて SELinux であたふたしたんですが FC4 使ってる人達はあたふたしないもんなんでしょうか。 このスレは非常に平穏に過ぎてるなあ。 203 名前：login:Penguin mailto:sage [2005/09/07(水) 15:28:50 ID:t3rUMEED] >>202 速攻でSEは殺すから大丈夫ですよ 204 名前：login:Penguin mailto:sage [2005/09/07(水) 16:58:45 ID:KYtN4k3E] SELinux Policy Editor　使うと楽なの？ 205 名前：login:Penguin mailto:sage [2005/09/07(水) 17:10:20 ID:CRe7RktX] いいえ 206 名前：login:Penguin mailto:sage [2005/09/07(水) 18:41:35 ID:0G7ZHT98] (使えない)SEは(誰かが)頃すから (使えるSEだけになるので) 大丈夫ですよ。 207 名前：login:Penguin mailto:sage [2005/09/08(木) 00:26:59 ID:nZgiZuQI] fedora core 1にSE Linuxを組み込んでいろいろしてたのを考えると、 fedora core 3、4のほうがめちゃ楽。 208 名前：login:Penguin mailto:sage [2005/09/08(木) 10:52:58 ID:kfF39xdr] RHEL4 で、SELinuxを簡単に設定する方法ないですかね？ 209 名前：login:Penguin mailto:sage [2005/09/08(木) 18:48:36 ID:y+gQmP+M] SE Linux の設定と言うけれど 1. setenforce 0 で殺した 2. コンテキストを与えまくった 3. bool を変えまくった 4. 俺専用ポリシーを作成した どの辺りまで実践してるんだろう。 210 名前：login:Penguin mailto:sage [2005/09/08(木) 19:55:10 ID:u+Mb3QrM] >>209 ４　が簡単な方法。。。があれば。orz... LIDS 　の方が簡単そうで良いけどね。 211 名前：名無しさん＠そうだ選挙に行こう mailto:sage [2005/09/11(日) 20:38:39 ID:yYfCHbsY] セキュリティはいつの時代も難しいね。 SELinuxもそのうち慣れそうと思ったけど 212 名前：login:Penguin mailto:sage [2005/09/12(月) 15:05:48 ID:fUDuQO6Y] >>209 0.Fedoraインスコ時、チェックボックスをクリック(デフォ？) orz 213 名前：login:Penguin mailto:sage [2005/09/12(月) 15:52:33 ID:i50Yk/Pv] >>211 でも、全然なれない。複雑すぎ。orz >>212 その画面で警告にするんだよね？ 214 名前：login:Penguin mailto:sage [2005/09/13(火) 09:25:39 ID:VSGAA3Pf] 複雑って言うか面倒だよなあ。。 xinetd から立ち上げるサービスが有ったとして 個々のサービスについて複雑にアクセス制御できるんだろうか？ とりあえずオライリーのSELinux本買ってきたけど 読み終わるまでしばらくかかりそうな薬缶。 215 名前：login:Penguin mailto:sage [2005/09/13(火) 11:06:05 ID:yr4ZJwvi] >>214 その手のは出来るよ。 厳格に運用するマシンじゃないとただ面倒なだけだね。 216 名前：login:Penguin mailto:sage [2005/09/13(火) 17:36:43 ID:/MCEH955] domain_auto_trans(inetd_t,***_exec_t,***_t) で分けられそうじゃん 217 名前：login:Penguin mailto:sage [2005/09/27(火) 00:35:06 ID:W9xcpqf7] ターボってSELinux入っているのね。 セキュアOSもホリエモンか 218 名前：login:Penguin mailto:sage [2005/10/11(火) 23:20:11 ID:r8plUfZk] 勉強会あるみたいだよ 219 名前：login:Penguin mailto:sage [2005/11/25(金) 02:58:44 ID:kxWbPbG4] セキュアOS盛り上がらないね なぜ？ 220 名前：login:Penguin mailto:sage [2005/11/25(金) 06:00:43 ID:dkeSDxLD] www.atmarkit.co.jp/fsecurity/rensai/selinux01/selinux01.html 221 名前：login:Penguin [2005/12/15(木) 22:15:40 ID:Qqr6E85d] SELinuxシンポジウムに行く香具師はいないのか？ 222 名前：login:Penguin mailto:sage [2005/12/25(日) 13:04:17 ID:ZucL9yrx] SELinuxも何かあるのか。。 米国家安全保障局（ＮＳＡ）の国内盗聴問題で、米紙ニューヨーク・ タイムズ（電子版）は２３日、盗聴などの情報収集は、複数の通信会社 の協力を得て通信網の根幹部分に直接アクセスして行われ、得られた 情報量はホワイトハウスが確認しているよりもはるかに大量である可能性 がある、と報じた。 同紙によると、ＮＳＡがアクセスしていたのは、米国の通信回線と国外 の通信回線をつなぐ「スイッチ」と呼ばれる交換機に当たる部分。当局者らは 「大規模データ採掘作戦」と呼び、電話や電子メールの発信地や送り先、 日時や通話時間などのパターンを分析。２００１年の米中枢同時テロ以降は、 特にアフガニスタン絡みの通信に注意していたという。 主要通信会社の元技術担当責任者によると、複数の通信会社が通信 データを保存、テロリストの捜索を支援するため、連邦政府にデータを 提供。ＮＳＡで以前勤務していた専門家によると、当局はこの技術を利用 するため、通信会社に対し、米国を経由する国際通信量を増やすよう 働き掛けていたという。 www.sankei.co.jp/news/051224/kok067.htm 223 名前：login:Penguin mailto:sage [2005/12/25(日) 18:31:59 ID:aP6RzIW/] 俺がソース読んだ限りでは変な記述は見当たらなかったが、 それほど自分のスキルに自信があるわけでもないので言い切れない(笑) 224 名前：login:Penguin mailto:sage [2006/02/15(水) 00:40:42 ID:CtdekGRh] ここでいいのかわからんけれど /home/oreore/public_html に user_u:object_r:httpd_sys_content_t にしているわけで これだと、FTPやSambaからアクセスできないです ちょっとした CGI を作ろうと思ってここまできましたが どうすればいいでしょう？ 225 名前：login:Penguin [2006/02/28(火) 02:11:12 ID:EuS24R+g] allow ftpd_t httpd_sys_content_t:file r_file_perms; allow samba_t httpd_sys_content_t:file r_file_perms; 226 名前：login:Penguin mailto:sage [2006/03/14(火) 23:05:02 ID:AZmBKFnA] >>225 ありがとう うまくいきました 227 名前：login:Penguin [2006/03/14(火) 23:39:58 ID:/Js5s5In] >>225 それだと、ファイル生成やサブディレクトリへのアクセスができない。 allow {ftpd_t samba_t} httpd_sys_content_t:notdevfile_class_set create_file_perms; allow {ftpd_t samba_t} httpd_sys_content_t:dir create_dir_perms; の方がより適切 228 名前：login:Penguin mailto:sage [2006/03/20(月) 23:27:52 ID:VQ85yjvJ] 最小権限をどこまで最小権限にするのかの見極めが難しいな 229 名前：login:Penguin mailto:sage [2006/03/22(水) 00:51:02 ID:UqoYLMbZ] 確かに アクセスできたことで、安心してしまっていた >227 samba_t まわりでエラーが出ます まぁ、FTP使えればいいんですけどね 230 名前：login:Penguin mailto:sage [2006/03/23(木) 11:30:16 ID:62GALYzX] allow {ftpd_t smbd_t} httpd_sys_content_t:notdevfile_class_set create_file_perms; allow {ftpd_t smbd_t} httpd_sys_content_t:dir create_dir_perms; を apache.te に入れたらうまくいきました ありがとうございます 231 名前：227 [2006/03/26(日) 20:28:58 ID:27E7HmkK] >>230 すまん、samba_tじゃなかった。 あと、CGIを動かす場合には httpd_sys_script_exec_t 付けるのを忘れないようにねん。 232 名前：login:Penguin mailto:sage [2006/03/29(水) 03:00:12 ID:HQBRg2uP] たいして勉強もしないでSELinux難しいって言うやつ多いよ 233 名前：login:Penguin mailto:sage [2006/03/29(水) 08:03:39 ID:CvH+CUAc] 難しいんじゃなくて面倒くさい。 234 名前：login:Penguin mailto:sage [2006/03/29(水) 08:03:40 ID:9P02Nfg2] 面倒くさい→難しい ってことなんじゃね？ 235 名前：login:Penguin mailto:sage [2006/03/29(水) 08:05:07 ID:9P02Nfg2] 1秒差かよｗ 236 名前：login:Penguin mailto:sage [2006/03/29(水) 11:44:57 ID:UP8y3H8S] >>232 勉強しなきゃいけないから、難しい って理屈は通りませんか？ 237 名前：login:Penguin mailto:sage [2006/03/29(水) 11:49:59 ID:QcX2cin5] 難しいから勉強するんじゃね? 238 名前：login:Penguin mailto:sage [2006/03/29(水) 21:35:47 ID:HQBRg2uP] iptablesとかsnortもSELinuxを同じくらい面倒ではないか 239 名前：login:Penguin mailto:sage [2006/03/30(木) 01:35:10 ID:KGSVIhop] 日本語で(ｒｙ 240 名前：login:Penguin mailto:sage [2006/03/30(木) 03:13:52 ID:UbuRNvya] めずらしくレスあるな。 SELinuxとTOMOYOLinuxできればどこでも転職できます ぐらいの売り込みすればみんなOFFにしないんじゃん 実際まだ扱える人材は少ないけど、注目度は高いんだし 241 名前：login:Penguin mailto:sage [2006/03/30(木) 23:42:31 ID:vYvTHlZE] とりあえず今からVine用にポリシーを書いて安定動作させられるだけの人材なら転職が楽だと思う 242 名前：login:Penguin mailto:sage [2006/03/31(金) 03:54:04 ID:c2Q2PtAv] 今はSELinuxを扱える人材を募集している会社がまだそんなになさそう。 そのうちLinuxを扱うエンジニアには必須項目になってくると思うけどね。 243 名前：login:Penguin mailto:sage [2006/03/31(金) 12:19:46 ID:E8eNEfyd] 本気か？ こんなめんどくさいもん入れるやつは出てこないよ。 244 名前：login:Penguin mailto:sage [2006/03/31(金) 13:29:50 ID:cBe4lNwk] 面倒だからこそメシの種になるんじゃないのか 245 名前：login:Penguin mailto:sage [2006/03/31(金) 15:37:39 ID:UiGwZxlZ] ここにもいるであろう”SELinuxを扱える人”って、MLSやらDTEやらRBACやらのセキュリティポリシーモデルもちゃんとお勉強したの？？ 246 名前：login:Penguin mailto:sage [2006/03/31(金) 19:33:26 ID:E8eNEfyd] >>244 客は理解できないから発注しない。 247 名前：login:Penguin mailto:sage [2006/03/31(金) 23:36:30 ID:AEimUosf] つうか、SELinuxのポリシーを業務で *本当に* 扱えるってことは、システムの要件全体や 全プロセスの挙動、業務フローまで全部理解してるはずじゃない？ それだけのスキルがあればSELinux抜きでもメシを食えると思う Hello Worldレベルの設定で喜んでるなら別だけど 248 名前：login:Penguin mailto:sage [2006/03/32(土) 01:43:32 ID:JDoyVCsD] targetedならできそうじゃね？ 249 名前：login:Penguin mailto:sage [2006/04/04(火) 23:03:35 ID:dbz5rSMH] FedoraCore5のSELinux触った？ 新しくなっててよくわからなくなってるし 250 名前：login:Penguin [2006/04/04(火) 23:39:02 ID:Nxd02Sjx] FedoraCore5のMCSにはバグがあるから気をつけろ。 251 名前：login:Penguin mailto:ge [2006/04/05(水) 00:33:30 ID:RyEzmfa8] アメリカの軍事機関産なんてもんは ウィルス流し込むのと変わらん 252 名前：login:Penguin mailto:sage [2006/04/05(水) 00:33:48 ID:18+Z0sd8] MCSにバグあるのか。そもそもMCSをよく理解してないけど。。 253 名前：250 [2006/04/05(水) 00:36:27 ID:v5+HM8wU] プロセスのカテゴリ間遷移に何の制約もかかってないので、結局どんなカテゴリを設定したところで % runcon -l SystemLow-SystemHigh /bin/bash 一発でアクセス可能になってしまうという…。 254 名前：login:Penguin mailto:sage [2006/04/05(水) 08:12:00 ID:kamtW6c3] >>251 そうだな。 255 名前：login:Penguin [2006/04/05(水) 12:34:02 ID:fw77qyCk] ネットの技術なんてアメリカの軍事から産まれたの多くないか？ 日本だと防衛庁がつくれば日本人エンジニアも納得って感じか？ 256 名前：login:Penguin mailto:sage [2006/04/06(木) 07:25:54 ID:oviNSQ1N] それなんて富士通？ 257 名前：login:Penguin [2006/04/06(木) 11:28:37 ID:YEiCHFN4] それってWindowsUpdateはウイルス流し込むのと変わらない と言っているのと同じ気がするけど 258 名前：login:Penguin mailto:sage [2006/04/07(金) 01:08:46 ID:6DBpvXFo] SystemLow-SystemHigh ってなんだ？ また新しい機能はいったん？ 259 名前：250 [2006/04/07(金) 15:32:43 ID:niRmaLXj] >>258 それがMCSクオリティ デフォルトの設定で、全てのカテゴリを包含する(全てのカテゴリに権限を有する)カテゴリに対して付けられたエイリアス 要するに、カテゴリ0〜カテゴリ255まで全部ってことだな。 /etc/selinux/targeted/setrans.conf 見れ # # Multi-Category Security translation table for SELinux # # Uncomment the following to disable translation libary # disable=1 # # Objects can be categorized with 0-256 categories defined by the admin. # Objects can be in more than one category at a time. # Categories are stored in the system as c0-c255. Users can use this # table to translate the categories into a more meaningful output. # Examples: # s0:c0=CompanyConfidential # s0:c1=PatientRecord # s0:c2=Unclassified # s0:c3=TopSecret # s0:c1,c3=CompanyConfidentialRedHat s0= s0-s0:c0.c255=SystemLow-SystemHigh s0:c0.c255=SystemHigh 260 名前：login:Penguin mailto:sage [2006/04/08(土) 19:50:52 ID:iy4/n+cL] Fedora Core 5 にして、現在後悔中 どうやってポリシーいじればいいんだ・・・ 261 名前：login:Penguin mailto:sage [2006/04/08(土) 21:02:53 ID:st9vL7l7] FC4→FC5は別物だな 262 名前：250 [2006/04/10(月) 00:01:01 ID:C/cakVDw] seibun.nosv.org/?p=SELinux SELinuxの71%は罠で出来ています SELinuxの13%は情報で出来ています SELinuxの8%は気の迷いで出来ています SELinuxの8%は理論で出来ています なんか笑えた。結構合ってるような気が…。 263 名前：login:Penguin mailto:sage [2006/04/10(月) 11:34:49 ID:yj7wkDKQ] >>262 ﾜﾛﾀ やっぱりfedoraは危険だなぁｗ 264 名前：login:Penguin mailto:sage [2006/04/11(火) 20:16:14 ID:SajR50yj] >>262 exe版と結果が違うんだが。 265 名前：login:Penguin mailto:sage [2006/04/11(火) 21:32:30 ID:BhjOi48X] ってかMLSとか、MCSって必要なの？ いままでの仕組みで十分じゃね？ 266 名前：sage [2006/04/11(火) 21:40:45 ID:GCPU4MAU] MCSはすっごく使いやすいで。 ポリシー全く編集せずに特権分割まがいのことができる。 267 名前：login:Penguin mailto:sage [2006/04/11(火) 21:52:15 ID:BhjOi48X] カテゴリーごとに分割するだけでいいってことかな。 勉強してみよう。 268 名前：login:Penguin mailto:sage [2006/04/16(日) 12:51:52 ID:3ADQtYrD] SELinuxを有効にして運用しているサイトってどれぐらいあるの？ 269 名前：login:Penguin mailto:sage [2006/04/16(日) 21:38:44 ID:Nq8scThW] # ls -Z が出来なくなりました [root@xxxx ~]# ls -Z Sorry, this option can only be used on a SELinux kernel. こんなメッセージが出ます。 どこを直したら良いでしょうか？教えてください。 270 名前：269 mailto:sage [2006/04/16(日) 21:52:19 ID:Nq8scThW] 自己解決しました。 SELinux Policy Editor　を導入したためでした。 お騒がせしてすいませんでした。 271 名前：login:Penguin mailto:sage [2006/04/18(火) 21:31:04 ID:H2PkL+Ho] ラッセルって誰ですか？ 272 名前：sage [2006/04/18(火) 21:39:30 ID:6edQt34n] >>271 赤帽の人です 273 名前：login:Penguin mailto:sage [2006/04/18(火) 22:06:21 ID:H2PkL+Ho] なるほど。赤帽の人ですか。 日本で勉強会するために来日とかですか 274 名前：login:Penguin mailto:sage [2006/05/01(月) 03:48:11 ID:GQZu5Odn] ラッセルは何しにきたの？ 275 名前：login:Penguin [2006/05/03(水) 16:22:37 ID:FbhDLGnH] ここの過去ログかなり参考になったのであげときます 許可されていない操作です　で拒否られないようにっと＞＜

---

---

[ 続きを読む ] / [ 携帯版 ]

read.cgi ver5.27 [feat.BBS2 +1.6] / e.0.2 (02/09/03) / eucaly.net products.
担当:undef