TOMOYO Linux

1 名前：login:Penguin [2006/07/07(金) 16:28:14 ID:+/HOu7cX] 向こうはスレッド名がよくないのとＣＣさくらヲタしか集まってこないのでフォークした。 重複ではないと思っている。 TOMOYO Linux プロジェクト tomoyo.sourceforge.jp/ja/doc/index.html 559 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/20(火) 22:48:31 ID:fRb2xm4v] LKML関係で今日ちょっと良いニュースがあります。 version 2.1は現行のLSMに合わせています。そのため実現できる機能は LSMの仕様により制限されます。制約となるわけです。 制限のひとつが、ネットワークのMACで、受信系のフックが使えません。 これについて、熊猫さんが今まで何度も提案してはリジェクトされていましたが、 5回目の提案から続くスレッドの議論でなんとなく採用されるかもしれなくなってきました。 SELnuxのJames君がこんなことを言っています。 ttp://lkml.org/lkml/2007/11/19/353 560 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/20(火) 22:54:36 ID:fRb2xm4v] 新たにメインラインに提案しようとするセキュリティ強化はLSMに 合わせるしかないわけですが、LSMは必ずしも共通的に必要とされる機能が 検討、実装されているわけではなくて、SELinux用っぽくなっています。 そうするとSELinuxと違うアプローチや方式は非情にやりにくく、さらに LSMのメンテナや関係者がSELinuxよりだと限りなく不利です。 SELinuxより前によく考えられたLSMがあって、中立的に運用されていたら 多少事情は違ったと思いますが、LKMLの議論のすれ違いを見ていると 「これは合意は成立しないよな」と私は思ってしまいます。 561 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/20(火) 23:11:36 ID:fRb2xm4v] SDの1回目ですが、CentOS 4.5+TOMOYO 1.5.2にしてみました。 ただ、図については家では作業できないので明日以降少しずつ追加します。 562 名前：login:Penguin mailto:sage [2007/11/21(水) 12:36:27 ID:QNHC4DX/] TOMOYOのセキュリティーって、どこかのお炭が付いてるのかな。 563 名前：login:Penguin mailto:sage [2007/11/21(水) 20:22:59 ID:HXViqftq] 使い物にならないというのが現在の評価です。 564 名前：login:Penguin mailto:sage [2007/11/21(水) 22:09:22 ID:PP61eWSP] TOMOYOは学習がメインということは穴が多いということに直結するからな とはいってもSELinuxも蟻の一穴で瓦解するから大差ないけどな 565 名前：login:Penguin mailto:sage [2007/11/21(水) 22:49:07 ID:QNHC4DX/] TOMOYOの導入事例って、まだ無いの？ 566 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/21(水) 22:51:11 ID:Eeqa5ppP] >>565 tomoyo 商用システム　導入事例 567 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/21(水) 22:57:57 ID:Eeqa5ppP] >>565 セキュアOSの導入状況について、NISCが調査報告書を公開しています。 ttp://www.nisc.go.jp/inquiry/index.html 「電子政府で利用する情報システムへのセキュリティ機能を強化したＯＳの適用可能性等に関する調査研究」 568 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/21(水) 23:18:17 ID:Eeqa5ppP] >>562 CC認証のことを言っている？それなら ttp://www.ipa.go.jp/security/jisec/cert_list.html を見れば。 569 名前：login:Penguin mailto:sage [2007/11/21(水) 23:20:55 ID:PP61eWSP] ニコニコが急に見れなくなった。 これもやっぱりTOMOYOのせいなのか 570 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/21(水) 23:49:12 ID:Eeqa5ppP] >>564 > TOMOYOは学習がメインということは穴が多いということに直結するからな > とはいってもSELinuxも蟻の一穴で瓦解するから大差ないけどな 学習はポリシーの初期値作りのためであって、穴のないポリシーに到達する近道では あるけど、学習結果をそのまま使うようなことはしてはいけません。 「穴のない」は、セキュアOSの種類によらず目指すゴールですが、SELinuxの 場合は、ポリシーの正しさの他に「ラベルの正しさ」を実現しなければ ならないのと、ポリシー自体の可読性が低いという点が、TOMOYOに比べると 難しいと思います。 571 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/21(水) 23:54:10 ID:Eeqa5ppP] >>562 CC認証はセキュアOS選びの重要な基準なので下記の表に項目を追加しました。thanks ttp://tomoyo.sourceforge.jp/wiki-e/?WhatIs#comparison 572 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/22(木) 00:02:23 ID:Eeqa5ppP] ttp://www.ipsj.or.jp/sig/os/index.php?ComSys2007%2Fposter 573 名前：login:Penguin [2007/11/22(木) 02:56:43 ID:IG8xLyiw] はやくここに戻りたい・・・ 1月までまっててね。 574 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/22(木) 06:40:59 ID:T42GwYyM] >>573 1月でも2月でも板がある限り待ってる。 575 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/22(木) 06:50:27 ID:T42GwYyM] がんばれ。 576 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/22(木) 07:00:07 ID:T42GwYyM] 認証の意義や価値を否定はしない。 だけど肩書きや「お墨付き」を当てにする生き方はむなしい。 現にそうしたものを信用できないというできごとが増えている。 PacSecの講演タイトルは、 A Practical Method to Understand and Protect Your Own Linux Box 「自分の管理するLinux Boxなら、ちゃんと自分で把握して守れよ」 「そうでなくて誰が守る？おまえの箱だろ？」 そういう意味を込めている。"Practical"は、「実際に使える」ということだ。 タイトルを考えるのに約1ヶ月かけた。 577 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/22(木) 07:06:38 ID:T42GwYyM] "Understand and Protect"というのは、「内容を理解（把握）できずには 守れない」からこうなっている。reference policyでも良いけれど、 それなら、ちゃんと中身を読むべきだ。 資料ではTOMOYOをDIYアプローチと書いた。「自分で理解して守る」、 そう考える人にとってTOMOYOは最高のツールであり武器だ。そう信じている。 自分の考えやTOMOYOを押しつけるつもりはさらさらない。 良いと思ったら使えば良いと思っている。ひとりごとだよ。 578 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/22(木) 07:26:18 ID:T42GwYyM] ttp://d.hatena.ne.jp/sec-momiji/20071208 579 名前：login:Penguin [2007/11/22(木) 12:30:19 ID:IG8xLyiw] セキュアＯＳよりもセキュア環境が欲しいかな 580 名前：login:Penguin mailto:sage [2007/11/22(木) 15:56:23 ID:7hbiBwAR] 「自分が何をしたいのか」と「相手に何をさせたくないのか」をある程度明確にできないと結局どのセキュアOS使おうが穴だらけになる可能性は高いよね。 TOMOYO LinuxにしてもSE Linuxにしてもその他のセキュアOSにしても結局行おうとしていることに対しての手段でしかないんだし。 581 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/22(木) 23:01:24 ID:T42GwYyM] >>580 本当にそうですね。 「セキュアOS」「セキュリティ」、そう呼ぶと難しいですが、 もともとやりたいことは、単純で誰にでもわかる、誰にも必要なことなわけです。 以前も書いたかもしれませんが、私は最近あまり「セキュリティ」「セキュアOS」という 言葉を使いたくないと思っています。 582 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/22(木) 23:07:41 ID:T42GwYyM] SELinuxのmlで大変興味深いスレッドを発見しました。 「SELinux的世界」を体験できます。超お勧めです。先頭記事はこちら。 ttp://www.selinux.gr.jp/selinux-users-ml/200711.month/2058.html 583 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/22(木) 23:11:39 ID:T42GwYyM] この「SELinux的世界」を楽しいと思う人はきっとSELinuxに向いています。 私はパズルとしては面白いと思いますが、仕事で使う勇気はちょっとありません。 reference policyが落ち着いたら、状況は変わると思いますけれども。 584 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/22(木) 23:35:59 ID:T42GwYyM] このスレッドの面白さを理解するためのヒントは、SELinuxとTOMOYO Linuxに おけるドメインの考え方の違いにあります。参考資料としては ttp://lc.linux.or.jp/lc2005/slide/CP-09s.pdf 585 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/23(金) 00:29:54 ID:ikI5IeJ7] 2.1のネットワーク関係でバグが見つかったので、少し前に2.1.1をリリースしました。 もし使っている人があれば更新ください。 586 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/23(金) 00:36:29 ID:ikI5IeJ7] ネットワークセキュリティExpert 7の発売は12/8のようです。 TOMOYO Linuxプロジェクトで9ページの記事を書きました。 内容は現在挑戦中のメインライン化で、プロジェクトメンバー3人で 分担して書いていますが、結構面白いものになりました。 日経LinuxでもCELFの方がメインライン化について書かれたようで、 そちらの内容も楽しみにしています。 587 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/23(金) 00:51:01 ID:ikI5IeJ7] >>584 ちょっとだけヒント。 ttp://takabsd.jp/d/?date=20060906 あとで簡単に説明します。でふぁ 588 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/24(土) 09:58:57 ID:jgoLKUrq] PacSecの準備を始めたのでちょっと忙しくなりました。しばらくレスポンスが 悪くなるかもしれません。解説します。 SELinuxでは、アクセスの主体（サブジェクト）とアクセスの対象（オブジェクト）の ラベルにより、アクセスを許可して良いかどうか判断しますが、 サブジェクトもオブジェクトもラベルは「ひとつ」しか付与できません。 /bin/shでもApacheでも、特定の用途だけについてポリシーを書くことは 可能ですが、Linuxではさまざまなものが互いに関わりながら動いていますから それらをうまく「調停」するようなラベル付けを工夫しなければなりません。 「調停」のわかりやすい例は、/homeのラベルとApacheのラベルで、それが あっていないとApacheでユーザのホーム配下が開けなくなります（実際、 よくそうしたクレームがあがっていました） /bin/shには、（最新の状況は確認していませんが）shell_exec_tというラベルがつけられていて、 それに基づいて他のラベルやドメイン遷移は定義（設計）されていますから、 勝手に/bin/shのラベル定義を他のラベルに変更するとたちまち色々なものが動かなくなります。 そのことが理解できると、「reference policyであってもtargetedであっても 提供されているポリシーの内容を理解しないと、本当の意味でのカスタマイズは できない」という意味がわかると思います。（続く） 589 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/24(土) 10:05:09 ID:jgoLKUrq] 簡単に言えば、「普通の/bin/shとApacheでPHPから実行されるsystem()で 起こされる/bin/shを許可したい」のですが、SELinuxの仕様というか制約の中で それを実現しようとすると、スレッドにあるように普通の方法ではできないと いうことです。つまり、「実行して良い場合」と「実行させてはいけない場合」の 記述が容易でないのです。 この同じことはTOMOYO Linuxであれば一瞬でできます。 学習させて、そのドメインを選択し許可すれば良いのです。 TOMOYOではもともとそうした状況に沿ってドメインを自動的に定義（分離） しているから、ドメインの定義やドメイン名の付与すら必要でなく、 ただ、その場合（ドメイン）を選んでモードを変えてやれば良いだけです。 この例に限らず、TOMOYO Linuxのポリシーは「人間のシステム管理者に とって、自然でわかりやすい記述」になっています。だから使いやすいのです。 より詳しく知りたい方は下記論文も参考にしてください。 （論文を読むまでもないかもしれませんが） ttp://lc.linux.or.jp/paper/lc2005/CP-09.pdf 590 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/24(土) 10:08:48 ID:jgoLKUrq] このスレッドでもうひとつ参考にして欲しいのは、 「SELinuxを運用する」作業の実際のイメージです。 Fujiwaraさん達が連発している_tが「ラベル」です。ラベル方式の MACを使うということはこのようにラベルで考えることが必要です。 ・ラベル定義を設計する ・ラベル定義の設計に基づきアクセスポリシーを設計する となります。ただ、前述のようにラベル定義は自由に行うわけには いかず制約があります。reference policyでは、カスタマイズする部分を ユーザがモジュールとして作りやすいようになっていますが、 ラベルの調停の必要性については本質的に変わっていません。 591 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/24(土) 10:12:21 ID:jgoLKUrq] SD連載ですが、全１２回をひとつのページにすると巨大すぎるので分割することに しました。現時点で第1回はほぼ完了、第2回は書きかけ、第3回は本文はほぼ完、です。 第3回についてはtomoyo-devのクスノさんにご協力いただいています。 インデックスは、 ttp://tomoyo.sourceforge.jp/wiki/?WorldOfTomoyoLinux はてなのキーワードの中からも飛べるようにしておきました （できるだけ多くの方に読んでいただけるように） ttp://d.hatena.ne.jp/keyword/TOMOYO%20Linux?kid=81099 技評さんには「発売後３ヶ月おきます」と約束したので、9月号まで できるだけ早く転載したいと思います。もし、作業を手伝っていただける 方があればご連絡ください。 592 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/24(土) 10:18:03 ID:jgoLKUrq] 今朝、PacSecのアブストラクトが掲載されましたので、貼っておきます。 英語版から（アブストラクトも講演資料も英語と日本語作成しないといけないので 大変です） TOMOYO Linux: A Practical Method to Understand and Protect Your Own Linux Box Abstract TOMOYO Linux is an implementation of "manageable and understandable" mandatory access control for Linux 2.4/2.6 kernels. It was developed by NTT DATA CORPORATION, Japan and it has been available under the GPL license since Nov. 2005. The project is now trying to put their code to the mainline Linux kernel. With its unique feature of "automatic policy generation", TOMOYO Linux can be used to analyze the system behavior in depth as well as protecting from malicious attacks. The presentation will focus on how TOMOYO Linux compares to other secure-Linux projects in order to give audience appropriate information to choose suitable one. The on-line version of "secure-Linux" comparison table maintained by the speaker can be found at here. This presentation will include a brief demonstrations of TOMOYO Linux. 593 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/24(土) 10:19:17 ID:jgoLKUrq] TOMOYO Linux: あなたのLinuxサーバを理解し守るための実践的な手法 Abstract TOMOYO LinuxはLinux kernel 2.4/2.6のための「使いこなせて安全」な 強制アクセス制御の実装で、株式会社NTTデータにより開発され2005年 11月からGPLライセンスのオープンソースとして公開されています。 プロジェクトでは現在メインライン活動に取り組んでいます。 ttp://tomoyo.sourceforge.jp/ TOMOYO Linuxはそのユニークなポリシー自動学習機能により、 クラッキング対策としてだけでなく、システムの解析に用いることも 可能です。講演では、参加者の方々が自分にあったセキュアLinuxを 選ぶことができるようになるために必要な比較情報が提供されます。 比較情報は ttp://tomoyo.sourceforge.jp/wiki-e/?WhatIs#comparison でその最新版を参照することができます。講演では、TOMOYO Linuxに 関する短いデモが含まれる予定です。 資料は現在作成中ですが、今回のSELinuxのスレッドも盛り込みたいと 思っています。 594 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/24(土) 15:58:10 ID:jgoLKUrq] ネットワークセキュリティExpert 7の発売日は12月8日ではなくて10日でした。 失礼しました。 595 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/25(日) 07:39:46 ID:5c7oH0Sf] Ubuntu Japanese Teamの方から、TOMOYOのapt lineを教えてもらいました。 Experimental ttp://archive.ubuntulinux.jp/ubuntu-ja/gutsy-experimental/ に追加されています。/etc/apt/sources.lstに下記を追加すれば 利用できるようになります。 deb archive.ubuntulinux.jp/ubuntu-ja gutsy-experimental/ deb-src archive.ubuntulinux.jp/ubuntu-ja gutsy-experimental/ thanks >Ubuntu Japanese Team :) 596 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/25(日) 07:55:11 ID:5c7oH0Sf] 日本語ローカライズドDesktop CD（ISOイメージ）のダウンロード自体はこちら。 ttp://www.ubuntulinux.jp/products/JA-Localized/download Ubuntu 7.10でのTOMOYO Linux利用は、 ・Ubuntu 7.10（標準）でexperimentalのパッケージを追加する ・Ubuntu 7.10で、自分でカーネルをビルドする ・TOMOYOプロジェクトのLiveCDから「インストール」する 　（勿論インストールしないでLiveCDとしての利用も可） の3つの方法が可能になりました。 今さらですが、7.10でのTOMOYOのパッケージ(deb)がないことに気がつきました。 597 名前：login:Penguin mailto:sage [2007/11/25(日) 16:44:23 ID:325QUF8p] Gentoo に TOMOYO 2.1.1 をいれてみた。 まだ、よく使ってないけどいくつか思ったことを。 - ccs-tools に LICENCE も INSTALL もなくて不便 & README がなんかいまいち。 - パッチがカーネルのどのバージョン用のものかがわからなかった。 - ccs-tools と ccs-patch で少し混乱。 - コンソールで作業したから、英語Wiki を見てたんだけど、内容が少し古いことを書いてほしかった。 .init がねぇ…とずっと探してしまった…。 - で、適当にccs-init を動かしちゃったんだけど… /etc/ccs は消してもOKなのかなぁ? 今度 ebuild でも作ってみようかな…。 598 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/25(日) 19:59:55 ID:5c7oH0Sf] >>597 情報ありがとうございます。開発メンバーに伝えておきます。 /etc/ccsは消してもOKです。 599 名前：login:Penguin mailto:sage [2007/11/26(月) 02:57:52 ID:fkMxnajX] >>598 /etc/ccs 消しました。Wiki も情報が新旧混ざってますねぇ。 ところでせんせー質問いいですか! apache の動作を制約してみようかと、editpolicy で apache の学習結果とにらめっこしてます。 - allow_create /var/tmp/etilqs_<ランダムな文字列> というエントリがたくさんあるんですが、 まとめるには、A して allow_create /var/tmp/etilqs_\* でOKですか? - 基本全部通すけれど、特定のIPアドレスは許可しないというのはできますか? - udev と 小狼君は協調できますか? 600 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/26(月) 07:15:37 ID:x1nnOH3A] >>599 SDの連載のWiki掲載でも情報整理の必要性を認識しました。wikiについても 古い内容が更新されていないところがあるので、すみませんが当面webのほうで 確認しながら作業ください。 アクセス追加はそれで良いですが、file_patternとしてまとめて名前を つけることもできます。 ttp://tomoyo.sourceforge.jp/ja/1.5.x/policy-reference.html また、patternizeというツールもご利用ください。 ttp://lists.sourceforge.jp/mailman/archives/tomoyo-users/2006-November/000140.html 「基本全部通す」は、TOMOYOでは指定できませんが、近い指定は可能かも しれません。あとで開発メンバーに聞いてみます。 udevと小狼は同時に使えるはずです。 601 名前：login:Penguin mailto:sage [2007/11/26(月) 12:17:11 ID:fkMxnajX] patternize 便利ですね〜。editpolicy の (隠し機能?の)'o' もかなり使えますな。 patternize の使用法は d.hatena.ne.jp/naothy/20070809 がわかりやすかったです。 /proc/ccs がなくて /sys/kernel/security/tomoyo を探しだすのに手間どりましたがw またまた質問でごめんなさい。 aggregator の第二引数は実際には存在しないパス(とかフルパス形式をとらないもの)でもOK? 例えば、 aggregator /bin/grep basic-shellscript-progs aggregator /bin/sed basic-shellscript-progs … keep_domain basic-shellscript-progs from /home/yukiusagi/yue.sh keep_domain basic-shellscript-progs from /home/sakura/kero.sh … のようにしてお手軽にシェルスクリプトがいじれるファイル群を制御したい。 それとも、/virtual/shellscript/basic みたいにしたほうがいいのかな?なんとなく。 # ','区切りで複数指定とか補完を使えるといいなぁ。ESCでキャンセルとか…。 # 追加成功/エラーメッセージも… 602 名前：login:Penguin mailto:sage [2007/11/26(月) 12:35:40 ID:tBfVfAfJ] >>543 TOMOYOのことをもっと勉強してみたくなったのですが、資料があまりなく先日SDのバックナンバーを全部購入しました。 でも後悔はないんですよ、TOMOYOに貢献できるのはこれくらいしかないですから。 自動学習の先は、奥が深いです。 603 名前：login:Penguin mailto:sage [2007/11/26(月) 19:11:55 ID:/yb/58Km] grant_logがうっとおしい時は echo 'MAX_GRANT_LOG=0'>/sys/kernel/security/tomoyo/profile でいいんかな。 '>' だと他の設定が消えそうなイメージがあってこわいな 604 名前：login:Penguin [2007/11/26(月) 22:27:26 ID:S3PFnDKS] >>599 > まとめるには、A して allow_create /var/tmp/etilqs_\* でOKですか? はい、それでもＯＫです。 もし \* の部分が６文字でしたら /var/tmp/etilqs_\?\?\?\?\?\? とした方が厳密になります。 605 名前：login:Penguin [2007/11/26(月) 22:28:40 ID:S3PFnDKS] >>600 >「基本全部通す」は、TOMOYOでは指定できませんが、近い指定は可能かもしれません。 ホワイトリスト形式なので除外したい範囲を除いて指定してください。 例えば 127.0.0.0-127.255.255.255 を除外したければ、例外ポリシーで address_group non-local 0.0.0.0-126.255.255.255 address_group non-local 128.0.0.0-255.255.255.255 のようにして、ドメインポリシーの方では allow_network TCP accept @non-local 1024-65535 のように指定します。 > udevと小狼は同時に使えるはずです。 同時に使おうとすると udev が syaoran の上に tmpfs を被せてしまいますので、 （桜ちゃんのマウント制限機能である）DENY_CONCEAL_MOUNT=3 を併用する必要があります。 606 名前：login:Penguin [2007/11/26(月) 22:29:28 ID:S3PFnDKS] >>601 > aggregator の第二引数は実際には存在しないパス(とかフルパス形式をとらないもの)でもOK? ＯＫです。でも、パス名であることを示すために / で始まる名前である必要があります。 /./ とか // とかで始めれば実際に存在するパス名と衝突しないので良いかと思います。 607 名前：login:Penguin [2007/11/26(月) 22:30:14 ID:S3PFnDKS] >>603 > grant_logがうっとおしい時は echo 'MAX_GRANT_LOG=0'>/sys/kernel/security/tomoyo/profile でいいんかな。 setlevel プロファイル番号-MAX_GRANT_LOG=0 です。 608 名前：login:Penguin mailto:sage [2007/11/27(火) 02:47:43 ID:GsZ7Df8e] >>604-607 いっぱい答えてくれてありがとうございます。 もひとつ。再起動せずにmanager.conf の再読みこみはできないの? 609 名前：login:Penguin [2007/11/27(火) 06:37:20 ID:5fq2Zs/N] >>608 loadpolicy m または cat /etc/ccs/manager.conf | loadpolicy -m です。 610 名前：login:Penguin mailto:sage [2007/11/27(火) 08:36:51 ID:Fp2ivJlT] 　 　 　 　 　, ' ,. '´　　　　　　　　　｀ヽ､ヽ 　 　 　 　 ,.' ,.' 　 　, 　 　, 　 　　　　　 ヽ ﾞ､ 　　　　　〃/, , 　 ,',' , 　　! |l 　　 | l 　 ', ﾞ., ', 　 　 　　ｌ| { { { 　 !l　! 　　lll |　　　! ! 　 }l　! ! 　　　 　 !{ | l l　_r┴‐'ｭ___|l! |＿__,','L.__ l|　| | .　 　 　 | '.,| ,' ｦ, ''二.ヽ.|┐ 　 '""ﾞﾞﾞﾞﾞﾞ'''｀ｰ/ﾉ! 　　　　 |　 ,-',{l|{ （○） }| | 　 　_........._ 　 ,','　ｌ 　 　 　 |　｛（ﾞ,_ﾐヽ 二ノ | | 　　,;=＝=:.､ ,' ）｝ ｌ 　 　 　 !　 〉'´,rﾞ|r ‐‐┐| |､　　　　　　 ,' .ノ 　! 　　　　|　/　/, ┴‐‐ｭ'ﾞ┘!‐‐; 　 　 　 ,'l´ 　 　! 　 　 　!　|　'´　,.ィエ._|￣l|ｰ' 　 　 　ィ　|　　　 ! 　　　 ,'　 ! 　 '" _,-r:ｲ r:､l_...､ - i ´　l　 |　　　 ', 　　　,'　 ,'ﾞ､　　r| ﾞ､'; ﾞ､ヽ､｀ヽ､./｀＼ |　 ! 　　　ﾞ､ 　　 /　/ﾞ､ ヽ､ { {　ヾ､ ｀'┘　 ﾞi､　 ﾉ ヾ､.', 　 　　':, .　 /　/,-|＼　｀ﾞヾヽ､ 　 　　　ﾉ^{'"　　//ヽ､ 　 　 ':, 611 名前：login:Penguin mailto:sage [2007/11/28(水) 23:31:11 ID:mC4LQURi] 最近の selinux-users 見てると TOMOYO のほうが断然いいんじゃないかと思えてきた。 SELinux の雑誌連載読んだり、英語記事読んだりして頭を悩ませたあの苦労は一体なんだったんだ 612 名前：login:Penguin mailto:sage [2007/11/29(木) 00:20:45 ID:VA2JqiNB] SELinuxはすぐにOFFが基本 613 名前：デムパゆんゆん [2007/11/29(木) 00:24:34 ID:4QZMaE+W] SE Linuxでカーネルのセキュリチーのたたき台が出来たし 市場としてもこれからでね？ SE Linuxはpostgresqlのロール権限みたいなもんだと SD２００４年１０月号読んでｦﾚｦﾚ学習した 日本版SOXとな　コンプライアンスとな セキュリチー面倒だと　二律背反な現世でつ と言う事で、ﾙｰﾀは気楽にふりBSDにしまつｗ ごめんあさい　ごめんあさいｗｗｗ 614 名前：login:Penguin mailto:sage [2007/11/29(木) 09:07:31 ID:BI7MDb56] NSA作 頑丈にしてみた 615 名前：login:Penguin mailto:sage [2007/11/29(木) 10:01:42 ID:7JijcZKv] >>612 SELinux の中の人達はこういうユーザの現状を認識してんのかな? ユーザのこと考えずに理論だけでやってる気がするよ。 616 名前：login:Penguin mailto:sage [2007/11/29(木) 11:30:47 ID:GXCy7vaZ] SELinuxは生半可なユーザは対象外 生半可な人達はこういうことを認識してんのかな? 617 名前：login:Penguin mailto:sage [2007/11/29(木) 11:38:10 ID:ZTQjLxRL] ↑これはある意味正しいね SELinuxはアメリカ政府、軍事を守るための技術 使いやすさを優先してたら生命の危機に関わる 618 名前：login:Penguin mailto:sage [2007/11/29(木) 15:06:57 ID:mGzdZ1hQ] 正論すぎて泣いた 619 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/29(木) 18:25:04 ID:uxwmlobe] PacSec終わりますた。 ttp://lists.sourceforge.jp/mailman/archives/tomoyo-users/2007-November/000309.html 620 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/11/29(木) 18:29:03 ID:uxwmlobe] >>610 「名前」で騒ぐ人は多いのですが、"TOMOYO"である意味がわかっている人は 少なくて、それをいつも残念に思っていました。 621 名前：login:Penguin mailto:sage [2007/12/01(土) 10:37:59 ID:EHGz1Vat] >>620 TOMITAKE Linux でもいいってことだよ 622 名前：login:Penguin mailto:sage [2007/12/01(土) 13:21:22 ID:alin/Y65] 批判じゃないです。 古典文学(古典SFや古典ファンタジーを含む)からの引用は容易に受け入れられています。 なぜか。 近代文学からの引用というのは、敬遠されガチな気がします。 なぜか。 さらに近代のテレビ番組とジャンルが偏っていくと その傾向が強くなるのではないでしょうか。 印象が強いものより無味無臭に近いものが無難という ただの偏見だと思いますが、根強い擦り込みがあるのでしょうね。 それを気に止めないのは頼もしいと思います。 それがマーケティング的にプラスになるのかマイナスになるのか ハラハラしつつ見守る無駄に小心者な部外者がわたしです。 便利なものに仕上ればいいなぁと思っているからこそ。 623 名前：login:Penguin mailto:sage [2007/12/01(土) 13:40:07 ID:EHGz1Vat] 古典SFっていつごろを指すの？ ウェルズくらいまで？ クラークとかは近代扱いでおｋ？ 624 名前：login:Penguin mailto:sage [2007/12/01(土) 14:32:18 ID:alin/Y65] >>621-623 ~~~~~~~~~~~ ↑こういうのを無視して技術的な話を続けてください。 相手の思うつぼなので。 ノシ 625 名前：login:Penguin mailto:sage [2007/12/01(土) 17:09:32 ID:EHGz1Vat] >>624 振ってきたのは>>620だろ・・・ 626 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/01(土) 18:04:23 ID:YI4Lfj9H] スマソ 627 名前：デムパゆんゆん [2007/12/01(土) 23:35:19 ID:qc41z5Cq] 怒られたw 628 名前：login:Penguin mailto:sage [2007/12/05(水) 11:15:17 ID:CA9y6kMb] ほえー 629 名前：login:Penguin mailto:sage [2007/12/05(水) 20:54:48 ID:Nsoz8sT6] 1.5.2が出ているね。 いつも通りVineで無事再構築終了。 自分の環境に今回の修正はあんまり影響なさそうだったけど気分的に常に最新版を（→これで他の事でもよく地雷踏んでるが）。 マイナーアップみたいなので左程問題が発生するとは思えないですが、取りあえずリリースされたらされたで公式ページにその情報は出して欲しいなぁ…と少々希望。 ところで…/usr/sbinにもccsツールが入るようになっているようですが何か事情があったのでしょうか。 630 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/05(水) 23:23:47 ID:/OndcmTF] >>629 リリースについては、歴史的な経緯により以下の順で行っています。 1. tomoyo-users mlへの投稿 by 熊猫 2a. はてなキーワードへの追加 by 中野 2b. SourceForge.jpのプロジェクトニュースへの掲載 by 中野 3. LXRの更新 by 中野 もっとも早く、もっとも情報量が多いのが1で、2aや2bは1の内容を それぞれの場に適したものに編集してから掲載しており、2bを先に書いて 2aではそれをポイントしていることがありますが、そのあたりは やはり1の内容によりその都度判断しています。1を熊猫さんが行っているのは、 「より詳しい情報をロスなく早く提供する」という考え方と理解下さい。 ということでちょっと他のプロジェクトとは違うかもしれませんが、 ユーザや開発者の方には是非tomoyo-usersを購読いただきたいと思っています。 mlの過去のアーカイブを見ると1について、午前0時に行われていることが わかりますが、これは社内リリース手続きの完了を待って行って いたためです。ターボさんでの採用やディストロ対応を行ってくださる方の ために上記に加えて事前予告を始めました。 631 名前：login:Penguin mailto:sage [2007/12/05(水) 23:39:23 ID:1q9gnTlu] >>630 何故 devel へは告知しないの？ 632 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/05(水) 23:40:32 ID:/OndcmTF] >>631 プロジェクトの中では「develの人はusersは読んでいる」と思っているからです。 633 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/06(木) 00:03:46 ID:WbWUOs9u] >>629 今回のリリースで、/usr/sbin/の下にシンボリックリンクを置くことにしたきっかけは /usr/lib/ccs/の下に実行可能ファイルを置くのはtomoyo-devで FHS (Filesystem Hierarchy Standard)として好ましくないという指摘が あったことがきっかけです。 これから全く新規に提供するものであれば最初からFHS準拠にするのですが、 /usr/lib/ccsの下に置かれたファイルの場所を変更するとmanager.confや 既存のポリシーに影響してしまうため、このような形態を選択しました。 真の解決ではないので、どこかのタイミングで整理したいと思っています。 また、オンラインマニュアル作成の際にSELinuxとのコマンド名重複が 発見されたので/usr/sbin/配下ではccs-という接頭辞を追加しました。 634 名前：デムパゆんゆん [2007/12/08(土) 21:54:36 ID:sHGmKago] init_policy.shもう一度やり直すとき、 /etc/ccs以下を削除すればいいﾆｶ？ ISP全面規制だ ｱｲｺﾞｰ 635 名前：login:Penguin mailto:sage [2007/12/09(日) 00:07:15 ID:fw91IWD0] /etc/ccsをバックアップ取って実行してみるニダ。 大丈夫なはずだが駄目だったら時空太閤HIODEHOSHIのせいにすれば良いニダ。 /etc/ccs/profile.confを弄っているなら… xargs -0 setlevel < /etc/ccs/profile.conf をしておいた方が良いニカ？ 636 名前：login:Penguin [2007/12/09(日) 03:26:02 ID:awIRvzBx] いつのまにこんなに盛況なスレに！ で、メインラインに入ったんですか？ 忙しくて今年一杯は何もできない者より 637 名前：デムパゆんゆん [2007/12/09(日) 11:51:49 ID:mvxahewm] >>635 時は遅し　ｱｲｺﾞ〜 rm -rf /etc/ccs ｗｗｗ less init=policy.sh したら 最後の数行でディレクトリ掘ってたからとりあえずフォルダ削除したﾆﾀﾞよ やっとfedora 8で動いた　あぁ感無量 selinuxと共存させているがインスコが面倒過ぎる以外は特になんもない seeditでポリシをさわってﾆﾔﾆﾔ　tail /var/log/tomoyo/reject_log.txtみてﾆﾔﾆﾔ FreeBSDでﾙｰﾀの話はどうなったか・・・。 7.0BETA3はインスコできなかった　BETA4で試す気力がない そんなわけで、いぢけて犬に戻ってきたでがんす　ﾜﾝ 638 名前：login:Penguin mailto:sage [2007/12/10(月) 01:08:30 ID:XfaDvWiE] >>637 FreeBSD7.xでルータ化ニカ？ 素直に6.3出るのを待って6Stableで使った方が良さ気ニダ（5系統は微妙）。 TOMOYO BSDでも出れば使いたいニダ。 それにしてもSDにあったSSHログイン時の小技は良いニダよ。 /usr/sbin/sshdをガチガチにルール固めて鍵認証使わないとログインできないようにした上でログイン後に認証取らないとなーんにもできないようにしてやったニダ。 個人鯖なら認証の回数はやりたい放題なのが気に入ったニダ。 外部野ざらしは怖い怖い。 639 名前：デムパゆんゆん [2007/12/10(月) 11:09:53 ID:weSbgjCG] >>638 もぱようござる ﾌﾘBSD7.0のzfs使ってみたかったﾆﾀﾞよ 最初からzfsぢゃないんだな（泣　新しいのでないとｲﾔﾀﾞｲﾔﾀﾞ address eth0とかtun0とかinterfaceで指定出来ないかのぅ？ wanだとダイナミックDNSとか使ったときアドレス変わるから繋がらなくなりそうな ｵｶﾝ時々僕とｵﾄﾝ　こういう使い方がよくないのかしらん setprofile -r 3 "<kernel>"selinuxもenforceにすると強烈でつ シャットダウンできましぇんｗｗｗ ファイルシステム　”/”以下全部制御したい気分 ＞/usr/sbin/sshdをガチガチにルール固めて鍵認証使わないとログインできないようにした上で ＞ログイン後に認証取らないとなーんにもできないようにしてやったニダ。 保護するの/usr/sbin/sshdだけでいいﾆｶ？ 接続はwan→lan　lan→lanへ別の端末？ wanからのsshはやっぱりポートを開けねばならぬのぅ VPNにしてwan0に仮想的にプライベートアドレスを割り当てられるのだらうか sshの小ネタ集　SDのバックナンバー買ってくる　ﾑﾑﾑ CTUみたく衛星回線でスクランブル発信で自動的にポートが開けられるとか　ﾌﾌﾌ 640 名前：login:Penguin mailto:sage [2007/12/10(月) 22:09:35 ID:XfaDvWiE] >>639 SSH小ネタ集…というか、ログインセッションネタはSDの10と11月号ニダ。 けっしてウリはSD編集部の回し者ではないニダ。 ちなみにウリの環境は[WAN側]-[ルータ]-[LAN配下のPC]ニダ ssh踏み台用サーバとMailとWeb用のサーバがあるけどMailとWeb鯖のsshポートは/usr/sbin/sshを固めた踏み台用PCしかログインできないようにしているでつ。 MailとWebもTOMOYOで固めているでつが、今のところ不都合なく半年以上またーりと運用できているニダ。 楽を覚えてしまうと他の事を覚えるのが面倒になってしまうのはきっと日帝の陰謀ニダ！ 641 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/10(月) 23:36:14 ID:lunSW/hp] 明日、SDの編集さんと会うニダ。 来年の連載をどうするか話し合うニダ。 月刊誌の連載はつらいものがあるので、役に立たないなら遠慮したかったりするニダ。 意見、希望、コメント、その他あれば参考にするニダ。 ニダって何のことかわからないニダ。 642 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/10(月) 23:41:48 ID:lunSW/hp] >>636 メインラインにはいってたらここにも報告しているニダ。 Smackはmmツリーに入ったけれど、パス名ベースの AAとTOMOYOは「よくわからない状態」になってしまっているニダ。 SELinuxチームにはいじめられなくなったけれど、 押してくれる人もいないし、誰が決めるかよくわからない変な状態ニダ。 LSMの見直しとか議論が始まってさらに謎は謎を呼んでいるニダ。 この状況を打開し、巨大な陰○と戦うべく近日再び動くニダ。 643 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/10(月) 23:47:11 ID:lunSW/hp] ttp://packages.debian.org/search?keywords=tomoyo&searchon=names&suite=all§ion=all > 新しいパッケージポリシー対応作業などもするので、アップデートは > もう少し後になります。 とのこと。感謝感謝。(_ _) 644 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/10(月) 23:53:56 ID:lunSW/hp] 11/29でPacSecで講演しました。資料は既にSF.jpで公開しています。 はてなからたどるのが簡単ニダ。 d.hatena.ne.jp/keyword/TOMOYO%20Linux?kid=81099 12/12にThinkITにレポートが掲載されます。 次のTOMOYO的なイベントは、1月末のITexpoでの展示です。 ネットワークセキュリティExpert 7も発売になったようです。 日経Linux最新号では、CELFの方によるメインライン特集ありなのでそちらも要チェック。 ttp://itpro.nikkeibp.co.jp/article/MAG/20071204/288654/ 645 名前：デムパゆんゆん [2007/12/11(火) 00:04:38 ID:3zCF9GCJ] >>640 ややこしいことしてまつね 同じ構成どこかの記事になってたような 探してみるか。 ttp://www.tamanegiya.com/nida-2.html SDの連載毎回担当決めて持ち回りでやるのふぁ？ 一人にかかる負担が減るとｵﾓ ちょっと前LKMLざっと見た印象 ずっと熊猫せんせ〜とLSM担当のトロンドせんせ〜が平行線な感じ ttp://lkml.org/lkml/2007/11/16/410 LKML読んでselinuxのステファンだったか そもそもLSMがあんまり気に入らないみたいな印象だった LSMつかってセキュリチーモヂュール作ってるのｦﾚらだけぢゃん？みたいな ぢゃぁLSM仕様変えるとか、そもそもいらんのちゃう？と遠回しに言っているような気がした。 言い方が悪くlinuxを支配しようとするNSAの陰謀だ!!!みたくなって つーかトロンドﾀﾝも相当偏屈だｗ　他の人にもｲﾗﾈの一言だ　ｳｰﾑ 646 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/11(火) 00:05:05 ID:lunSW/hp] 12/21のCELF Jamboreeは要チェック。 ttp://tree.celinuxforum.org/CelfPubWiki/JapanTechnicalJamboree18 647 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/12(水) 08:20:35 ID:AFvxJNeo] >>635 ＞xargs -0 setlevel < /etc/ccs/profile.conf 1.5.x なら loadpolicy p または cat /etc/ccs/profile.conf | loadpolicy -p でもＯＫ。（ p は profile.conf の p 、 m は manager.conf の m ね。） setlevel は loadpolicy で代用可能、 setprofile は editpolicy で代用可能。 648 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/12(水) 08:21:11 ID:AFvxJNeo] >>638 ＞ログイン後に認証取らないとなーんにもできないようにしてやったニダ。 この手法はシェルを起動する場合にのみ適用可能な点に注意してくださいね。 ポート転送の場合にはシェルを起動する必要がないので、 MAC_FOR_NETWORK も併用して制限してやらないと 自由に ssh -L や ssh -R によるアクセスができてしまいます。 649 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/12(水) 08:21:41 ID:AFvxJNeo] >>639 ＞address eth0とかtun0とかinterfaceで指定出来ないかのぅ？ インタフェースでの指定はサポートしていませんが、 address_group eth0 192.168.0.1 のような方法で exception_policy.conf に記述しておけば、 allow_network TCP bind @eth0 22 みたいに domain_policy.conf で指定できます。 あとは、ＩＰアドレスが変化したら address_group eth0 を更新するスクリプトを走らせば 動的に変化しても対処でき・・・るかな？スクリプトの内容は echo address_group eth0 新しいアドレス | loadpolicy -e echo delete address_group eth0 古いアドレス | loadpolicy -e てな調子です。 650 名前：デムパゆんゆん [2007/12/12(水) 20:49:24 ID:1GwRrgco] >>649 さんクスコ 適当にグループ名つけて分けられるんだにゃ iptableみたいだ マニュアル読んでて混乱してきた　ｳｰﾑ メモ代わりにブログでも書くか ＞ニダって何のことかわからないニダ。 朝鮮語の皮肉 文末に〜ニダ　〜ﾆｶ？　感嘆詞　ｱｲｺﾞ〜　とかetc ちなみにセキュリティーexpoert　part7読んだ　ｳﾑ 651 名前：デムパゆんゆん [2007/12/12(水) 21:07:08 ID:1GwRrgco] 忘れてた 来年のＳＤ連載どうなるでつか？ とりあえず今年の１−１２月号が聖典に〜 御布施するぞお伏せするぞ だんだん特アすれみたくなってきたな　まともな人間モードにしよう 652 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/12(水) 22:02:12 ID:sQVncvfj] >>648 あ、言い忘れました。 MAC_FOR_NETWORK を使わずとも OpenSSH の設定（ /etc/ssh/sshd_config ）で ユーザ名やグループ名に基づくポート転送の制限を行うことが可能です。 詳細は ttp://www.oreilly.co.jp/books/4873112877/ の本に書かれています。 TOMOYO でも allow_network TCP connect 192.168.1.1 80 if task.uid=1000-2000 のように ユーザＩＤやグループＩＤに基づくアクセス制限をサポートしています。 653 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/12(水) 22:03:26 ID:sQVncvfj] ttp://www.thinkit.co.jp/free/article/0712/9/1/ インプレスIT、やばい会社だ。 654 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/12(水) 22:06:26 ID:sQVncvfj] >>651 昨日、編集さんと打ち合わせますた。 来年も6回くらいの連載を書く方向で検討します。 8ページで、記事は6ページ、残りの2ページはプロジェクトのニュース、 という提案をいただきますた。 以前も書きましたが、「中の人」だけじゃなくて、この板を含めた ユーザと一緒に執筆してみたいと思っています。丸投げではなく、 一緒に書くというイメージです。興味ある人があれば連絡ください。 655 名前：login:Penguin mailto:sage [2007/12/12(水) 23:15:12 ID:1hor2Jgk] >>652 ふむふむ。 普段ほとんど（自分の環境では）ポート転送使っていないので頭から完全に抜け落ちておりましたですたい。 色々試してみますが、選択肢があることはよいことですね。 試して楽な方を選ぶことができるので。 656 名前：login:Penguin mailto:sage [2007/12/13(木) 00:59:17 ID:o8kOiAbC] せんせーは、ばりばり英語が書けてすごい…。 というか、著名な開発者の方々は皆書けるんですよね…。 おれもこの前英語圏のプロジェクトにバグ修正 ってか機能追加の提案したけど一向に返事が来ない… あまりにひどい英語だったから無視されちゃったのかなぁ (´･ω･`) 657 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/13(木) 01:28:19 ID:B3Y4lHaA] >>656 LKMLのTOMOYOのスレッドをたどるとわかりますが、 返事をもらえてないのは日常茶飯事です。返事をもらえなくて困るのは、 書いたものは取り消せないことで、あとから読み直すと自己嫌悪を感じます。 話すときも書くときも「これで良いのか？」を考えすぎると 何もできなくなるし、気持ちが委縮して、かえって伝わりにくくなります。 日本にきた外国人の人が片言でも言いたいことがわかるのと同じで、 「伝えたい」という気持ちをもっていれば、伝わります。 オタワでは母国語が英語でない人もたくさんいて、その人達の言葉は やっぱりわかりにくかったのですが、でもそれでいいんです。 658 名前：login:Penguin ◆XkB4aFXBWg mailto:sage [2007/12/13(木) 01:29:41 ID:B3Y4lHaA] >>657 行が抜けてしまいますた 返事をもらえなくて困るのは、もらえない理由や、読んでくれたかが わからないことです。また、メールで困るのは 書いたものは取り消せないことで、あとから読み直すと自己嫌悪を感じます。 659 名前：デムパゆんゆん [2007/12/13(木) 09:53:54 ID:Wths6Dev] もぱようございます インプレス　グローバルな時代にあわせろかぁ。ｗ 読むのにも１週間かかる　ｳｰﾑ 誤字脱字はにちゃんねるの文化　これでいいのだ

---

---

[ 続きを読む ] / [ 携帯版 ]

read.cgi ver5.27 [feat.BBS2 +1.6] / e.0.2 (02/09/03) / eucaly.net products.
担当:undef