TOMOYO Linux - 暇つぶし2ch

TOMOYO Linux at LINUX

[前50を表示]
650:デムパゆんゆん
07/12/12 20:49:24 1GwRrgco
>>649
さんクスコ
適当にグループ名つけて分けられるんだにゃ
iptableみたいだ
マニュアル読んでて混乱してきた　ｳｰﾑ
メモ代わりにブログでも書くか
＞ニダって何のことかわからないニダ。
朝鮮語の皮肉
文末に～ニダ　～ﾆｶ？　感嘆詞　ｱｲｺﾞ～　とかetc
ちなみにセキュリティーexpoert　part7読んだ　ｳﾑ

651:デムパゆんゆん
07/12/12 21:07:08 1GwRrgco
忘れてた
来年のＳＤ連載どうなるでつか？
とりあえず今年の１－１２月号が聖典に～
御布施するぞお伏せするぞ
だんだん特アすれみたくなってきたな　まともな人間モードにしよう

652:login:Penguin ◆XkB4aFXBWg
07/12/12 22:02:12 sQVncvfj
>>648
あ、言い忘れました。
MAC_FOR_NETWORK を使わずとも OpenSSH の設定（ /etc/ssh/sshd_config ）で
ユーザ名やグループ名に基づくポート転送の制限を行うことが可能です。
詳細は URLﾘﾝｸ(www.oreilly.co.jp) の本に書かれています。
TOMOYO でも allow_network TCP connect 192.168.1.1 80 if task.uid=1000-2000 のように
ユーザＩＤやグループＩＤに基づくアクセス制限をサポートしています。

653:login:Penguin ◆XkB4aFXBWg
07/12/12 22:03:26 sQVncvfj
URLﾘﾝｸ(www.thinkit.co.jp)
インプレスIT、やばい会社だ。

654:login:Penguin ◆XkB4aFXBWg
07/12/12 22:06:26 sQVncvfj
>>651
昨日、編集さんと打ち合わせますた。
来年も6回くらいの連載を書く方向で検討します。
8ページで、記事は6ページ、残りの2ページはプロジェクトのニュース、
という提案をいただきますた。

以前も書きましたが、「中の人」だけじゃなくて、この板を含めた
ユーザと一緒に執筆してみたいと思っています。丸投げではなく、
一緒に書くというイメージです。興味ある人があれば連絡ください。

655:login:Penguin
07/12/12 23:15:12 1hor2Jgk
>>652
ふむふむ。
普段ほとんど（自分の環境では）ポート転送使っていないので頭から完全に抜け落ちておりましたですたい。
色々試してみますが、選択肢があることはよいことですね。

試して楽な方を選ぶことができるので。

656:login:Penguin
07/12/13 00:59:17 o8kOiAbC
せんせーは、ばりばり英語が書けてすごい…。
というか、著名な開発者の方々は皆書けるんですよね…。
おれもこの前英語圏のプロジェクトにバグ修正
ってか機能追加の提案したけど一向に返事が来ない…
あまりにひどい英語だったから無視されちゃったのかなぁ (´･ω･`)

657:login:Penguin ◆XkB4aFXBWg
07/12/13 01:28:19 B3Y4lHaA
>>656
LKMLのTOMOYOのスレッドをたどるとわかりますが、
返事をもらえてないのは日常茶飯事です。返事をもらえなくて困るのは、
書いたものは取り消せないことで、あとから読み直すと自己嫌悪を感じます。
話すときも書くときも「これで良いのか？」を考えすぎると
何もできなくなるし、気持ちが委縮して、かえって伝わりにくくなります。
日本にきた外国人の人が片言でも言いたいことがわかるのと同じで、
「伝えたい」という気持ちをもっていれば、伝わります。
オタワでは母国語が英語でない人もたくさんいて、その人達の言葉は
やっぱりわかりにくかったのですが、でもそれでいいんです。

658:login:Penguin ◆XkB4aFXBWg
07/12/13 01:29:41 B3Y4lHaA
>>657 行が抜けてしまいますた

返事をもらえなくて困るのは、もらえない理由や、読んでくれたかが
わからないことです。また、メールで困るのは
書いたものは取り消せないことで、あとから読み直すと自己嫌悪を感じます。

659:デムパゆんゆん
07/12/13 09:53:54 Wths6Dev
もぱようございます
インプレス　グローバルな時代にあわせろかぁ。ｗ
読むのにも１週間かかる　ｳｰﾑ
誤字脱字はにちゃんねるの文化　これでいいのだ

660:login:Penguin
07/12/13 14:06:23 CV+mmHd8
CLANNADの智代かと思った

なんつってジョークだよ許してよ

661:デムパゆんゆん
07/12/15 03:27:09 gceWszq3
ソウルで零戦に乗って、韓国国会前で着陸したら許してもらえるかもﾆﾀﾞ

最近思うのはつっこむとselinuxと余り変わらない気がするなぁ
/home　以下ユーザでログインできない　あぁ無情
gdm-binaryのselinuxがらみのバグのような感じだがすれ違いか
パッチ出たのが一昨日だっｗ
ともよﾀﾝそんなに困らさないででよん

662:login:Penguin ◆XkB4aFXBWg
07/12/15 10:24:51 h9rQF8ZE
>>661
もうちょっと詳しい情報ｷﾎﾞﾝﾇ

663:デムパゆんゆん
07/12/15 15:52:47 gceWszq3
上官殿ｯ!!!　報告するであります

鳥はF8　initは５が前提
selinuxはenforce　TOMOYOは setprofile -r 0,1,2,3 <kernel>
/home 以下ユーザでログインしたら
gdm-binary[2660]: WARNING: session_child_run: /etc/X11/xinit/Xsession default を実行できませんでした
こんなメッセージが出る

selinuxがpermissiveだとログインできる
起動時/etc/X11/xinit/Xsessionの直前で/tmpにアクセスがあり
TOMOYO-WARNING: Access 'create /tmp/.gdmOOKP2T' denied for /usr/sbin/gdm-binary
TOMOYOがプロファイル1の時でも/tmp以下は学習はするものの
制御してるのかと思い　/tmp以下全部許可にしたりした

selinuxで/usr/sbin/gdm-binaryのアクセス権限がだめなのかと思い
現在ｸﾞｸﾞﾙ先生にご意見拝謁賜っておりまつ

続く

664:デムパゆんゆん
07/12/15 16:12:09 gceWszq3
＞gdm-binaryのselinuxがらみのバグのような感じだがすれ違いか
＞パッチ出たのが一昨日だっｗ
勘違いだった　リプライの日付でつた　selinuxも関係なさそうだあぁ無情
URLﾘﾝｸ(bugzilla.redhat.com)
怒らないで　ともよﾀﾝ
鳥が鳥だけにメンテナも七転びバットウ
URLﾘﾝｸ(lists.linuxcoding.com)
バグ再発
このまま茨の道を歩き続けるかselinuxをpermissiveにするか

localhost acpid: client connected from 2066[68:68]
localhost ccs-auditd: Started.
localhost pcscd: winscard.c:219:SCardConnect() Reader E-Gate 0 0 Not Found
localhost pcscd:last message repeated 3 times
localhost acpid: client connected from 2168[0:0]
localhost gdm-binary[2198]: WARNING: session_child_run: /etc/X11/xinit/Xsession default を実行できませんでした
localhost gdm-binary[2212]: Gtk-WARNING: Ignoring the separator setting
localhost gdm-binary[2212]: atk-bridge-WARNING: failure: no device event controller found.#012
localhost gdm-binary[2212]: atk-bridge-WARNING: failure: no device event controller found.#012
localhost gdm-binary[2213]: Gtk-WARNING: Ignoring the separator setting

こんな感じ　ばぐ太なのか権限が足りないのかｳｰﾑ

続く

665:login:Penguin
07/12/15 16:15:33 1GRMYg0A
　　　┌─‐‐─┐　　みなさんは２ちゃんねるの初心者ですか？書き込む前に
　　　|_____________|　　SG(セキュリティー・ガード)に登録しないと自作自演がバレてしまいますよ。
　　 ='========='== SGに登録せずに書き込んだ場合、あなたのパソコン内の
　　　/ ＼　　／│　情報は他人に見られていると考えてほぼ間違いないでしょう。
　 ┌|-（・）-（・）-|┐ 自作自演がばれる方の多くはこの登録を怠っています。
　 └| 　　〇　 .|┘ 初期の頃から２ちゃんねるにいる方達は、ほとんどの方が
　　 |　___ |||||__　|　　このBBSのコマンドの仕組みを知っています。ですから簡単に
　　 |　＼＿＿/ |　　あなたのIPアドレス等を抜き取り自作自演を見破ってしまいます。
　　　| 　　||||| 　 |　　このコマンドの方法は決して教えないというのが初期の頃から
　　　　　　　　　　　　２ちゃんねるにいる方達の間で暗黙の了解となっていましたが、
あまりの被害の多さに心を痛めた私はあえて公開することにしました。
SGしておけばまず抜かれるコマンド自体が無効になってしまうのでどんなにスキルが
ある人でもIPアドレスを抜くことが不可能になります。SGに登録する方法は、
名前欄に「 fusianasan 」と入れて書き込みする。これだけでSGの登録は完了します。
一度登録すれば、Cokkieの設定をOFFにしない限り継続されます。
fusianasanは、正式にはフュージャネイザン、又はフュジャネイザンと読みます。
元々はアメリカの学生達の間で、チャットの時にセキュリティを強化する為に
開発されたシステムです。これを行うことにより同一人物が書き込んでいるか
どうか判別する手段が遮断されるので安心です。ぜひ書き込む前には
名前蘭にfusianasanと入力してください。自分の身は自分で守りましょう

666:デムパゆんゆん
07/12/15 16:29:35 gceWszq3
あとはTOMOYOでこんなﾛｸﾞが
localhost kernel: TOMOYO-WARNING: Domain '<kernel> /sbin/init /etc/X11/prefdm /usr/sbin/gdm
/usr/sbin/gdm-binary /etc/X11/xinit/Xsession　/bin/bash /usr/bin/ssh-agent　/usr/bin/dbus-launch
/etc/X11/xinit/Xclients /usr/bin/gnome-session /usr/bin/gnome-panel
/usr/bin/gnome-terminal /bin/bash /usr/bin/yum'
has so many ACLs to hold. Stopped learning mode.

selinuxとTOMOYO両方使いたいのぅ　気分的に使うIDS減るｵｶﾝ　運用は地獄でつ

上官殿!!!　不本意な成績で申し訳ありません　自分の不遜にあります
以上、台湾航空隊第二攻撃隊のラバウル航空戦の戦績を報告するでありますっ!!!

667:login:Penguin ◆XkB4aFXBWg
07/12/15 17:42:10 h9rQF8ZE
Q. 結局のところ何が問題か説明せよ（長すぎてわからないぞ）
Q. 「問題」は(a) SELinuxの問題、(b) TOMOYO Linuxの問題、(c) 切り分けできていないのどれになるか？
　（TOMOYOに関係なく発生するならまずselinux-usersに質問するのが吉だ）

668:デムパゆんゆん
07/12/15 18:55:14 gceWszq3
Ａ、(a) SELinuxの問題
ｳﾘはﾈﾀ投下のつもりでやってるﾆﾀﾞよ
ﾈﾀにならないなら投下しないﾆﾀﾞ
うわぁ～ん

669:login:Penguin ◆XkB4aFXBWg
07/12/15 19:42:50 h9rQF8ZE
>>668
ﾈﾀ投下ですか。それは失礼しますた。ﾈﾀは自由に投下ください。
TOMOYOの話題限定でなくても良いのですが、早く解決するには
SELinuxのほうに聞いたらと思ったのでした。

yumは特別な事情というか理由がなければ学習させなければ
良いと思います。（でもこれもﾈﾀか？）

670:login:Penguin
07/12/26 01:38:13 r4ypI5fU
Vineが4.2へ。
一応Kernelが2.6.16-0vl76.27に切り替わっているけど既存の2.6.16-0vl76.3用パッチファイルで問題なくTOMOYO仕込んで再構築完了。
まぁ…マイナーアップなのである意味当然な結果になりましたが…。

671:login:Penguin ◆XkB4aFXBWg
07/12/27 07:40:40 SXWTylVx
TOMOYO Linuxのディストリビューション対応状況2007.12.25版です。
URLﾘﾝｸ(lists.sourceforge.jp)

添付されていたExcelをGoogle Spreadsheetsで公開してみました。
URLﾘﾝｸ(spreadsheets.google.com)

672:login:Penguin
07/12/28 01:37:38 tdQ5au30
ccs-toolsをコンパイルするにあたり、必須な物って何がありますか？
当方Debian（Etch/Lenny）を使っているのですが、make中に大量のWarningを吐き出してしまいます。
一応、Errorは吐き出さないので成功…なのかもしれませんが、ちと気になります。
以前までVinelinux4.1を使っていたのですが、その時はWarningは吐かなかったので…。

make -C ccstools/ all
make: Entering directory `/root/ccstools'
gcc -Wall -O2 -o ccstools ccstools.src/*.c -lncurses -DCOLOR_ON
ccstools.src/ccstools.c: In function 'IsDomainDef':
ccstools.src/ccstools.c:99: warning: pointer targets in passing argument 1 of 'strlen' differ in signedness
ccstools.src/ccstools.c:99: warning: pointer targets in passing argument 1 of 'strlen' differ in signedness
ccstools.src/ccstools.c:99: warning: pointer targets in passing argument 1 of '__builtin_strcmp' differ in signedness

(中略）

timeauth.c:272: warning: pointer targets in passing argument 1 of 'UnEscapeLine' differ in signedness
timeauth.c:274: warning: pointer targets in passing argument 1 of 'UnEscapeLine' differ in signedness
gcc -Wall -O2 -o falsh falsh.c -lncurses -lreadline
make: Leaving directory `/root/ccstools'

Debian自体は最小構成でインストールしているのでほとんど余計（必須）な物が入っておりません。
取りあえず

make
libncurses5-dev
libreadline5-dev

は入れております。

673:LiveCDの中の人
07/12/29 03:31:21 i64ao+JI
>>672
結論から言うと、このwarningは無害です。
警告を消すには、Makefileの35行目のコメントアウトを解除して、
37行目をコメントアウトしてください。
Vineで出ずにEtch/Lennyで出る、というのは、
Vineのgccが、この警告を表示するオプションno-pointer-signが
まだ実装されていないバージョンのためです。

TOMOYOの内部では文字列をunsigned charポインタで表現していますが、
strlenなどの関数が受け取り方がただのcharポインタであることが原因です。

674:login:Penguin
07/12/29 09:11:51 S76xHoyg
>>673
文字コードに依存した処理（文字コードに子息演算とか）をしなければ、charで事足りると思うのですが、
敢えてucharな理由はなんですか？

675:login:Penguin
07/12/29 15:07:37 hCsJ400H
>>674

TOMOYO ではエンコーディングは考慮しません。
全ての文字列を ASCII printable な文字だけで構成します。
そのため、 ASCII printable ではない範囲のバイト
（ 0x01 ～ 0x20 および 0x7F ～ 0xFF ）については
\ooo という８進数で表記します。
この４バイトで表記される８進数データと１バイトで表記されるバイナリデータとを
相互変換する際にビット演算が必要になるので、毎度 signed か unsigned かを
考慮するのが面倒という理由から、最初から unsigned で扱うようにしています。
また、 ASCII printable でないことを検査する際に
1 以上 32 以下または 127 以上 255 以下と表記する方が
-128 以上 -1 以下または 1 以上 32 以下または 127 と表記するよりも
理解しやすいと考えています。
技術的には必要に応じて unsigned char にキャストすれば可能です。

676:login:Penguin
07/12/30 00:52:55 ekUClILt
>>673
Thxです。

677:login:Penguin
07/12/30 04:09:27 LWrRAHuk
英語と日本語で両方ある場合は、相互に対応するページ、最低トップには
リンク貼っといた方が良いかもです。
検索とかで飛んできた人もいるので。

678:login:Penguin
08/01/07 12:00:43 6LLk5psJ
CONFIG_XXXX
のXXXXは機能を意味する英語であって、コードネームであっては
ならんと思うんだが、どうよ？

679:login:Penguin
08/01/07 20:00:13 /JVv+gmI
そいや今更だけどDebian LinnyのパッケージにTOMOYOﾀﾝが入っているね。
ただDebianのポリシーそのままに行くと1.5.x→1.6.xとかの変更が推奨されたときもパッケージに入らない気がするけどその辺りどうなんでしょ？
記憶が正しければstableになった場合、マイナーアップはあってもバージョンは上がらなかった気がした。

680:login:Penguin
08/01/07 22:35:29 kortU+/c
>>679
> 記憶が正しければstableになった場合、マイナーアップはあってもバージョンは上がらなかった気がした。

stable はそうです。

681:login:Penguin
08/01/07 22:43:32 kortU+/c
より正確に言うと stable になった場合は、基本的には security fix のみで、
それ以外は機能的に大きく問題になるような（機能しなくなるような）点に関する
修正だけが協議の上で入れられる状態です。

ま、新しいの追いかけたい人は unstable 使うでしょうからあまり気にすることも
ないでしょう。

682:login:Penguin
08/01/17 05:20:31 V/IoaRhx
なんだ、まだNAGATO linuxに改名してないのかよ

683:login:Penguin
08/01/17 08:22:12 SV+g1jpN
>>682
アプリケーションの挙動を見つめ続けるというのを考えるとやっぱTOMOYOじゃないとダメだと思う。
萌えるストーカーちっくな子が出たらライバルになるかも。エルルゥ？

そんだけではアレなので。
MACに興味あるので古いPen!! BXマシンのDebian Woody(ぉぃ)な内部用自宅鯖をOS含め入れ替える序に使ってみようとプラン立ててます。
思考実験ではある日普段にない挙動が出るとそのまま失敗になってアプリが止まってしまう可能性がある事かしら。
運用モードである日あるアプリがエラーで落ちたときにログを書き出そうとしたりアラートプログラムを起動させようとしても事前に学習させてなければTOMOYOに妨害されるという可能性。
護るという点ではそれは正しい挙動なのだけど、なかなかポリシーを作るってのは難しいですね・・・
幸いLinuxで動かすアプリは大抵オープンソースだから追いかけるのも不可能ではないのが幸せな所かも。
TOMOYOにもSELinuxみたいな出来合いポリシーまでは行かないですが、
「Apache動かすならココ許可し忘れに注意ね。」みたいな指南があると楽なんだろうなぁとも。

684:login:Penguin
08/01/17 08:29:07 SV+g1jpN
ま、単にWindowsメインで暮らしてLinuxを少し触れるだけのプログラムやハックが趣味な人の戯言やチラシ裏と流して頂ければと。
学習モードで眺めるのがなんとなくFilemonやProcess Monitorとかと感覚的に似てそうだなぁとニヤニヤしてます。
Filemon URLﾘﾝｸ(technet.microsoft.com)
Process Monitor URLﾘﾝｸ(technet.microsoft.com)
Windowsアプリは未だにアクセス権に対してテキトーな物が多いのが悲しい事ですたい。
この間もUsersで動かすと落ちるとかいうのを調べたら権限のない場所に書き込もうとして失敗したのに次のステップを強行してぬるぽで落ちてる始末。
みんなAdministrator(root)だった頃の癖が抜けてないプログラマー(というよりSEさん)が多い様で。
Linuxアプリは歴史的に有る程度考えて組まれてるみたいですけど物によっては同じ状況もあるのかなー？
ちゃんとやってればVistaのUACもそう大騒ぎする事でもない、UAC有効で問題ない状況だったはずなのになー

あれだ、キモイパソオタでしかもドザでさーせん。風邪で脳に蛆がわいてるみたい。
就活しなきゃいかんのにまだ決まってないモラトリアムな病弱院生1年生。
出席足りなくてヤバイですよ。機械の体が欲しいです切実に。螺子になるのは嫌だけど。
スルーしてちょ。ただ、TOMOYOをみんなに運用しようと思ったらポリシーを網羅するのは大変だろうなと。
TOMOYOの良いところは俺のドキュメントは俺がKDEから起動したOOoからしか読み書きさせねー、
Apacheから来たアクセスははじいちゃるなんてのがファイルシステムのアクセス権に関係な実現できそうな事ですねー

685:デムパゆんゆん
08/01/18 20:24:15 5cuexXpF
おはぎゃぁぁぁ～
＞アプリケーションの挙動を見つめ続けるというのを考えるとやっぱTOMOYOじゃないとダメだと思う。
＞萌えるストーカーちっくな子が出たらライバルになるかも。エルルゥ？
今まではTCPmon　squrd トリップワイヤ　とかいろいろ使ってあれこれ試行錯誤
あれ？　どうしてレスしてしまったのか
管理する人間にしてみればＴＯＭＯＹＯが出て随分楽になるのでふぁ
＞思考実験ではある日普段にない挙動が出るとそのまま失敗になってアプリが止まってしまう可能性がある事かしら。
自分も前おんなじ様なこと書いたような気が駿河
ＴＯＭＯＹＯﾀﾝ思考停止はい神崎
apache スクリプトでＴＯＭＯＹＯログ監視してストポみたいなエラーでたら
携帯にメイル発信するとか
んで、ＳＳＨでリモートからあぱちぇ再起動　ｳﾏｰ
そしたならば、うちに帰ってから再学習させればよかっぺ

ｦﾚ様って頭いい～とか自画自賛してみるが、
その昔日経コンピューターで特集やってたのを言ってみただけだｗｗｗｗｗ
採用してた会社は遠い記憶で東京三菱うふぁじゃぁ銀行
それでふぁ失礼したいのでつが　その前におちっこ

>>684
＞就活しなきゃいかんのにまだ決まってないモラトリアムな病弱院生1年生。
せんせ～の足にしがみついて、だた様ﾏﾝｾ～　ダタ様ﾏﾝｾ～
と、叫んでみると　あら不思議　目の前にまっさらの履歴書があるわけです。
ストーカーチックでつね　名前も貞子に
あれ　ディスプレイの電源が入ってる・・・・・・・。
風でなくても脳が沸いてるｦﾚなんですが
すかしっぺ

686:login:Penguin
08/01/18 20:37:47 l92/rN1X
>>685
結果をその場で予め決められたとおりに下すんじゃなくてデスクトップ用途で使うならアラートダイアログが出て
「ともよちゃんがさくらちゃんを着せ替えしようとしてるけど、実行してよかと？だめと？　<<やー>> <ないん>後10秒...」みたいなモードがあると面白そ

687:login:Penguin
08/01/18 22:07:32 BvMIQ0O1
外部アプリケーションへのフック機能か。
セキュリティ的になんか心配な気はするけども。

688:login:Penguin
08/01/19 13:42:03 HMoPyc1e
>>682

　改名はありません。
　URLﾘﾝｸ(I-love.SAKURA.ne.jp)

>>683

　ある程度ユーザが増えてくればユーザ間でのノウハウ流通が増えてくると思うのですが、
　最初は難しいので、ソフトウェアの開発元さんにお願いしたいところです。

>>684

　TOMOYO Linux は「情報の伝搬」（情報フロー）を監視／制限するモデルではなく
　「アクセス要求の連鎖」を監視／制限するモデルですから、
　Filemon や Process Monitor とかと似ているでしょうね。

>>685

　/etc/crontab または専用デーモンを使って、 /var/log/tomoyo/reject_log.txt に変更が
　あった場合に携帯にメールを送るということならできるでしょう。

689:login:Penguin
08/01/19 13:43:19 HMoPyc1e
>>686

　何故にドイツ語？（笑）

　デスクトップにダイアログを表示するプログラムは無いけれど、
　ポリシーで許可されていない要求をその場で却下するのではなく
　管理者の判断を仰ぐようにするモードはバージョン 1.1.1 以降で使えます。
　この機能を使えば、例えば３分間を限度に管理者が応答するまで保留させるといったことも実現可能です。

　管理者とポリシー違反監視デーモンの双方からアクセス可能なプライベート領域を用意できれば、
　「サービスがポリシーで許可されていない振る舞いを要求」→「カーネルが要求を保留」→
　「ポリシー違反監視デーモンが要求内容をプライベート領域に書き込み後、ユーザに注意喚起」→
　「ユーザがプライベート領域の内容を見て諾否をその領域に返答」→
　「ポリシー違反監視デーモンがその領域に書き込まれた返答を見てカーネルに伝達」→
　「カーネルが返答に従って処理を行う」という流れを踏むことで
　対話的にポリシー違反を処理することができます。
　コンソールやターミナルからこの処理を行うのが ccs-queryd というプログラムです。

　問題は、 Linux サーバだと Windows みたいに常にデスクトップ画面が使えるとは限らないので、
　通知のためにメール等の手段を必要とすることと、公開Ｗｅｂサーバやｓｓｈのように
　ファイアウォールで遮断されないサービスの手助けを借りる必要がある点ですね。

690:login:Penguin
08/01/19 23:57:04 HMoPyc1e
>>685
>>689

　よくよく考えてみると、通知して保留する部分だけなら簡単なのでちょっと作ってみました。

　URLﾘﾝｸ(svn.sourceforge.jp)

　これを gcc -Wall -O3 -o ccs-notifyd ccs-notifyd.c でコンパイル後、
プロファイルの ALLOW_ENFORCE_GRACE=1 に設定した上で
ccs-notifyd 0 'mail メールアドレス' のように実行すると、
強制モードで発生した最初のポリシー違反をタイムリーに教えてくれます。
判断保留中にログインして ccs-queryd で返答するつもりなら
待ち時間を 0 ではない値（ 180 秒くらいが妥当？）に設定してください。

691:login:Penguin
08/01/20 21:02:11 vK+YBZs+
>>683
＞アプリケーションの挙動を見つめ続けるというのを考えるとやっぱTOMOYOじゃないとダメだと思う。

バックの組織のことも考えてKOIZUMI Linuxでいいじゃん。

692:login:Penguin
08/01/21 02:40:10 XBGn53n5
智代 After Linuxつくってくれ

693:デムパゆんゆん
08/01/21 17:51:06 rFx7dDpJ
>>686
例外処理やprintfで出力出してるとこ
変えればよさそうだ。　うん

あれだな　本家にはとても入れらないだ？なので野良ビルド
どこかうｐ出来そうなとこはないものか、と
夜の校舎窓ガラス壊してまわった

>>690
最近ＢＳＤ入れたボッチャマに犬をもう一度入れろという天のお告げでつね。
こわひのでただ今から入れなおすことを前提に
前向きな検討をしたいと重いまつ。
きになったのはgcc -03 でエラーでないでつか？
スタンダードに-02のほうがよさげな気が始末書
待ち時間　メールだとすぐには届かないかも試練
webmin hinemosみたいな統合管理ツールで監視して
電話発信でワン切り５回なんかも考えた。
駄菓子菓子、１８０秒とか待ち時間過ぎても
リモート接続できないとき
拒否にして　家に帰ってガリガリと修正すればいいだけか。
でわ、海に潜る

694:login:Penguin
08/01/24 22:36:43 +xCTxMjN
TOMOYO de BSDを所望しよう！
Trusted BSDは使い様が今一把握できんorz

それはさておき、1.6.xに向かってまっしぐらのようだけどポリシのパーミッション表記方法が変わると既存のポリシに影響出そうで怖いのぉ。
きちんと既存ポリシは引き継げるのじゃろか。

695:login:Penguin
08/01/25 06:42:30 S3Tv4eYT
>>694

キーワードを以下のように変更するだけなので、 1.5.x で作成したポリシーを 1.6.x で読むことができるようになっています。（逆はできません。）

1 -> allow_execute
2 -> allow_write
3 -> allow_execute と allow_write
4 -> allow_read
5 -> allow_execute と allow_read
6 -> allow_read/write
7 -> allow_execute と allow_read/write

696:login:Penguin
08/01/25 23:34:30 Y8TQ/mNy
>>695
ふむふむ、安心したとですたい。
個人的には現行のままかrwx方式の方が分かりやすい気もしますが。

697:login:Penguin ◆XkB4aFXBWg
08/02/02 23:44:31 BrD5gcHQ
>>696

私も「現行の数値表示のまま＋コマンドラインオプションでrwx形式を追加」が
良いと思ったのですが、「特定の別名だけハードコーディングして
コマンドラインオプションという優遇措置を設定することには反対」という
ことになりました。

URLﾘﾝｸ(lists.sourceforge.jp)

1.5.3では、下記のような環境変数を定義すれば、rwx表示に変更は可能です。
（一種sedの置換のようなイメージ）

EDITPOLICY_KEYWORD_ALIAS='1=--x:2=-w-:3=-wx:4=r--:5=r-x:6=rw-:7=rwx'

698:login:Penguin
08/02/04 02:31:36 C0+qZX6D
>>697
orz
慣れれば馴染むのかなぁ。
慣れるまで大変そうだ。

せめて表記方法を選択できるようにすれば幸せ…かも。

699:login:Penguin ◆XkB4aFXBWg
08/02/04 21:47:46 pPdDQ2Yl
>>698
> 慣れるまで大変そうだ。
そうですか？（笑）
URLﾘﾝｸ(tomoyo.sourceforge.jp)
> せめて表記方法を選択できるようにすれば幸せ…かも。
環境変数を定義しなければなりませんが、一応選択は可能です。

700:login:Penguin ◆XkB4aFXBWg
08/02/04 23:08:56 pPdDQ2Yl
1,2...7とrwxを両方表示させてみましたが、いまいち・・・。
URLﾘﾝｸ(tomoyo.sourceforge.jp)

701:デムパゆんゆん
08/02/04 23:47:54 JAZlt/Xr
いまいちなんでつが、
この際ばっさり切り捨てるとか
古い仕様が良いという抵抗勢力も出ると思いマツ
そんな時は　抵抗勢力はぶっ潰す　あひゃぁ
個人的には古いほうが良いような気もするんでつが
どっちでもいいや　だた様万歳!!!

702:login:Penguin ◆XkB4aFXBWg
08/02/05 06:51:56 fjHymLCz
>>701
1.5.3ではポリシーの構文自体は変わっていません。
editpolicyが勝手に表示内容（見た目）を置換しているだけです。
だから1を「あひ」、2を「でつ」とかにしても良いわけでつ。
多分すでに使っている人には1,2,3...で十分なのでつが、
新しく使い始める人には、まあわかりやすいと思いマツ。
この変更が一番うれしいのは、デモの際に「4はreadで・・・」のような
説明をしなくてすむことですが、同じポリシーが環境によって
違って表示されても良いのか気になりまつ　あひゃぁ

703:login:Penguin
08/02/20 18:36:49 21MYkGk0
TOMOYO の ML のアーカイブが gmane で読めるといいなぁ。

704:デムパゆんゆん
08/02/22 00:35:14 6ALFx6VR
偶然見かけたＯＳＣﾄﾝｷﾝ２００８の案内
ＴＯＭＯＹＯ独演会　登録しちゃると思ったら満員ﾆﾀﾞ!!!ｗｗｗ
以外だ　ＳＥ　Linuxと肩並べてるよ
日本はいよいよ制覇しつつあるのか
次は世界制覇でつね　ＮＳＡの陰毛を打ち砕く日が来るんだなッ!!!
去年のＯＳＣ関西見たく　立ち見は駄目そうなのかしらん
事務局に聞いてみるか
１０年ぶりのﾄﾝｷﾝ上京が夢と消える　あぁ花の大東京

705:デムパゆんゆん
08/02/22 23:47:13 6ALFx6VR
[Tomoyo-dev 775] プログラム実行時のパラメータをチェックする機能について
[Tomoyo-dev 776] ステートフルなアクセス許可のサポートについて
なんとなく読んでみる。
allow_execute /bin/sh if exec.envp[\"HOME\"]=\"/home/\\*\"
極論を言うと/homeがシンボリックリンクなどで改ざんされいないという
性善説が大前提になるだ。
ｦﾚ様頭堅すぎるのかな?

ファースト　Tomoyo-dev 775
プログラムの中にじゃんじゃん掘り込むのデブになっちまぅ
/etc/ccs/exception_policy.conf以下に
iptableやFreeBSDのpfみたいにif構文みたいなプログラム形式で
書くのいかがでせうか

セカンド　Tomoyo-dev 776
なんとなくわかるのでつ
ＣＧＩが増やしたプロセスの中に不正なプロセスが紛れ込んでいる
いやらしい僕ちゃんがいると　大変なことに
うーん　これも頭が固すぎるのか
最近ﾁﾝﾁﾝ固くしてないな

あぁ　せんせ～は海外逃亡中みたいでつね
お家の一大事でつ
URLﾘﾝｸ(itpro.nikkeibp.co.jp)

ベルギ～ﾁｮｺ!!!　ベルギ～ﾁｮｺ!!!

706:login:Penguin
08/02/23 10:50:55 +5LIG1Ds
>>705

> 極論を言うと/homeがシンボリックリンクなどで改ざんされいないという性善説が大前提になるだ。
セキュリティ強化ＯＳは性悪説が前提です。（カードキャプターさくらの世界に悪人はいません。）
まず、シンボリックリンクに関しては、シンボリックリンクを解決した後のパス名でチェックしますので
シンボリックリンクの影響は受けません。また、名前の変更に関しては「変更前／変更後」をセットにして、
ハードリンクの作成に関しては「リンク元／リンク先」をセットにしてチェックしますので、
「 mv /etc/shadow /tmp/shadow 」とか「 ln /etc/shadow /tmp/shadow 」のような操作を禁止できます。
よって、ファイルに関する強制アクセス制御が有効である限り、パス名を改ざんするのは容易ではありません。

> プログラムの中にじゃんじゃん掘り込むのデブになっちまぅ
カーネルが大きくなってしまうことを心配してるのでしょうか？そうだとしたら
> /etc/ccs/exception_policy.conf以下に
> iptableやFreeBSDのpfみたいにif構文みたいなプログラム形式で
> 書くのいかがでせうか
exception_policy.conf に書いても domain_policy.conf に書いても
コードサイズの増加分は変わらないです。
domain_policy.conf に書く理由は、どのようなパラメータを許可すべきかは
ドメイン毎に異なるからです。 if 以降の条件は学習モードでは追加されませんので、
デフォルトでは 1.5.x と同様です。 /var/log/tomoyo/reject_log.txt の中から
allow_execute を見つけ出し、 if 以降の条件を追加したい場合だけ
手作業で追加してもらうことになります。

707:login:Penguin
08/02/23 10:52:12 +5LIG1Ds
>>705

> ＣＧＩが増やしたプロセスの中に不正なプロセスが紛れ込んでいる
この機能は、ＣＧＩからシェルを起動できる条件を厳しくするために使います。
Apache プロセス内で動作するＣＧＩから /bin/sh の実行を要求されることがありますが、
「ＣＧＩによる正当な実行要求」なのか「バッファオーバーフローによる不当な実行要求」なのかを
判断する材料がありません。（どちらも Apache プロセスだからです。）
そのため、過去にどのような処理が要求されたかという情報を状態変数として保持しておくことで、
シェルの実行要求を認めるかどうかの判断材料として使えるようにするものです。
例えば 192.168.1.xxx から接続してきた場合のみ管理用コマンドの実行を
許可するといった使い方ができるようになります。
もちろん、実行時のパラメータチェックと組み合わせて使えます。

さらに、ログイン認証の強化（ケロちゃんチェック）でも使えます。
例えば /etc/fstab をオープンしてから認証プログラムを実行しないと認証が成功しないとか、
/etc/mtab を３回オープンすると次のステージに進むためのプログラムを実行できるようになるとか。
忍者屋敷化（からくり屋敷？迷路？）に一層の拍車をかけることができます。
侵入者が屋敷の玄関まで到達できても、屋敷の中には見えない障壁がいっぱいあって先へ進めない、
そんな状況を「想像」（この機能を使うことで「創造」）してください。
イベントの発生順序でアクセスを制限する TOMOYO Linux は、悪人がログインできない世界を創り出すのに最適なのです。

> あぁ　せんせ～は海外逃亡中みたいでつね
インターネット常時接続環境のない場所で難儀しているようです。

708:デムパゆんゆん
08/02/24 00:10:25 /WI3c3iT
>>707
＞よって、ファイルに関する強制アクセス制御が有効である限り、パス名を改ざんするのは容易ではありません。
＞忍者屋敷化（からくり屋敷？迷路？）に一層の拍車をかけることができます。
ＴＯＭＯＹＯすげーｗｗｗ
ＳＥ　ぃぬっくすいらねーぢゃん
つか聞く前にコード嫁言われてるみたいだなｗｗｗ
うん　書く分量が多い過ぎて　ＭＬに登録してまともな文章で返信の返信するアルか

＞インターネット常時接続環境のない場所で難儀しているようです。
オランダにはネカフェがたくさん
ＱＢＢからＤＢに乗り代えお隣のドイチェランド　フランクフルトでビールとおつまみで一休み
お帰りはそのままルフトハンザ航空で安く日本へ　ひゃっは～

709:login:Penguin
08/02/24 14:01:56 smfLkUYP
おい、データに居るのに贅沢だな。

710:login:Penguin
08/02/24 21:44:23 Gs5sbjyI
せんせーへ。
これだけでMLになげるのもあれなんでこちらで。
お疲れ様でした。

711:login:Penguin ◆XkB4aFXBWg
08/02/24 21:48:01 zqtmZFzW
>710
どうもありがとう。
今回は素晴らしくきつかったです。

712:login:Penguin ◆XkB4aFXBWg
08/02/24 21:50:46 zqtmZFzW
発表の直前まで作業していたので他の人の講演は聞いていないし、
チョコもワッフルも食べていませんが、明日帰国します。
今年はELCやOLSが通っていても辞退しようかな（笑）。

713:デムパゆんゆん
08/02/25 02:45:27 KB3fNQRF
せんせ～が引退宣言だ
いつもなら長文書いて発狂してるのに
辞退するとデスクが子会社にいつの間にか移っていたり
うん　アレだ　これはなかった事に
ＮＳＡに頼んで証拠すべて消してみる
すべてなかった事にして進む
フーッハッハッハッハ～　ＮＳＡ万歳

714:login:Penguin ◆XkB4aFXBWg
08/02/25 08:44:09 lFcPbgqw
いや、採用されたら発表しますよ。(^^;
会社的には別に辞退してデスクが変わったりすることはないでしょう。
やめることより続けること、続けられる状態を維持するほうが大変です。
（もっとも続けるためにやっているわけではなく、会社にとって
プラスにしようと思っているわけですが。そのあたりは資料をながめると
感じ取ってもらえるかも）
# しかし、いつも長文書いて発狂してますかねぇ。(--;
今回の発表については、PCの故障、鞄の盗難（これがひどい話で・・・）、
ネット接続できないなどさまざまなトラブルが続きました。
それらをなんとか乗り越えて「約束した」発表を無事終えた、というのが実感です。
FOSDEM'08のパンフによると参加者は4000人以上、発表は200件以上と
ありますが、発表は勿論自分以外の日本人は見かけませんでした。
European Meetingなのに選考してもらっている以上、日本代表も同じで
恥ずかしい発表はできないし、出張費用を負担する会社にはその費用以上の
ものをもたらさなければいけないというのが「約束」の意味です。
ドラクエで言えばMP0, HP1でやっと町に着いた的な状態で、さすがに
疲れました。
ということで少し横になったので、ちょっとだけ長文でした。（笑）
でふぁ

715:login:Penguin ◆XkB4aFXBWg
08/02/25 08:56:20 lFcPbgqw
ヨーロッパのOSSのコミュニティというか取り組みの活気は非常に高くて
驚きました。「お祭り」とか「イベント」という浮いた感じはどこにもなく、
ただまじめに取り組んでいるという印象です。静かで本気なのです。
プログラムからもそれがわかると思います。
URLﾘﾝｸ(www.fosdem.org)

716:login:Penguin
08/02/25 19:34:50 6WW+La9G
鞄の盗難の話ｋｗｓｋ

717:デムパゆんゆん
08/02/25 23:52:25 KB3fNQRF
>>715
pdf読んでみた
タイトルがはっきりしててうらやましいなぁと思う。
日本のＯＳＣに限らずなんか弊社でふぁソリューション展開云々
スポンサーの電波とかそんなのばっかりだし
エオロッパは反マイクロソフトが露骨でつ
官主導でがんがんやってるのうらやましい
実際システム構築やホスする人は地獄だとオモｗｗｗ

ＵＳＢメモリーとか刺したままにして
作業しながらコピー
やくそく守ったし生きて帰ってこれたから
うん　アレだ結果万歳

718:login:Penguin
08/02/26 07:06:09 eMAAHckI
>>712
ワッフルはULBの自販機にあったような気がするですよ。
て既に手遅れですな。

>>714
そこまで気負わんでも。
ネットはHack labo.へいけばって言っても混んでて無理か。

>>717
あんなものと比較しちゃ失礼でつ。

719:デムパゆんゆん
08/02/26 21:10:48 75/EnCeb
>>718
ちょｗｗおまｗｗｗｗｗｗｗｗ
なんでつが、あんなものでも
時間を割いて講演する人もいる
あんなものでも１０年ぶりのﾄﾝｷﾝ上京にｗｋｔｋしているのにｗｗｗ
行く気なくすよ　べぃべ　華の都大東京

720:login:Penguin
08/02/27 01:17:58 1DvYGSv9
まあ一回行ってみりゃわかりますよ。

もっとお手軽に行ければ自腹参加するんだが…

721:デムパゆんゆん
08/03/03 21:06:19 OIAumudR
>>720
それなりに収穫あった
とりあえずSUNの中の人にｺﾞﾙｧ!!!出来たから万歳
しかし、人が多かった
上野で声かけられるしなぁ　ホームレスと思われたみたいだ
おっかねぇ町だ

722:login:Penguin
08/03/03 23:18:59 ktQ1pfWh
INSTALL くらいいれてほしいのだ

723:デムパゆんゆん
08/03/03 23:56:45 OIAumudR
入れてやるから足開けよ

しかしTOMOYO linuxがいつのまにか鳥になっていそうな勢いだな
ツルボがTOMOYOに

あれ　家に誰か来たようだ

724:login:Penguin
08/03/04 14:51:39 UNaE2kKe
名称をtomoyoでなく、tomoyolinuxにしたのはなぜなんでしょうか？
自分は、最初ディストリかと思いました

725:login:Penguin
08/03/04 18:59:52 Xm/n3It9
ツルボって何？

726:login:Penguin ◆XkB4aFXBWg
08/03/04 23:08:43 +p3Q60Ul
>725
「ツ」「ル」「ボ」とローマ字で書いてじっと眺めているとわかるかも。

727:login:Penguin
08/03/04 23:32:55 SYO2w67u
リリースのアーカイブの構成はもう少しどうにかならないですか?

COPYING とか INSTALL とかないし…。 ./ に展開されてしまうのもちょっと…。

728:login:Penguin
08/03/05 01:23:29 TJzYPH0L
kernel の config 用の説明はもう少し簡略にしてもよくない?
SAKURA のもともとの意味とか冗長だと思う。

729:login:Penguin ◆XkB4aFXBWg
08/03/05 06:38:31 wb+X54kg
以前もここにあった書き込みを参考にしてリリース内容を変更しました。
問題点や改善の提案、意見があれば727,728のようにお知らせください。
その際できるだけ具体的なほうが助かります。
反映した場合はtomoyo-users, tomoyo-devで報告しますが、ここで提案
されたものはここにも報告します。

730:login:Penguin ◆XkB4aFXBWg
08/03/05 07:56:43 wb+X54kg
>716
記事を書き始めました。
書き上げたら掲載してもらうところをあたってみます。

731:login:Penguin
08/03/05 17:28:30 3/YYA17u
turboのことか。

732:login:Penguin
08/03/05 19:13:54 U7v281x9
tomoyoってどこで使われてるの？
使用実績とかそういうの

733:login:Penguin ◆XkB4aFXBWg
08/03/06 00:25:24 z/SzlC/D
>732
それはとても興味があることなのですが、ユーザ登録もライセンス契約も
しないで使えてしまうため実績はプロジェクト側ではわからないのです。
（tomoyoに限らず他のOSSもそうだと思います）
逆に使ってもらって報告してもらうと喜んでプロジェクトwikiとかに
掲載しちゃいます。直接ではないですが、多少関係する情報を紹介します。
URLﾘﾝｸ(www.nisc.go.jp)
URLﾘﾝｸ(sourceforge.jp)

734:デムパゆんゆん
08/03/06 00:52:20 /d7sQRDx
>>733
うっすらと防衛システムやってまつ。みたいでこわひよﾏﾏﾝ
しんぞ～が叫んでいた日本版ＣＩＡの一片をかいまみますた
こわひので潜行しまつ　ﾌﾞｸﾌﾞｸﾌﾞｸﾌﾞｸ

735:login:Penguin
08/03/06 18:23:28 GsCrFK3g
活動再開。
とりあえず、LKMLの整理から。

736:login:Penguin
08/03/06 21:41:53 0AVtMOE9
Ubuntu Server版 + TOMOYOのisoイメージって作成されないの？

737:login:Penguin
08/03/07 00:28:58 wy4uBxaY
TOMOYOのリリースっていろんなディストロ用のパッチが入ってるけど意味あるの?

738:login:Penguin ◆XkB4aFXBWg
08/03/07 07:10:28 c7Zdx7fz
>737
カーネルバージョンが同じでもディストロごとに使用している
カーネルソースは異なり（修正されており）、
vanillaカーネルのパッチはそのままではあたりません。
そこでコンパイル済みパッケージではなく、自分でビルドする人
URLﾘﾝｸ(tomoyo.sourceforge.jp)
のためにわかる範囲で各ディストロ用のパッチを提供しているわけです。
ということで答えになっていますか。

739:login:Penguin ◆XkB4aFXBWg
08/03/07 07:15:28 c7Zdx7fz
>735
復帰おめでとうございます。
LKMLはその後大きな動きはありません。セキュリティゴールを
投稿し、vfsmount部分のみを切り出して提案したというのが
主な内容ですが、それらの結果新たな動きはでていません。
LKML提案については、
URLﾘﾝｸ(elinux.org)
にインデックスを置いていますから利用ください。
公表はしていませんが、FOSDEM前にAppArmorの人に「合同で
OLSの投稿をしませんか？」と提案しましたが、その際
AppArmorもvfsmount部分を切り出して投稿しようとしていたことが
わかったので、「多分効果ないですよ」とコメントしました。

740:login:Penguin ◆XkB4aFXBWg
08/03/07 07:18:52 c7Zdx7fz
gentooの方がebuildを作成してくださいました。
URLﾘﾝｸ(ebuild.gentoo.gr.jp)
URLﾘﾝｸ(ebuild.gentoo.gr.jp)
各ディストロ用のパッケージ作成について協力いただける方を募集しています。

741:login:Penguin ◆XkB4aFXBWg
08/03/07 07:29:33 c7Zdx7fz
>720
OSC2008/Tokyoの講演資料、講演動画など公開されています。
はてなのキーワードから参照ください。
URLﾘﾝｸ(d.hatena.ne.jp)
ブースと講演にきていただいた方々ありがとうございました。
デムパ君もきていたようですが、デムパ君は現実世界では
電波を出していないので今回もプロジェクトメンバーは識別できませんでした（笑）。

742:login:Penguin
08/03/07 08:35:31 wy4uBxaY
>>738
うーむ、なんといいますか、 vanilla のパッチでも問題なくパッチがあたるも
のに対しても一つずつパッチを発行しているように見うけられるのです。

それは中の人の手間がかかりすぎるのではないかなぁ、と。

743:デムパゆんゆん再浮上
08/03/07 21:19:35 Da+wBUIs
>>742
以前自分も同じ様なこと書いたが、
まぁなんだ　糞ハードでコンパイルするとだな
時間がかかるわけで　armとか　アルマジロとか大変でつ
プロジェクト自体組み込み分野意識しているふいんきでつね

ちなみにパッチ当て
このedoraみたいなうｐだてすると
ハングしちゃうような鳥で　もぅパッチ当てｲﾔとか
特定のバージョンの鳥とか　ありまつか？
一台空きが出そうでつ
しかしパッチ当ててreject出たら直せませんｗ
厳冬はｗ

>>741
リアル電波人間の方が多かったので存在感なかったでつ
ふと思ったのは仮にメインラインに入ったとして
その先の視点はあるのでせうか？

打倒ＮＳＡ!!!　鬼畜米英を排除するﾆﾀﾞ!!!とか
上にあったNISCでせきゅりちぃＯＳとして
防衛システムに耐えられるのか?とか
うん　ＣＴＵみたいだ　ﾌﾟﾌﾟｯﾋﾟﾌﾟ～
それでふぁ　再潜行　ﾌﾞｸﾌﾞｸﾌﾞｸﾌﾞｸ

744:login:Penguin ◆XkB4aFXBWg
08/03/07 22:18:21 c7Zdx7fz
>743
>>その先の視点はあるのでせうか？
おととい某社で同じことを言われました。

ﾌﾞｸﾌﾞｸﾌﾞｸﾌﾞｸ

745:デムパゆんゆん再浮上
08/03/11 22:35:22 CxtQ3FtA
>>744
なんとなく言ってみたのが
なんと某社でも同じ事言う人いたのですね
「上司の早く結果お出せ！」　言ってるみたいだ
ごめんよ　ジャック　　トニーがシーズン７で復活だ
交代でつ　でふぁ　潜行　ﾌﾞｸﾌﾞｸﾌﾞｸﾌﾞｸ

746:login:Penguin ◆XkB4aFXBWg
08/03/11 23:24:13 zv95Uvxy
トニーが復活？そんなことアルメイダ・・・。ﾌﾞｸﾌﾞｸﾌﾞｸﾌﾞｸ
ELC2008、2年連続でつ。でふぁ。ﾌﾞｸﾌﾞｸﾌﾞｸﾌﾞｸ

747:login:Penguin
08/03/19 14:40:24 FJ24G3gB
linux-users に TOMOYO が原因ぽく見えるもので困ってる人がいるけど、いまいち対処がわからない。

748:login:Penguin ◆XkB4aFXBWg
08/03/19 23:20:44 x1kDdHhS
対処の前に何が起こっているのかが見えません。

"Not activating Mandatory ..."を表示しているのは、確かに
TOMOYOパッチですが、それは"/.initが存在しないからMACを有効にしないよ"
と言っているわけで、それなのにもし何かを制御しているとしたらおかしい。

何らかの理由により（そんなことないよな・・・）MACが有効になっていたと
しても、rebootなどのコマンド「だけ」が実行できなくなるような
状況（＝そうしたポリシーが定義されている状態）はさらにおかしい。

/.initがないことは確認済みなので、TOMOYOは有効になっていないと
考えるのが自然で、そうすると「再起動ができない」と言っている部分を
調べてみる必要があるので質問中。

749:login:Penguin ◆XkB4aFXBWg
08/03/20 00:27:30 DeMn8tFr
>747
再起動のコマンドの実行が「拒否」されるわけではなくて、
「コマンド自体は通常に実行できるが、システムが終了しない」というのが
症状でした。原因は不明で熊猫先生はデッドロックの可能を示唆しています。

750:login:Penguin
08/03/20 09:33:38 uHEaUbK8
TOMOYO初心者ユーザです。
質問があるのですが、skypeをkdm環境から立ち上げるのccs-editpolicyで制御したとしても、
gdm環境等から立ち上げることは出来てしまうのでしょうか。

例えば、kdm環境の場合のドメインは、以下のように設定しています。

<kernel> /etc/init.d/kdm /sbin/start-stop-daemon /usr/bin/kdm
/etc/kde3/kdm/Xsession /usr/bin/ssh-agent /usr/bin/dbus-launch /bin/sh
/usr/bin/startkde /usr/bin/start_kdeinit_wrapper
/usr/bin/start_kdeinit /usr/bin/kdeinit /usr/bin/skype

しかし、startrxでXを立ち上げた場合は、以下のようなドメインは許可されてしまうのでしょうか。

<kernel> /sbin/getty /bin/login /bin/bash /usr/bin/startx
/usr/bin/xinit /bin/sh /usr/bin/ssh-agent /usr/bin/dbus-launch
/usr/bin/seahorse-agent /bin/sh /usr/bin/gnome-session
/usr/bin/gnome-panel /usr/bin/skype

751:login:Penguin ◆XkB4aFXBWg
08/03/20 11:26:54 DeMn8tFr
こんにちは。TOMOYO Linuxはデフォルトでは起動履歴が異なるものは
別ドメインとして扱います。したがって上記2つは独立なドメインなので
それぞれアクセスを定義しないといけません。
しかし、/usr/bin/skypeについて「どのように起動されていても
同じように扱いたい（1つのドメインとして扱いたい）」場合は、
initialize_domainとして登録しておくことにより、上記2つ以外を
含め、/usr/bin/skypeをひとつのドメインとして例外的に扱えます。
詳しくは、下記を参照ください（またわからなければお気軽に質問ください）。
URLﾘﾝｸ(tomoyo.sourceforge.jp)

752:login:Penguin ◆XkB4aFXBWg
08/03/20 11:31:11 DeMn8tFr
もうひとつのやり方は、kdmのほうで定義したポリシーを該当するgdmの
ドメインの部分にエディタで貼り付けても同じです。一度savepolicyで
保存したポリシーはプレインテキストですから、viでもemacsでも
該当する部分を見つけて複写するのは簡単です。

TOMOYOでは標準（デフォルト）の状態で、ドメインを細かく（自動的に）
定義しますから、それを支障のない範囲で統合するというのが
ポリシーのチューニングになります。それに対して、SELinuxなどでは
ドメインの定義を細かくしたければ、リファレンスポリシーを自分で
再定義して分割する形になるはずで、考え方や使い方が異なります。

753:750
08/03/20 12:29:18 uHEaUbK8
>>749
ありがとうございます。
例えば、/home/hoge/.Skype 直下にのみrwを許可する場合は、
こういう風に書けばいいのでしょうか。

--(exception_policy.conf)------------
initialize_domain /usr/bin/skype
-------------------------------------

--(domain_policy.conf)---------------
<kernel> /usr/bin/skype
/use_profile 3

6 /home/hoge/.Skype/\*
-------------------------------------

754:login:Penguin ◆XkB4aFXBWg
08/03/20 13:18:50 DeMn8tFr
>>753
initialize_domainはそれでOKです。これを記述するファイルが
exception_policy.confなのは、「ポリシーの扱いを例外的に標準とは
違うやり方」で扱うからです。
domain_policy.confですが、use_profileの前の"/"は不要（間違い）ですし、
手順としては、(1)まずinitilizeの効果を確認し、(2)そのドメインで学習させる、
(3)学習結果を見てチューニング、(4)作成したポリシーで確認を行い、
(5)最後にエンフォースです。（別にこの通りでなくても良いですが）

次ページ