Регистрация26.09 // Безопасность SELinux против OpenBSD
Недавно в списке рассылки OpenBSD-misc состоялась дискуссия на предмет сравнения безопасности ядра Linux 2.6.x в виде подсистемы SELinux с тем, что предлагается в OpenBSD. Общее мнение таково: политика безопасности SELinux и язык, на котором она пишется, слишком сложна, что приводит к тому, что, цитата Damien Miller: "при развёртывании всех известных мне средних и крупных инсталляций Linux, SELinux был отключен. Как только вы делаете шаг в сторону от конфигурации по умолчанию, то предлагаемые политики, с которыми поставляется ваш дистрибутив, больше не работают, и затем всё просто ломается". Другой участник дискуссии просуммировал высказанное следующим образом: "проблема безопасности, которая опирается на какую-либо [предопределенную] политику, в том, что последняя всегда неверна".
Далее была высказана следующая [как мне кажется очень правильная] мысль: "Нельзя прививать безопасность – её нужно интегрировать в основной процесс разработки. Я уверен, что мэйнтейнеры накладывают все возможные патчи, но это не исправляет фундаментальный изъян этого процесса. Это не ошибка в их работе – это неотъемлемая часть ситуации. Но это всё равно изъян."
"Проблема с SELinux в том, что это просто кнопка, которую можно нажать, оставив систему без сверхнадёжной защиты". OpenBSD имеет более универсальную систему защиты в виде propolice stack protection, random library mappings, proactive privilege separation, W ^X и systrace.
Источник: http://www.linux.org.ru/view-message.jsp? Msgid=2166719
Подробности: http://kerneltrap.org/OpenBSD/SELinux_vs_OpenBSDs_Default_Security
комментариев: 112 документов: 8 редакций: 15
Зачем же в топку? Каждый имеет право выбирать то, что ему по вкусу. Я просто не видел необходимости лично для себя переходить с Linux на BSD. Да и теперь не вижу.
GrSecurity и RSBAC обеспечивают достаточный уровень безопасности, а единственная проблема с SELinux это сложность её настройки.
Что касается новости, здесь здесь были предложены много вариантов работы сплоита для случаев включённых политик доступа. Меня поразило, что noexec-файловые системы обходятся, как и многое другое. Также удивило, что на поверку оказалось что совсем не многих защитили PaX, SeLinux и т.д. Не могу цитировать тот тред – слишком много всего, но суть в том что политики оказались совсем не панацеей, многим они вообще не помогли. Ранее о linux был большего мнения.
комментариев: 9796 документов: 488 редакций: 5664
Debian с grsecurity выстоял, вместо шелла злоумышленники могли бы устроить только DOS, хотя возможно опытный взломщик мог бы обойти и это.
комментариев: 11558 документов: 1036 редакций: 4118