Исправление www_linux_org_ru, (текущая версия) :
Кстати, вопрос тем, у кого Wheezy в пределах доступности - там в ядре есть SMACK?
к этому Чуду Инжереной Мысли есть какие-либо еще конфиги, кроме «unclassified, c, s, ts»?
это я к тому, что selinux, хотя и сложен, но является конструктором — т.е. дает возможность сделать то, что надо, а эта хрень, кмк, не является конструктором и соответственно не должна делать вид, будто является, и должна быть реализована без конфигов через lsm — достаточно жестко прошить соответствие первого ненулевого бита в юзер-ид-е с классом доступа
заодно такая прошивка позволит работать напрямую с инодом, а не с говнопутем, как SMACK
btw, для десктопного юзера был бы полезен простенький модуль ядра на эту тему, и даже еще проще — с одним уровнем иерархии «confidential» — именно, юзера с установленным определенным битом в ид-е обладают свойством — их world-readable файлы все равно невозможно прочесть unclassified юзерам (в ид-е которых бит не установлен), а так же confidential юзеры не могут писать в unclassified файлы, сокеты, разделяемую память и все остальное
понятно, что еще нужно прикрыть интернет для них, но тут есть iptables
Исходная версия www_linux_org_ru, :
Кстати, вопрос тем, у кого Wheezy в пределах доступности - там в ядре есть SMACK?
к этому Чуду Инжереной Мысли есть какие-либо еще конфиги, кроме «unclassified, c, s, ts»?
это я к тому, что selinux, хотя и сложен, но является конструктором — т.е. дает возможность сделать то, что надо, а эта хрень с виду не является конструктором и соответственно не должна делать вид, будто является, и должна быть реализована без конфигов через lsm — достаточно жестко прошить соответствие первого ненулевого бита в юзер-ид-е с классом доступа
заодно такая прошивка позволит работать напрямую с инодом, а не с говнопутем, как SMACK
btw, для десктопного юзера был бы полезен простенький модуль ядра на эту тему, и даже еще проще — с одним уровнем иерархии «confidential» — именно, юзера с установленным определенным битом в ид-е обладают свойством — их world-readable файлы все равно невозможно прочесть unclassified юзерам (в ид-е которых бит не установлен), а так же confidential юзеры не могут писать в unclassified файлы, сокеты, разделяемую память и все остальное
понятно, что еще нужно прикрыть интернет для них, но тут есть iptables