Systrace
Horst von Brand
vonbrand en inf.utfsm.cl
Mar Mayo 2 21:31:51 CLT 2006
Jorge Medina <jmedina en traza.cl> wrote:
> Horst von Brand [mailto:vonbrand en inf.utfsm.cl] dijo:
> > Sebastian Yoma Q. <syoma en duoclab.cl> wrote:
> > > Estoy administrando usuarios mediante systrace (usando 'policies' para
> > > restringir el acceso a las llamadas del sistema). A los usuarios le
> > > tengo permitido escribir dentro de su home ( fswrtite: filename match
> > > "$HOME" then permit ) y escribir en /tmp.
> > Para discusion de sistemas de seguridad basadas en nombres de archivo,
> > vease
> > <http://securityblog.org/brindle/2006/04/19/security-anti-pattern-path-based-access-control/>
> > [Resumen ejecutivo: No hay manera de que tales sistemas funcionen.]
> {
> Solution: the subjects and object should remain tranquil.
OK.
> To maintain object
> tranquility copy the data to a new object with that has the proper label.
O sea, duplicar los datos por todos lados "para que tenga el nombre
correcto segun el uso".... chao confidencialidad, olvida integridad!
> For subject tranquility don't use dynamic transitions. OK so domain
> transitions are required (at least in Type Enforcement) but those happen on
> the execve where the address space of the calling application is being
> overwritten, hey if we can't trust the kernel who can we trust!
Mientras en menos tengas que confiar...
> }
> :) eso nomas!.
Se ve que no lo leiste a conciencia. Como ya dije: NO SIRVE DE NADA.
Funciona (y es "entendible") para situaciones /muy/ simples, en cuanto la
situacion se complica un poco, el enredo se hace absolutamente
inmanejable. La manera /correcta/ de resolver el problema es algo como
SELinux, que aplica rotulos a los objetos, no a sus (incidentales)
nombres. Por una razon muy similar es que la idea de inodos con la
informacion de los archivos, y no asociarla a los nombres en los
directorios, es un gran paso adelante frente a lo que vino antes (y mucho
de lo que vino despues, triste es decirlo).
--
Dr. Horst H. von Brand User #22616 counter.li.org
Departamento de Informatica Fono: +56 32 654431
Universidad Tecnica Federico Santa Maria +56 32 654239
Casilla 110-V, Valparaiso, Chile Fax: +56 32 797513
Más información sobre la lista de distribución BSD