URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 136010
[ Назад ]
Исходное сообщение
"Дистрибутив openSUSE Tumbleweed перешёл на использование SELinux по умолчанию"
Отправлено opennews , 13-Фев-25 14:36 
Разработчики проекта openSUSE объявили о переводе дистрибутива openSUSE Tumbleweed, в котором применяется непрерывный цикл обновления версий программ (rolling-обновления), на  использование системы принудительного контроля доступа SELinux. Начиная с обновления 20250211 для новых установок openSUSE Tumbleweed по умолчанию предлагается SELinux в режиме "enforcing". Готовые сборки виртуальных машин openSUSE Tumbleweed minimalVM  будут поставляться по умолчанию с SELinux...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=62715

Содержание
Сообщения в этом обсуждении
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 14:36 
Зря они так. Этот SELinux чёрт ногу сломит настраивать. Если всё из коробки (дистрибутива) - то Ok, пробоем нет, но как только нужно сделать шаг влево или вправо или доустановить что-то нестандартное, начинается ад, который часто заканчивается просто отключением SELinux.

AppArmor интуитивно понятен и удобен, сразу ясно, что и где.

"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 14:53 
Зато SELinux качественный, от АНБ.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 15:06 
Анб это министерства обороны. А они разбираются в безопасности.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 15:15 
а агенство нац безопасности - минздрав?
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 15:52 
Вам ещё повезло. У нас - минкульт. И это не прикол. А ещё они выездные визы дают.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 16-Фев-25 20:13 
Это где такое?
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 21:21 
Все военные готовятся к прошлой войне. Говорят )
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено penetrator , 13-Фев-25 14:55 
ну не то, чтобы сложно, но нарягает

кстати у меня после последних апдейтов apparmor, наверное будет при установки selinux по умолчанию

"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 16:36 
> Этот SELinux чёрт ногу сломит настраивать

Для таких они специально комикс нарисовали, но видимо и это слишком сложно. Остаётся только посоветовать setenforce 0.

"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено onanim , 14-Фев-25 14:42 
https://files.catbox.moe/khxzwj.jpg этот?
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 16-Фев-25 03:30 
Нет, другой. Без шутеечек. Я ханипот с selinux и рутовым паролем 123 выставлял в интернет для лулзов ещё в 2017. Всем офисом ухахатывались, как лалка из-под рута несколько раз делает ls /etc, cat /etc/shadow, passwd итп, получает в ответ фигу и отваливается. Соглашусь, конечно, что развлечения у нас тогда были довольно туповатые, но и мы тоже не гроссмейстеры были.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 17:25 
>начинается ад, который часто заканчивается просто отключением SELinux

Это всё потому, что SELinux всё ещё не сделали сервисом systemd.

"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено мяв , 14-Фев-25 01:37 
>интуитивно понятен и удобен

только, если Вы мазохист .. и если Вам надо видимость, а не хоть какую-то защиту .. любой меткооснованный МАС будет удобней и быстрее настроить, чем _такой_ путеоснованный.
посмотрите на нормальные примеры путеоснованных МАСов, вроде tomoyo - сильно удивитесь.

"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 16-Фев-25 03:33 
Метки очевидно лучше. Они абстрактны, не привязаны к организации файлов на фс и не теряют субъективный смысл при перемещении в другой каталог или на другой хост.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 14:45 
Отключаю AppArmor + SELinux сразу после установки линпуса.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 15:05 
Вынимаю АБС из машины сразу после покупки.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 15:16 
и вырываю подушки безопасности
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 15:39 
Пфф, нубасы. Выбрасываю всю электронику из машины!
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 15:42 
а зачем переплачивал? покупай отческий автопром, там такого нет :)
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Ыыыыы , 13-Фев-25 16:29 
> а зачем переплачивал? покупай отческий автопром, там такого нет :)

Типичный ЭКСПЕРТ с Опеннета... Тут таких много

Езжу на отечественном автопроме. Подушки и АБС в наличии. И усилитель руля тоже.

"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 16:34 
Чаохуньвсунь это китайской отечественный аатопром.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Ыыыыы , 13-Фев-25 16:37 
> Чаохуньвсунь это китайской отечественный аатопром.

Хватит бредить! Какое отношение Лада Веста имеет к китайскому автопрому?

"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 16:41 
Имеет отношение на 99% всех сборочных деталей.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено _ , 13-Фев-25 22:15 
Можно подумать что в каком нить Форде - они _не_ китайские, ага - ЩАЗЗЗ! :)
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено EULA , 14-Фев-25 07:00 
Тогда и немецкий автопром это или китайско-российско-камбоджийско-таджикский: там 99,9% изготавливают в России, КНР, Камбоджи, Таджикистане. Из немецкого там только пластик был.
Не зря же в прошлом году Порше перетащили последний завод по сбору в КНР. Двигатели их теперь в Душанбе собирают.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено какая разница , 13-Фев-25 18:06 
Какое отношение Лада Веста имеет к российскому автопрому?
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 20:27 
> Какое отношение Лада Веста имеет к китайскому автопрому?

Какое отношение Лада Веста имеет к автомобилям?

"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 17:27 
Покупал-то до 2022-го?
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 17:38 
Усилитель руля ламповый?
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Fracta1L , 13-Фев-25 15:08 
Прогнулись под АНБ, получается
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Фрол , 13-Фев-25 15:35 
Lol напомните, оракл уже убрал из мануала по инсталляции "отключить селинукс к такой то маме"?
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 20:25 
Не только убрал, но и требует теперь его включения для всех новых деплоев. И для увеличения градуса горения: Оракл так же рекомендует все новые деплои делать в виртуальные машины в облаке, и публикует соответствующие подробнейшие инструкции как это должно выглядеть. А для тех, у кого времени читать инструкции нет они свой свобственный клауд запилили. Такой вот лол.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Фрол , 14-Фев-25 03:57 
ох нети

полез на docs.oracle.com свериться, для версии 23аи (АИ, не ер собачий!) ни одна дока не открылась, заглянул в линукс инсталлейшн гайд, а там прямо в предисловии третий раздел Диверсионность И Инклюзивность. тьфу ты.

не стал дальше и читать, тут не исправить уже ничего, господь, жги. я слишком стар для этого вида дерьма.

"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 16-Фев-25 03:36 
Слабак. А я прочитал и неплохо зарабатывал полтора года консультируя интеграторов.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Ося Бендер , 13-Фев-25 15:39 
Ждем когда Леннарт запилит ЭсИЛинукс в системДи. Загрузку по сети он уже сделал, сделает и это.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 16:35 
Работодатель Леннарта сказал надо, он ответил есть!
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 15:40 
В SELinux уже добавили адрес системного образа по умолчанию для загрузки по http?
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 17:36 
И проверку подписи ключом работодателя Поттеринга.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 15:52 
Однозначно, SELinux - лишняя сущность. Её видимо создавали под впечатлением вантузныйх прав доступа. Истинный линуксоид будет избегать SELinux.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено zog , 13-Фев-25 16:09 
А как с этим у арчеводов?
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено vlad1.96 , 13-Фев-25 16:36 
Никак. Официально поддержки нет и нужно всё перекомпилировать c флагом selinux
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 16:40 
Да хорош, блин.
Уже третья причина "вернуться" (когда-то давно им пользовался) на рачик за пару дней. Сидел же на Федоре последний год, горе не знал... :(
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено vlad1.96 , 13-Фев-25 16:47 
Но сами ядра уже собраны с поддержкой, не волнуйся :-)
Это всякие coreutils и т.п. нужно собирать с флагом, а ядро по умолчанию поддерживает
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 19:07 
https://wiki.archlinux.org/title/SELinux
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Семен , 13-Фев-25 20:16 
Статья старая. Там половина не соберется, мне приходилось писать свои скрипты и патчи, я один из немногих кто смог завести арч с selinux 2-3 года назад, у меня раньше был форк арча для себя и он работал с selinux. Референсные политики придется подгонять под систему, и вы все равно будете получать блокировку системы, и надо не мало доделывать под свою систему. Я советую не тратить время и нервы на arch c selinux, особенно без наличия глубокого опыта с selinux, и если вы никогда не читали книгу The SELinux Notebook. Нормальная поддержка из коробки есть только в продуктах производных от Red Hat. Поэтому это эталон, у остальных если и есть поддержка selinux, то это куча костылей.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено vlad1.96 , 14-Фев-25 13:29 
Сам не ставил, но подозрения насчёт отсутствия политик было. Какой-нибудь Centos Stream хоть изначально целостных, а что делать со сборными солянками — большой вопрос.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Семен , 13-Фев-25 20:26 
Ну да ну да... За 30 лет я не видел ни один взломанный сервер с selinux, только те где сделали setenforce 0, при этом на них крутились веб сайты с дырявыми движками, и selinux не давал раскрутить и реализовать уязвимости, даже если где-то удавалось получить шел, то эксплоиты просто отваливались, а шел не давал возможность получить даже листинг директорий за пределами сайта и читать файлы типа /etc/passwd, конфиги системы. Надежнее selinux нет мандатного контроля, чтобы себе неосилянты не придумывали.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 14-Фев-25 06:10 
Чтобы тебе не взломали сервер nftables в руки
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 16:55 
RSBAC кто-нибудь использует?
Как оно сегодня?
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено _ , 13-Фев-25 22:19 
Те кто пользуют - обычно молчат :)
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено мяв , 14-Фев-25 01:34 
ну, он живой.
разраб на сайте отписывается, на lts-ядра портирует.
я не тыкала, ибо не то, что мне нужно было
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 13-Фев-25 22:14 
>AppArmor прост в настройке и при определении профилей доступа привязывается к файловым путям.

Кто знает, если при включенном AppArmor сделать mount --bind, контроль сохранится или нет?

"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено мяв , 14-Фев-25 01:32 
каво и куда Вы собрались --bind ?
не уверена, как в АА, но tomoyo просто сделает новый домен для файла из забинженой директории.
если к конкретному пути не было прописано доступа - его и у приложения не будет.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 14-Фев-25 09:34 
Что будет если в контейнере кто-то сделает bind с одного пути на другой, например на разреёшнный? Есть /access/ и /deny/. Что будет, если сделать mount --bind /deny /access/a - путь будет обрабатываться как разрешённый или нет?
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 14-Фев-25 09:37 
При условии, что access разрешён рекурсивно
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено мяв , 14-Фев-25 11:19 
МАСи в принципе без политики под всё окружение не работают.
у Вас у процессов не должно возможности быть черт-те что биндить черт-те куда. как и запускать, что попало.
если в папке /Orig у Вас, условно, был файл MyFile и у домена было `file write /Orig/MyFile`, то при биндинге с /Orig на /Bind, доступа у приложения к /Bind/MyFile не будет.
ровно, как и исполняемому файлу /Bind/MyExe не будет присвоен тот же домен, что у /Orig/MyExe.
это будет 2 разных домена и 2 разные иерархии.
у tomoyo для таких финтов с исполняемыми файлами есть политика исключений, где прописывается строка вида `aggregator /Bind/MyExe /Orig/MyExe` для обработке 1го пути в контексте домена 2го и избежания клонирования политики.
для файлов просто пишете 2 записи на write - для 2х путей.
или создаете в политике исключений path-группу, куда добавляете 2 файла и даете приложению `file write @MyPathGroup`.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 15-Фев-25 20:41 
>у Вас у процессов не должно возможности быть черт-те что биндить черт-те куда. как и запускать, что попало

Отлично, и зачем тогда MAC нужен? Это получается, что как только у приложения появилась возможность повысить привелегии, то весь этот MAC элементарно обходится.

"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено мяв , 18-Фев-25 08:37 
затем, чтобы добить до состояния, когда дальше будет только подсистема lsm.
проникновений в которую не было уже давненько
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено мяв , 14-Фев-25 01:29 
вау!
еще один дистрибутив с .. refpolicy от rh! это надо отметить!
Зы. а если серьезно, то молодцы. АА - хлам тот еще, неспособный почти ни на что.
интересно, почему никто не хочет адаптировать tomoyo ? точнее, как .. я понимаю, почему - это сложно.
но это буквально "таблетка от всех болезеней". ибо есть возможность даже предотвращения исполнения кода на уровне ядра(если проблема не позволяет, конечно, попятить lsm). к примеру, от недавнего RCE в tcp-стеке оно защищает - ядро просто не сможет execute сделать на левый файл.
1 год потратила на поэтапную настройку(с 4мя попытками в нормальную политику. если б сразу очилила всю документацию, а не на половину, то было б меньше) и теперь 95% уязвимостей просто невозможны.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено мяв , 14-Фев-25 01:30 
еще благодаря patternize, режиму обучения и acl-группам теперь почти не правлю политики для новых приложений руками.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 14-Фев-25 17:57 
Execute сделать запрещает простое монтирование noexec для таких мест как /home, /var ... Если считать рутовый код доверенным, то exec можно снять только для разделов куда пишет пользователь. Получается  w^x на уровне фс.
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено мяв , 15-Фев-25 00:02 
угу .. и какое отношение имеет защита от rce на уровне ядра монтирование /var с noexec .. ?
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 14-Фев-25 18:04 
tmpfs
"Дистрибутив openSUSE Tumbleweed перешёл на использование SEL..."
Отправлено Аноним , 16-Фев-25 20:06 
толку от этого селинукса? вон, в андроидах везде включён по умолчанию, так телефоны щёлкают как орехи миллионами через уязвимости в каком-нибудь воцапе.
для серверов, может, он имеет смысл, если нет ГУИ, но если планируется запускать что-то графическое (особенно через вайн), то оно просто не запустится.