[linux-l] Re: SELinux unter BSD? (war: [flamewar]...welche Distri)

[Rocco Rutte]

Hi,

* Peter Ross [06-07-17 10:36:28 +1000] wrote:

>FreeBSD kennt securelevel, beschrieben in init(8)
>
>http://www.freebsd.org/cgi/man.cgi?query=init&apropos=0&sektion=0&manpath=FreeBSD+6.1-RELEASE&format=html
>
>The  security levels are:
>
>     -1    Permanently insecure mode - always run the system in level 0 mode.
>	   This is the default initial value.
>
>     0	   Insecure mode - immutable and append-only flags may be turned off.
>	   All devices may be read or written subject to their permissions.
>
>     1	   Secure mode - the system immutable and system append-only flags may
>	   not be turned off; disks for mounted file systems, /dev/mem,
>	   /dev/kmem and /dev/io (if your platform has it) may not be opened
>	   for writing; kernel modules (see kld(4)) may not be loaded or
>	   unloaded.

Wobei man hier dazu sagen muss, dass das Standard-Dateisystem UFS/FFS 
Attribute kennt wie Immutable und Append-Only plus noch ein paar mehr 
(plus ACLs). Normalerweise wird z.b. /lib/libc.so.* und 
/lib/libcrypt.so.* mit Immutable versehen, ist also nicht veränderbar. 
Append-only macht Sinn für Logs, damit man nicht alte Einträge 
überschreiben kann. Ab einem gewissen Level schließt das natürlich auch 
root mit ein, d.h. selbst root-Zugriff ist bei höheren Securelevels auch 
nicht mehr Wert als ein Useraccount. Und wenn man doch in einem Jail 
ist...

>Andererseits ist es praktisch das Ende von Rootkits und dem ungeschuetzten 
>Walten in den Konfigs, wenn das Hacken erfolgreich war.

Yepp. Damit kann man sich schon prima in den Fuss schießen, wenn man 
nicht aufpasst... :)

Ich will keine BSD-Advocacy betreiben sondern dem Eindruck 
entegegenzuwirken, bei *BSD gäbe es keine solche Mechanismen wie ein 
MAC-Framework (mac(9)), Auditing von Syscalls, etc...

   bye, Rocco
-- 
:wq!