[linux-l] Ubuntu-Updates->Neustart?

[Peter Ross]

On Sat, 29 Sep 2007, Ralph Angenendt wrote:

> Olaf Radicke wrote:
> > 
> > ...Oder, die SELinux-Policy.
> 
> Eh? Die lässt sich im laufenden Betrieb neu laden.

Ist das nicht sicherheitsbedenklich?

Wenn ich einen Exploit habe, der mich root werden laesst, lade ich eine 
"offene" SELinux-Policy, um die Beschraenkungen durch SELinux ausser Kraft 
zu setzen?

Um auf eine alte Mail von mir zurueckzukommen, nein, man sollte auch root 
nicht trauen, wenn man Sicherheit ernst nimmt. Deshalb gibt es Dinge wie 
SELinux.

FreeBSD hat Securelevels, die Dinge wie mounts, Aenderungen der 
Firewallregeln, Setzen von chflags (die den Zugriff von Dateien auch fuer 
Root beschraenken) sperren.

In der Regel wird dieser securelevel am Ende der Bootsequenz erhoeht (und 
kann nicht wieder erniedrigt werden), so dass Du nur im Single-User-Boot 
(in dem Du dann physisch an der Maschine bist, bzw. die Remotekonsole 
eines Servers benutzt) Aenderungen am System durchfuehren kannst.

Das setzt natuerlich voraus, dass ich Rechner sauber aufgesetzt habe und 
nicht dauernd dran rumschraube.

Typischerweise "Ein-Zweck-Rechner" (oder nahe dran). Beispiel: ein 
DNS-Server. Da laeuft dann nur der named.

Einmal aufgesetzt, Basissystem gehaertet, laeuft. Wenn es ein SA gibt, der 
den Kernel oder aber named betrifft, aktualisiere ich. Ansonsten: laufen 
lassen. [Einen SA fuer den Apachen kann ich getrost ignorieren, der laeuft 
auf der Kiste nicht.]

Gruss
Peter