Fefes Blog

Fragen? Antworten! Siehe auch: Alternativlos

Fri May 18 2007

• [l] Update zu der Idee gestern. Mir haben Leute gemailt, ich soll doch SELinux nehmen, oder Capabilities. Das ist eine andere Schicht. SELinux heißt, daß der Admin sagen kann, dieser Prozeß darf nur $FOO. Das ist gut und schön, aber der Admin weiß üblicherweise nicht genau, was ein Prozeß können darf oder nicht. Daher wird der Admin im Zweifelsfall zu wenig weg nehmen. Ich will, daß ein Prozeß dem entgegen kommen kann, indem er von sich aus auf Rechte verzichtet, die er normalerweise hat. Das soll dann zusätzlich zu den Admin-Einschränkungen auch noch gelten. Ich mach mal ein Beispiel. Ich will in meinem smtpd z.B. sowas sagen können:

    kill_me_if_I_do(ACT_FORK|ACT_CLONE|ACT_PTRACE|ACT_KILL|ACT_EXECVE|
                    ACT_SOCKET|ACT_MKNOD|ACT_MOUNT);

  Der wichtige Teil ist, daß dieser Prozeß nicht privilegiert ist, der läuft nicht als root, der läuft als User "smtpd". Selbst wenn der das nicht macht, darf der eh nur ptrace auf andere Prozesse machen, die als smtpd laufen. Ich will diesem Prozeß keinesfalls die Möglichkeit geben, in der System-Policy-Datenbank herum zu schreiben. Aber der soll für sich selbst freiwillig (und nicht rückgängig machbar) sagen können: wenn ich fork oder execve aufrufe, erschieß mich.