安全人员发现 SELinux 防御可被轻易绕过
| 2015-03-26 22:12 评论: 18 收藏: 1 分享: 22
SuSE的安全研究人员Sebastian Krahmer成功的绕过了SELinux的白名单规则，Sebastian分析了漏洞利用的方法并且公开了PoC。由于在targeted规则的情况下，社区的维护人员都假设程序是安全的，所以会给一些的程序root权限运行，可能这正是NSA所希望看到的;-)
著名的MAC(强制访问控制）开源实现SELinux是由NSA(美国国家安全局）于1990年代末发起的项目，于2000年以GPL自由软件许可证开放源代码，2003年合并到Linux内核中，过去10年中关于是否NSA在其中放后门的争论没有停过，一些人认为应该信任SELinux，因为它是以GPL自由软件许可证公开的源代码，也有人认为它是NSA参与过的项目，所以不应该信任。2013年Snowden曝光棱镜后更多的人极度的不信任NSA，认为NSA有对Android代码植入后门的前科，所以应该怀疑所有NSA积极参与的项目包括SELinux。
目前MAC的开源实现里，SELinux主要由RedHat/CentOS/Fedora社区维护，Apparmor主要由OpenSuSE/Ubuntu社区维护，而以纵深防御著称的PaX/Grsecurity到目前未知因为厂商利益以及社区政治等各种原因，虽然被诸多操作系统抄袭( Linux/Windows/OSX)，但一直未能进入Linux主干代码。
- [1]来自 - 云南昆明 的 Mozilla/Mac 用户 发表于 2015-03-28 14:14 的评论：就算 SELinux 开源也没有人会去把代码全都看一遍，看别人写的代码是非常痛苦的一件事
- linux 2015-03-29 16:32 2 赞 回复
-
错，SELinux 本身就是完全的开源的，这个部分已经被翻过来倒过去看了若干遍。只是，人们担心是的，其中也许有预谋的理论上可行的陷阱。比如这次这个问题——如果是 NSA 当时就计划好了的呢？
如果这是真的，这也许可以叫做阳谋？
- 微博评论 2015-03-27 10:33 2 赞 回复
- setenforce 0啊//@Linux中国:确实，生产环境用 SELinux 太烦人了。。。//@宋万伟_ops: 生产环境表示selinux是什么？//@LinuxStory:#华华晚安时间# 再熬夜华华就不认识哥哥们啦，睡前读物奉上[推荐][推荐]晚安，好梦~[可爱]
- 微博评论 2015-03-27 10:33 2 赞 回复
- //@Linux中国:确实，生产环境用 SELinux 太烦人了。。。//@宋万伟_ops: 生产环境表示selinux是什么？//@LinuxStory:#华华晚安时间# 再熬夜华华就不认识哥哥们啦，睡前读物奉上[推荐][推荐]晚安，好梦~[可爱]
- 微博评论 2015-03-27 10:03 2 赞 回复
- 可以不知道SELinux是什么，但是必须要知道怎么关闭它//@Linux中国: 确实，生产环境用 SELinux 太烦人了。。。//@宋万伟_ops: 生产环境表示selinux是什么？//@LinuxStory:#华华晚安时间# 再熬夜华华就不认识哥哥们啦，睡前读物奉上[推荐][推荐]晚安，好梦~[可爱]
- 微博评论 2015-03-27 10:03 2 赞 回复
- 确实，生产环境用 SELinux 太烦人了。。。//@宋万伟_ops: 生产环境表示selinux是什么？//@LinuxStory:#华华晚安时间# 再熬夜华华就不认识哥哥们啦，睡前读物奉上[推荐][推荐]晚安，好梦~[可爱]
- 微博评论 2015-03-27 09:33 2 赞 回复
- 生产环境表示selinux是什么？//@LinuxStory:#华华晚安时间# 再熬夜华华就不认识哥哥们啦，睡前读物奉上[推荐][推荐]晚安，好梦~[可爱]
- 微博评论 2015-03-27 00:03 2 赞 回复
- 华华太坏了。。。让我们夜读，自己睡觉去了[哈哈]//@LinuxStory:#华华晚安时间# 再熬夜华华就不认识哥哥们啦，睡前读物奉上[推荐][推荐]晚安，好梦~[可爱]
 );){kind=link}