De acuerdo aIntroducción a SELinux, sección 14.4.2,
La compatibilidad con SELinux está integrada en los núcleos estándar proporcionados por Debian. Las herramientas principales de Unix son compatibles con SELinux sin ninguna modificación.
He instalado los paquetes selinux-basicsy selinux-policy-defaulten miDebian sibilante(estable) sistema, y vi que cargaba algunas políticas durante la instalación, así que estoy bastante seguro de que la instalación en sí salió bien.
Edité /etc/default/grub para decir:
GRUB_CMDLINE_LINUX="selinux=1 audit=1 enforcing=0"
(esa variable solía estar vacía) y ejecuté update-grub. /boot/grub/grub.cfg incluye los parámetros del kernel relacionados con SELinux.
Creé un archivo /.autorelabelbasado en la rama "habilitar" del script /usr/sbin/selinux-activate.
Reinicié el sistema después de realizar los cambios anteriores. No sucedió nada fuera de lo común durante ese reinicio.
dmesg | headsalidas, entre otros:
Command line: BOOT_IMAGE=/boot/vmlinuz-3.2.0-4-amd64 root=UUID=c050d662-f94a-447a-9342-0fc69f65a513 ro selinux=1 audit=1 enforcing=0 quiet pci=nomsi
Por lo que puedo decir, todo está en su lugar. Todavía,no parece estar funcionando. id -Zdevoluciones:
$ id -Z
id: --context (-Z) works only on an SELinux-enabled kernel
$
sestatusda:
# sestatus
SELinux status: disabled
#
comprobar-instalación-selinuxda:
# check-selinux-installation
getfilecon: getfilecon(/proc/1) failed
SELinux is not enabled.
Could not read the domain of PID 1.
/etc/pam.d/login is not SELinux enabled
Postfix init script is syncing the chroots.
Postfix has chrooted service in master.cf
FSCKFIX is not enabled - not serious, but could prevent system from booting...
#
¿Qué falta para que SELinux esté habilitado en mi sistema?
Respuesta1
security=selinuxComo se señaló en los comentarios, también debe pasar el parámetro al kernel. En los sistemas Debian, esto debería agregarse automáticamente a la configuración de grub mediante selinux-activate.
Núcleodocumentaciónexplica securityel parámetro:
[SEGURIDAD] Elija un módulo de seguridad para habilitarlo en el arranque. Si no se especifica este parámetro de inicio, solo se cargará el primer módulo de seguridad que solicite el registro de seguridad. Un nombre de módulo de seguridad no válido se tratará como si no se hubiera elegido ningún módulo.
En Debian esto es relevante, ya que Debian también soporta el módulo de seguridad AppArmor.