☰

O que está faltando na minha instalação do SELinux?

tag-icon • tag-icon debian selinux
O que está faltando na minha instalação do SELinux?

De acordo comIntrodução ao SELinux, seção 14.4.2,

O suporte SELinux está embutido nos kernels padrão fornecidos pelo Debian. As principais ferramentas Unix suportam SELinux sem quaisquer modificações.

Eu instalei os pacotes selinux-basicse selinux-policy-defaultno meuDebian Wheezy(estábulo) e vi ele carregando algumas políticas durante a instalação, então tenho certeza de que a instalação correu bem.

Eu editei /etc/default/grub para dizer:

GRUB_CMDLINE_LINUX="selinux=1 audit=1 enforcing=0"

(essa variável costumava estar vazia) e executei update-grub. /boot/grub/grub.cfg inclui os parâmetros do kernel relacionados ao SELinux.

Criei um arquivo /.autorelabelbaseado no branch "enable" do script /usr/sbin/selinux-activate.

Reiniciei o sistema depois de fazer as alterações acima. Nada fora do comum aconteceu durante a reinicialização.

dmesg | headresultados, entre outros:

Command line: BOOT_IMAGE=/boot/vmlinuz-3.2.0-4-amd64 root=UUID=c050d662-f94a-447a-9342-0fc69f65a513 ro selinux=1 audit=1 enforcing=0 quiet pci=nomsi

Pelo que posso dizer, está tudo no lugar. Ainda,não parece estar funcionando. id -Zretorna:

$ id -Z
id: --context (-Z) works only on an SELinux-enabled kernel
$

statusdá:

# sestatus
SELinux status:                 disabled
#

verifique-instalação do selinuxdá:

# check-selinux-installation
getfilecon:  getfilecon(/proc/1) failed
SELinux is not enabled.
Could not read the domain of PID 1.
/etc/pam.d/login is not SELinux enabled
Postfix init script is syncing the chroots.
Postfix has chrooted service in master.cf
FSCKFIX is not enabled - not serious, but could prevent system from booting...
#

O que falta para o SELinux ser habilitado no meu sistema?

Responder1

Conforme apontado nos comentários, você security=selinuxtambém precisa passar parâmetros para o kernel. Em sistemas Debian, isso deve ser adicionado automaticamente à configuração do grub por selinux-activate.

Núcleodocumentaçãoexplica securityo parâmetro:

[SEGURANÇA] Escolha um módulo de segurança para ativar na inicialização. Se este parâmetro de inicialização não for especificado, apenas o primeiro módulo de segurança solicitando registro de segurança será carregado. Um nome de módulo de segurança inválido será tratado como se nenhum módulo tivesse sido escolhido.

No Debian isso é relevante, pois o Debian também suporta o módulo de segurança AppArmor.

informação relacionada