PengouinPdt a écrit
Par contre, comme le dit la documentation kernel, utiliser Yama, signifie rajouter cette commande "security=yama" à la ligne de commande de Grub, et désactive les autres modules de sécurité LSM, telle qu'AppArmor ... ce que je n'arrive pas à savoir, c'est si cela désactive l'ensemble des autres outils, ou juste la/les fonctionnalités adhocs. Puisqu'il est parlé de modularité ... et d'empilages de modules.
PengouinPdt, j'ai peut-être un début de réponse pour ce que j'ai mis en gras.
Selon ce que j'ai lu sur le sujet, le LSM Stacking (qui permet donc d'utiliser en même temps Apparmor et Yama ou autrement dit d'empiler les modules de sécurité, bref de faire du LSM Stacking, Apparmor + Yama + SELinux combiné) n'est pas encore une fonction activée dans les noyaux de nos distrib.
Au
lien d'hier,
relire la partie suivante :
Le problème c'est que tout le monde ne veut pas utiliser SELinux. Les réfractaires sont nombreux et ils sont d'avis que SELinux est trop compliqué à utiliser. Même un hacker aussi réputé que Ted Ts'o avoue être découragé :
Il y a un bon nombre de gens qui n'utiliseront jamais SELinux. Tous les deux ou trois ans, je jette un nouveau coup d'œil sur SELinux, ma tête explose devant la complexité (non nécessaire ÀMHA) et je prends une nouvelle fois le large.
La situation paraît donc complètement bloquée entre les zélotes d'un module SELinux ultra-puissant mais complexe et les partisans d'une solution plus simple, même si elle est moins complète.
La solution régulièrement évoquée pour faire face à ce problème est « l'empilage des modules de sécurité » (LSM stacking). Avec cette solution, il devient possible d'avoir un « gros » module qui couvre le cas général (comme SELinux) et un ou plusieurs autres modules qui ne s'occupent que de fonctions bien précises sur lesquelles l'utilisateur veut avoir le contrôle.
Actuellement, le code LSM du noyau ne permet le chargement que d'un seul module de sécurité, à l'exclusion de tous les autres. Avec le LSM stacking cette limitation disparaîtrait et le noyau Linux offrirait plus de souplesse à ses utilisateurs.
Et dans la conclusion : Nous verrons dans les prochains noyaux si la solution idéale que constituerait le « stacking LSM » parviendra à s'imposer.
Enfin sur la page anglaise actuelle de Wikipedia on peut lire ça à la fin de la section
"Criticism" :
Other developers would like to have LSM modules stacked, e.g. the developer of the Yama LSM.
Et donc tu peux voir de chez toi que dès que tu vas activer via grub le paramètre security=yama, Apparmor sera désactivé, un "sudo apparmor_status" dans un terminal ne te retournera pas tes profils (ni "enforced", ni "complain"). Ce qui pour moi a été hier la démonstration incontestable que le LSM Stacking n'est pas encore admis dans le noyau Linux.
Là où Yama peut-être utile pour moi, c'est que comme je n'ai pas pu créer un Profil correct pour mon Firefox de mon Tor-Browser-Bundle, la fonctionnalité "générale" de Yama (modélisée par le ptrace_scope) prend le relais par rapport au profil Apparmor, et applique dans le noyau un confinement pour ce Firefox en roue libre sur mon Système. Yama va plus loin, il s'occupe de faire pareil sur chaque appli (le PTRACE_SCOPE veut dire Processus Traced en gros, et comme on sait que en informatique un processus
est un programme qui s'execute dans l'environnement, on comprend mieux ce que fait Yama
en mode restricted pour chaque processus donc pour chaque appli, ou chaque logiciel tournant sous Linux, appelons-les comme on veut).
Ce qu'il y a de bien avec Yama, c'est qu'il évite des tâches fastidieuses et complexes de créations de profils parfaits pour Apparmor, ou pire, le paramétrage trop complexe "offert" par SELinux, il fait tout pour toi, et si tu n'es pas convaincu, tu n'as qu'à enlever le "security=yama" dans le Grub pour retrouver illico tes profils Apparmor au démarrage, Yama n'est donc pas destructeur, et permet aux néophites d'avoir une sécurité étendue à toutes ces applis, sans aucun paramétrage complexe.
Je vais l'utiliser et le lancer tout le temps maintenant, j'ai toujours été limité par Apparmor. Et pour revenir à SELinux, je n'y pense même pas, pas équipé pour ce type de soft. @ pluche
