[devel] I: new script for lsm loading

[devel] I: new script for lsm loading

[Konstantin A. Lepikhov]

[-- Attachment #1.1: Type: text/plain, Size: 989 bytes --]

Hi!

Вот что-то такое должно быть. Как мимимум. Что из того, что может не
работать:

- не проверяется конфликтность lsm между собой (т.е. если написать в
  /etc/lsm/modules и realtime и trustees и/или capability, что-то одно не
  загрузится). Впрочем, это сложно проверить, а тому, кто знает, это не
  надо.

Что работает:

- все подгружаемые модули хранятся в файле /etc/lsm/modules, в виде
  списка, идентичного /etc/modules

- можно указывать опции для загрузки lsm a la /etc/modules типа 
  <module> [param], где [param] - необязательный параметр.

- по-умолчанию, если /etc/lsm/modules не существует, грузится
  "умолчательный" lsm - это capability.

PS Если мантейнер startup не против, могу повесить это в bugzilla.

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

[-- Attachment #1.2: load_lsm --]
[-- Type: text/plain, Size: 914 bytes --]

#!/bin/sh
#
# /etc/rc.d/scripts/load_lsm - run once at boot time from rc.sysinit
#

[ `kernelversion_minor` -le 6 ] || exit 0

WITHOUT_RC_COMPAT=1

# some defaults
DEFAULT_LSM="capability"

# Source function library.
. /etc/init.d/functions

mod_try()
{
		local ret=0
		/sbin/modinfo "$1" &>/dev/null
		ret=$?
		echo $ret
}

load_lsm()
{
		# Loop over every line in /etc/lsm/modules.
		(cat /etc/lsm/modules; echo) | while read module args; do
		# Ignore empty lines and comments.
		[ -n "${module##\#*}" ] || continue
		
		[ `mod_try $module` -eq 0 ] && \
		action "Loading LSM module $module:" /sbin/modprobe "$module" $args 2>/dev/null \
		|| continue
done
}

# sanity checks
[ `mod_try $DEFAULT_LSM` -eq 0 ] || { echo "Your kernel don't support LSM loading. Aborting process..."; exit 0; }

[ -f /etc/lsm/modules ] && load_lsm || /sbin/modprobe $DEFAULT_LSM 2>/dev/null

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] I: new script for lsm loading

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 234 bytes --]

On Wed, Mar 16, 2005 at 10:55:43PM +0300, Konstantin A. Lepikhov wrote:
> PS Если мантейнер startup не против, могу повесить это в bugzilla.

А что ещё находится (или предполагается разместить) в каталоге /etc/lsm/?


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: I: new script for lsm loading

[Konstantin A. Lepikhov]

[-- Attachment #1: Type: text/plain, Size: 667 bytes --]

Hi Dmitry!

Wednesday 16, at 10:59:44 PM you wrote:

> On Wed, Mar 16, 2005 at 10:55:43PM +0300, Konstantin A. Lepikhov wrote:
> > PS Если мантейнер startup не против, могу повесить это в bugzilla.
> 
> А что ещё находится (или предполагается разместить) в каталоге /etc/lsm/?
пока кроме файла modules ничего. Возможно, в будущих версиях этого
скрипта, появится что-нибудь еще (например, список конфликтных lsm).

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] I: new script for lsm loading

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 682 bytes --]

On Wed, Mar 16, 2005 at 10:55:43PM +0300, Konstantin A. Lepikhov wrote:
> [ `mod_try $DEFAULT_LSM` -eq 0 ] || { echo "Your kernel don't support LSM loading. Aborting process..."; exit 0; }

На самом деле из отсутствия capability в виде модуля ещё не следует,
что загрузить другие модули LSM невозможно.  У модуля capability есть
параметр disable, который позволяет запретить его инициализацию;
следовательно, если написать в командной строке ядра
capability.disable=1, можно загрузить любой другой модуль LSM (в том
числе и пресловутый realtime - если при его сборке оторвать ненужную
проверку в Kconfig, не дающую собрать его при выборе
CONFIG_SECURITY_CAPABILITIES=y).

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: I: new script for lsm loading

[Konstantin A. Lepikhov]

[-- Attachment #1: Type: text/plain, Size: 873 bytes --]

Hi!

Wednesday 16, at 11:18:48 PM you wrote:

> Hi Dmitry!
> 
> Wednesday 16, at 10:59:44 PM you wrote:
> 
> > On Wed, Mar 16, 2005 at 10:55:43PM +0300, Konstantin A. Lepikhov wrote:
> > > PS Если мантейнер startup не против, могу повесить это в bugzilla.
> > 
> > А что ещё находится (или предполагается разместить) в каталоге /etc/lsm/?
> пока кроме файла modules ничего. Возможно, в будущих версиях этого
> скрипта, появится что-нибудь еще (например, список конфликтных lsm).
впрочем, можно сделать так - вместо /etc/lsm/modules ->
/etc/sysconfig/lsm, а все свистульки - в /etc/lsm.d/ (в отдаленном
будущем).

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: I: new script for lsm loading

[Konstantin A. Lepikhov]

[-- Attachment #1: Type: text/plain, Size: 1125 bytes --]

Hi Sergey!

Wednesday 16, at 11:29:51 PM you wrote:

> On Wed, Mar 16, 2005 at 10:55:43PM +0300, Konstantin A. Lepikhov wrote:
> > [ `mod_try $DEFAULT_LSM` -eq 0 ] || { echo "Your kernel don't support LSM loading. Aborting process..."; exit 0; }
> 
> На самом деле из отсутствия capability в виде модуля ещё не следует,
> что загрузить другие модули LSM невозможно.  У модуля capability есть
> параметр disable, который позволяет запретить его инициализацию;
> следовательно, если написать в командной строке ядра
> capability.disable=1, можно загрузить любой другой модуль LSM (в том
> числе и пресловутый realtime - если при его сборке оторвать ненужную
> проверку в Kconfig, не дающую собрать его при выборе
> CONFIG_SECURITY_CAPABILITIES=y).
да, но многие LSM модули при сборке смотрят именно на
CONFIG_SECURITY_CAPABILITIES, тогда придется еще и их патчить. 

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] I: new script for lsm loading

[Denis Ovsienko]

Давайте назовём это /etc/lsm и запакуем в виде отдельного пакета etclsm :)

-- 
    DO4-UANIC

[devel] [JT] Re: I: new script for lsm loading

[Michael Shigorin]

On Thu, Mar 17, 2005 at 10:28:24AM +0300, Denis Ovsienko wrote:
> Давайте назовём это /etc/lsm и запакуем в виде отдельного
> пакета etclsm :)

Афтар, выдыхай. :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[devel] Re: I: new script for lsm loading

[Konstantin A. Lepikhov]

Hi Denis!

Thursday 17, at 10:28:24 AM you wrote:

> 
> Давайте назовём это /etc/lsm и запакуем в виде отдельного пакета etclsm :)
юмор понял :)

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

Re: [devel] [JT] etcfoo

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 212 bytes --]

On Thu, Mar 17, 2005 at 10:28:24AM +0300, Denis Ovsienko wrote:
> Давайте назовём это /etc/lsm и запакуем в виде отдельного пакета etclsm :)

Мне tcb в etctcb переименовывать или уже поздно? :)


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: I: new script for lsm loading

[Konstantin A. Lepikhov]

[-- Attachment #1.1: Type: text/plain, Size: 992 bytes --]

Hi !

Wednesday 16, at 11:35:50 PM you wrote:

> Hi!
> 
> Wednesday 16, at 11:18:48 PM you wrote:
> 
> > Hi Dmitry!
> > 
> > Wednesday 16, at 10:59:44 PM you wrote:
> > 
> > > On Wed, Mar 16, 2005 at 10:55:43PM +0300, Konstantin A. Lepikhov wrote:
> > > > PS Если мантейнер startup не против, могу повесить это в bugzilla.
> > > 
> > > А что ещё находится (или предполагается разместить) в каталоге /etc/lsm/?
> > пока кроме файла modules ничего. Возможно, в будущих версиях этого
> > скрипта, появится что-нибудь еще (например, список конфликтных lsm).
> впрочем, можно сделать так - вместо /etc/lsm/modules ->
> /etc/sysconfig/lsm, а все свистульки - в /etc/lsm.d/ (в отдаленном
> будущем).
Прикладываю поправленную версию.

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

[-- Attachment #1.2: load_lsm --]
[-- Type: text/plain, Size: 965 bytes --]

#!/bin/sh
#
# /etc/rc.d/scripts/load_lsm - run once at boot time from rc.sysinit
#

[ `kernelversion_minor` -le 6 ] || exit 0

WITHOUT_RC_COMPAT=1

# some defaults
DEFAULT_LSM="capability"
DEFAULT_CFG="/etc/sysconfig/lsm"

# Source function library.
. /etc/init.d/functions

mod_try()
{
		local ret=0
		/sbin/modinfo "$1" &>/dev/null
		ret=$?
		echo $ret
}

load_lsm()
{
		# Loop over every line in /etc/lsm/modules.
		(cat "$DEFAULT_CFG"; echo) | while read module args; do
		# Ignore empty lines and comments.
		[ -n "${module##\#*}" ] || continue
		
		[ `mod_try $module` -eq 0 ] && \
		action "Loading LSM module $module:" /sbin/modprobe "$module" $args 2>/dev/null \
		|| continue
done
}

# sanity checks
[ `mod_try $DEFAULT_LSM` -eq 0 ] || { echo "Your kernel don't support LSM loading. Aborting process..."; exit 0; }

[ -f "$DEFAULT_CFG" -a -n "$DEFAULT_CFG" ] && load_lsm || /sbin/modprobe $DEFAULT_LSM 2>/dev/null

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] [JT] etcfoo

[Denis Ovsienko]

> Мне tcb в etctcb переименовывать или уже поздно? :)
Никогда не поздно, если хочется. А начиналось всё с etcskel...

-- 
    DO4-UANIC