Рубрики
Контакты
В блоге
×
Masterpro Nivo Slider (06 фев 2023)
Это форк Vinaora Nivo Slider, пришлось переименовать, в силу требования JED. Даже старую версию качать можно было только с варезных сайтов, нашпигованную троянами. Зачем оно такое, согласитесь.
Вопрос Skype в клетке SElinux Sandbox
9 года 9 мес. назад - 9 года 7 мес. назад #1
от Aleksej
Aleksej создал тему: Skype в клетке SElinux Sandbox
Давно у меня руки чесались - проприетарную эту хреновину, созданную в бытность руками профессиональных хакеров (а без скайпа, как ни крути, обойтись сегодня весьма непросто), упрятать куда-нибудь поглубже и построже... когда-то обходился для этой цели
Apparmor-ом
, но времена меняются; развитие Apparmor, после увольнения из Novell ведущих разработчиков проекта, по всей видимости, окончательно сегодня остановилось, а skype - идет и идет вперед... ну, что же. Прибегнем, в духе времени, к SELinux Sandbox (эксперименты проводились на новенькой Fedora 20).
Начинаем с создания двух каталогов в нашей домашней директории skype:
теперь, собственно, устанавливаем сами политики для песочницы:
Далее - пытаемся запустить наш линуксовый skype 4.2:
и - тут же получаем ошибку, что-нибудь вроде:
skype-bin: error while loading shared libraries: cannot restore segment prot after reloc: Permission denied.
Отлично, теперь выполняем (под рутом)
Учтите, название либы приведена именно в контексте актуальной на момент написания статьи Fedora 20; все очень быстро меняется в нашем мире.
Далее:
Теперь вы можете увидеть в домашней директории два новых файла, с расширениями *pp и *te; открыв второй из них - узнать, чего же именно не хватает скайпу для полного счастья:
Ничего такого страшного, как видим. Ок, коли так -
В дальнейшем вы легко сможете отключить, удалить либо изменить вновь созданный модуль, воспользовавшись командой semodule .
P.S. Видео в скайпе я не использую и описанных экзекуций мне более чем хватило; разве что пришлось чуть изменить дефолтные настройки в устройствах скайпа, см. скриншот (по дефолту не было звука). Если видео в контексте скайпа критично для вас - рекомендую обратиться к исчерпывающему материалу этой странички (увы, страницы более не существует, линк удаляю).
Начинаем с создания двух каталогов в нашей домашней директории skype:
$ mkdir ~/.Skype/se_home
$ mkdir ~/.Skype/se_tmpтеперь, собственно, устанавливаем сами политики для песочницы:
# yum install policycoreutils-sandboxДалее - пытаемся запустить наш линуксовый skype 4.2:
$ sandbox -H ~/.Skype/se_home/ -T ~/.Skype/se_tmp/ -X -t sandbox_net_t skypeи - тут же получаем ошибку, что-нибудь вроде:
skype-bin: error while loading shared libraries: cannot restore segment prot after reloc: Permission denied.
Отлично, теперь выполняем (под рутом)
# semanage fcontext -a -t textrel_shlib_t '/usr/lib/libQtWebKit.so.4.10.3'
# restorecon -v '/usr/lib/libQtWebKit.so.4.10.3'Учтите, название либы приведена именно в контексте актуальной на момент написания статьи Fedora 20; все очень быстро меняется в нашем мире.
Далее:
# grep skype-bin /var/log/audit/audit.log | audit2allow -M skypeТеперь вы можете увидеть в домашней директории два новых файла, с расширениями *pp и *te; открыв второй из них - узнать, чего же именно не хватает скайпу для полного счастья:
$ cat skype.te
module skype 1.0;
require {
type bin_t;
type sandbox_net_client_t;
class file execmod;
}
#============= sandbox_net_client_t ==============
allow sandbox_net_client_t bin_t:file execmod;Ничего такого страшного, как видим. Ок, коли так -
# semodule -i skype.ppВ дальнейшем вы легко сможете отключить, удалить либо изменить вновь созданный модуль, воспользовавшись командой semodule .
P.S. Видео в скайпе я не использую и описанных экзекуций мне более чем хватило; разве что пришлось чуть изменить дефолтные настройки в устройствах скайпа, см. скриншот (по дефолту не было звука). Если видео в контексте скайпа критично для вас - рекомендую обратиться к исчерпывающему материалу этой странички (увы, страницы более не существует, линк удаляю).
Пожалуйста Войти или Регистрация, чтобы присоединиться к беседе.
