Mittlerweile habe ich etwas über SELinux gelesen und einige für mich interessante und nützliche Beiträge sind gepostet worden, auf die ich gerne antworte.
Über das Zusammenspiel SELinux und externe Geräte
@susejunky schrieb:
“Ich glaube Dein Verständnis von SELinux ist nicht ganz zutreffend. (…)
Kann der Kernel, bei aktiviertem SELinux, eine angeforderten Zugriff auf eine Systemresource nicht auflösen (keine Policy, kein Kontext, …) so verweigert er den angeforderten Zugriff.”
Ok. Ich habe versucht, die Backup-Festplatte bei SELinux “anzumelden”, wie von @susejunky beschrieben:
# cd /run/media/geppino/
# ls
WD_BACKUP
# restorecon -R -v /run/media/geppino/WD_BACKUP/
Warning no default label for /run/media/geppino/WD_BACKUP
Die Rückmeldung verstehe ich als “Anmeldung in SELinux nicht erfolgt”.
Und tatsächlich, nach Neustart:
1.
# ls -laZ /run/media/geppino/
insgesamt 0
drwxr-x---+ 2 root root system_u:object_r:mnt_t:s0 40 10. Sep 15:59 .
drwxr-xr-x. 3 root root system_u:object_r:mnt_t:s0 60 10. Sep 15:43 ..
Die übliche Fehlermeldung beim Mounten der Backup-Festplatte
Über OpenOffice unter OpenSUSE
@susejunky schrieb:
Das von soffice.bin verwendete “execstack” ist wohl sicherheitstechnisch bedenklich und wird daher in den SELinux-Policies von openSUSE abgeblockt.
Soweit ich das verstehe ist “execstack” eine Eigenschaft von soffice.bin, die diesem auch “abgewöhnt” werden kann (ohne die openSUSE SELinux-Policies zu verändern). Aber dazu muss Dir jemand weiterhelfen, der sich damit auskennt.
@rawar schrieb:
Ich habe 2-3 ältere Java Programme die ich ab und an noch brauche da muss ich auch
sudo setsebool selinuxuser_execstack 1
setzen wie im Journal angezeigt sonst funktionieren die nicht mit SELinux im Enforcing mode. Ich setze das allerdings nicht persistent mit -P sondern nur wenn ich es brauche bis zum nächsten Boot da das global für alle Prozesse gilt.
Es ist also kein Vergehen, eine Ausnahme in SELinux zu setzen…
@rawar weiter:
Das man einen “executable Stack” in einem Office Program braucht ist zumindest ungewöhnlich aber in deinen Log-Snippet ist was mit JNA zu sehen was den Einsatz von Java Plugins vermuten lässt.
Hab’ die KI von Brave Browser gefragt.
Frage:
I use the last version of Apache OpenOffice on OpenSUSE Leap 16.0. But SELinux gives a bad message into journal:
/opt/openoffice4/program/soffice.bin without build-id.
There is a way to get a build-id for AOO?
Antwort:
Based on the provided search context, there is no information indicating that a build-id can be generated or added to Apache OpenOffice. The context does not mention build-ids in relation to the software.
However, the search context identifies that “General error” messages on OpenSUSE Leap are caused by SELinux blocking the soffice.bin binary from accessing an executable stack. The recommended solution in the context is to enable the executable stack flag for the binary using the following command:
sudo execstack -s /opt/openoffice4/program/soffice.bin
Das habe ich getan und die Fehlermeldung taucht nicht mehr im Journal.
Auswirkung in der Praxis:
OpenOffice öffnet und speichert die Dateien merkbar schneller als früher und ich bekomme keine Fehlermeldungen mehr.
…
Über eventuelle Performance-Verluste mit SELinux
Auch dazu habe ich die Brave Browser KI gefragt.
Antwort:
| Column 1 |
SELinux |
AppArmor |
|
|
|
| LSM-Hooks (Linux v6.19) |
~217 |
~80 |
| Memory-Overhead (Miki et al. 2023) |
~85 % |
~22 % |
| Messbarer Latency-Overhead (Makro) |
< 5 % |
< 5 % |
Mein Fazit:
SELinux zu verwalten ist ohne GUI-Interface zu kompliziert für den Privatanwender
und kleine Unternehmen, die sich einen Sys-Admin nicht leisten können.
Lieber hätte ich AppArmor zurück!
