[castle] read proc - Operation not permitted

[Stanislav Ievlev]

Marat Khairullin wrote:

>On Mon, 29 Oct 2001 10:40:33 +0300
>Stanislav Ievlev <inger на altlinux.ru> wrote:
> 
>
>>То есть на каждом (!) аттрибуте в базе будет стоять  флаг , означающий 
>>режим. Идея несомненно интересная, но налицо, потеря производительности 
>>в обоих режимах, так как придется делать проверки и по нескольку раз(при 
>>обработке очередного аттрибута - для MAC таких аттрибутов 10!) для 
>>каждого вызова. Также это чревато общим усложнением алгоритмов. То есть 
>>в каждой функции будет держаться флаг, включающийся если хотя бы одно 
>>значение будет типа "soft". Усложняется передача ответа , так как помимо 
>>кода ошибки будет возвращаться индикатор soft режима.
>>
>>Более того при введении подобного для RC или ACL вместо одномерных 
>>векторов придется использовать двумерные ,как следствие, усложняется 
>>хранение в базе.
>>
>>Вывод - пока это слишком дорогое решение. Хочется, чтобы сложность RSBAC 
>>не нарастала такими темпами.
>>Может быть разумным компромисом будет soft режим для каждого модуля? Как 
>>Вы смотрите на это?
>>
>
>Выключение всего модуля - означачает снижение безопасности до обычного unix'а.
>Если для моих систем это не страшно (я вообще могу обойтись только FF модулем),
>то для действительно серьезных систем это недопустимо.
>
Согласен, что это ослабление. Но хотя бы частичное. В некоторых 
ситуациях наверное возможно будет "прикрывать" временно каталоги 
активными модулями.



Кстати есть очень сложный вопрос. Если мы некоторые аттрибуты переводим 
в режим "soft", то сохранится ли гарантия, что получившееся в результате 
разграничение лигически непротиворечиво и не дает возможности обходить 
защиту через возникшие бреши.
    Зачастую  решение о доступе принимается на основании нескольких 
параметров одновременно. Если один параметр отключается - как это 
повлияет на принятие решения? Надо иметь строгое доказательство надежности.

Отключение по модулям ничего не нарушает, так как каждый модуль 
реализует свою модель не пересекающуюся с остальными.

>
>
>Но на без рыбье, и рак...
>


----------- следущая часть -----------
3QЪ╕*^╝f╒≈В╡ы^Щ╚miхfz{lЪm4в]6ВЩчВ╝ЩЕоз╤ж°├g╖╤f