Russell Coker 并没有让他的电脑沉睡,他将两台伺服器,一台用来当作他的伺服器,另一台则为他的 Security Enhanced Linux “Play Machine”。
这台 Play Machine 开放给所有人登入,让他们试试看能不能破坏该电脑的安全。这台机器的 root 的密码是公开的 - 这是 Russell 活跃在 FOSS 社群的眾多方式之一,也是他另一个为力促其成为专案而得以不断改善的方法。
专案 Security Enhanced Linux 是从美国 National Security Agency 开始的,它结合 kernel patch 增加 security 的功能,以及加入 patch 至应用程式,让它们决定哪些 security domain 能够执行程序。
用 Russell 自已的说法 「例如 /bin/login 会根据组态档与安全性政策 (Security Policy) 资料库,选择使用者程序所使用的 domain。」
他对 SE Linux 的狂热乃是开始於参加 2001 Linux symposium in Ottawa ,听了 NSA Peter Loscocco 的演说之后。作为 Debian 开发人员,他觉得那应该成为分支套件的一部份,也认为那会花上他好几个月的时间来进行整合。
事实上他花了更多的时间,而且也一直持续对此事件保持关切。他不再只是对 SE Linux 专案提出纯贡献 - 从积极正面来看,他扩充并改良范例 policy 的组态、强化 run_init 与 spasswd 工具程式、开发 devfsd 模组以利管理 devfs 档案脉络 (file context)、完成 setfile 程式的改进,还有扩展 strace,以便追踪 SELinux 的 system call。(为了 SE Linux 与 Linux 的发展,他的日常工作的一些部份 - 像是 devfsd 模组与 spasswd 现在是停滞中的)
在线上提供一台 play machine,可以让 SE Linux 变得更好 - 诸多早已发现的组态错误,在 policy 设计时的当下,就不会被用在公开 root 存取的机器上。
「当然还是会发现一些常见的 Unix Code 议题,例如当 UID == 0,locate 程式不会检查权限,而当无法开啟 /etc/shadow 时,pam_unix.so 函式库亦不会啟动 unix_chkpwd 程式。 虽然这些罕见的小问题,影响的是未使用 SE Linux 的系统,」 Russel 接著说:「但 locate 的问题,是我的 play machine 上的使用者发现的。」
Russell 的 play machine 有助於开发更健全的 security policy;若任何人取得未被认可的 root 权限,进入 SE Linux 的机器存取,是无法作出任何伤害行为的,而且,它们试图破坏机器的所有行为,都会被一一纪录下来。
「这也促成了 SE Linux 社群的发起,#selinux IRC channel 最初亦是起源於我的 play machine」他如是说道。
在下周的 Australian national Linux conference ,Russell 将发表 SE Linux 发展现况的演说,将著重於下一版 Debian - Lenny 上,简略说明此开发的进程。
「SE Linux 将不会是 Lenny 的预设或标準安装部份,但它将拥有更好的整合、更多的功能。此次的讨论将从未来版本的 Debian 安装程式支援层级开始。」
只要某人决定要用,就能使用 script 执行设定,不必自已手动弄半天。这些 script 本身是一连串简单指令,所以 Russell 不担心有人会困在这裡头。
Russell 认为 SE Linux 能在 RedHat 社群的 Linux 分支套件 - Fedora,还有 Debian 裡运作无误,且无论是 GNOME 或是旧版 KDE 亦没有问题。若是 KDE 4 则仍有些问题待釐清。
除了这些以外,他亦将探讨两个类似的主题,由他的朋友 - 日本的开发人员 KaiGai Kohei 发表,KaiGai Kohei 被 Japan’s IT Promotion Agency 认可为 「优异的程式人员 」,他将於最后几分鐘退场。
演说有一部份会涉及安全性强化的 PostgreSQL ,将展现当下 SE Linux 对 PostgreSQL 资料库的掌控。因此这是指对系统有一致性的存取模组,SE Linux 亦提供相同种类的安全性,予网页服务的堆叠。
Russell 亦将切入 KaiGai 的演说,接手 LAPP/SELinux 的部份。LAPP 乃 Linux, Apache, Perl/Python 与 PostgreSQL 的缩写,与大家较为熟知的 LAMP (Linux, Apache, Perl/Python and MySQL)【译註】 - 已用於成千上万的网站架构有些微的不同。
【译註:LAMP 应为 Linux + Apache + MySQL + PHP,参考网站 】
LAPP/SE Linux 著重於:在 SE Linux 完整堆叠裡,皆使用相同强制存取控制的方式。kernel 控制档案存取、Apache 执行於相符於使用者的脉络 (contexts) 下,而 PostgreSQL 则使用 SE Linux 所支援建置於 Apache 执行绪脉络下的存取。
Russell 是 LCA 的常客,几乎参与了每一场研讨会 - 除了 2003 年在 Perth 举办的之外。他认为从一些演说中可以学到很多的东西、交换不同的意见,并透过他自已的演说提供资讯给社群。