【めざせ】TOMOYO Linux 0.0.2 【本家入り】

**login:Penguin** ◆XkB4aFXBWg · 2008/06/03(火) 23:07:21

使いこなせて安全な強制アクセス制御(MAC)実装、TOMOYO Linuxのスレッドです。

TOMOYO Linux プロジェクト
ttp://tomoyo.sourceforge.jp/
TOMOYO Linux の世界
ttp://tomoyo.sourceforge.jp/wiki/?WorldOfTomoyoLinux
TOMOYO QandA
ttp://tomoyo.sourceforge.jp/wiki/?QandA
はてなキーワード TOMOYO Linux
ttp://d.hatena.ne.jp/keyword/TOMOYO%20Linux
TOMOYO メインライン提案まとめ
ttp://elinux.org/TomoyoLinux#Mainline
過去スレ
TOMOYO Linux ttp://pc11.2ch.net/test/read.cgi/linux/1152257294/
まとめ ttp://tomoyo.sourceforge.jp/wiki/?TomoyoIta1

**login:Penguin** ◆XkB4aFXBWg · 2008/10/22(水) 06:45:19

>>485
>でぶ、厳冬、うぶんちゅ、せんとくんは確保！
Vine, openSUSE, Gentoo, Fedora, Asianux, Armadilo,などプロジェクトで
パッケージを提供しているもの
ttp://sourceforge.jp/projects/tomoyo/releases/
はできるだけそろえたいですし、視点を変えて「組込みで使うTOMOYO Linux」
なども欲しいです。また、実はカーネルパッチの適用による導入は雑誌の
記事としては書いていないので、それはデムパくんどうでつか？

手を挙げてくれる人がいなければ、書けそうなhito（笑）や
軍曹をさがしてお願いしようと思っていますが、ふつーに使っている人が第一希望です。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/22(水) 06:50:02

「○○で使う」以外にも連載の企画は考えていて、そのひとつは
「TOMOYO Linux探検隊」という名前でTOMOYOを使って、システムの
挙動を調べるというものです。
TOMOYOはいつのまにか機能がすごく増えてしまったので、これから
始める人は逆にどこから手をつけていいかわかりにくいと思います。
なので、基本的なところから初めて、読んでいくと次第に機能（の構成）が
理解できるようなものを考えています。

「メインライン化」については、その後というか今までの道のりの
「解説」はあったほうが良いかもしれませんが、正直そうした中の人による
解説がどれだけ読者のニーズに応えているか疑問に思っています。
書きたいものや書けるものではなく、読んで役に立つようなものにしたいのですよ。

**login:Penguin** · 2008/10/22(水) 06:54:49

>>487
TOMOYO 2.x は /sys/kernel/security/tomoyo/ を使っています。
TOMOYO 1.x はカーネル 2.4 / 2.6 で同様に動くようにするためと、
/proc/ はマウントされていることが確実（マウントされていないとシステムが
まともに動作しない）だけれども /sys/kernel/security/ は不確実（マウント
されていなくとも正常に動作できる）だからという理由で /proc/ccs/ を
使っています。 ccs-tools のプログラムの中から /sys/kernel/security/ に
マウントさせるのも変ですし、 root 権限が必要になってしまいますし。
あと、 /proc/ccs/ の方が入力が楽です。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/22(水) 06:54:51

>>487
>書くのに興味はあるがなんとも不安、とか思っていたけら Gentoo 確保されちった
希望者が複数いたら先着順ではなく、相談（調整）しますから大丈夫。
「不安」はわかりますが、コンテンツの中身をもらえば、内容の確認や調整、
編集さんとのやり鳥はこちらで行う予定です。それにより、ユーザの方の
視点というか認識が確認できるのが重要です。

>あと TOMOYO は /sys からのインタフェースは作らないの? /proc のインタ
>フェースってもうあまり推奨されてないんでない?
ここは後で回答してもらいます。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/22(水) 06:55:30

2分遅れた・・・。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/22(水) 07:05:39

鳥ごとの記事は下記を参考に検討ください。
ttp://www.thinkit.co.jp/free/article/0706/17/2/

**デムパゆんゆん** · 2008/10/22(水) 10:35:53

>>488
記事書いても数行で終わるおｗｗｗ
1 tar 2 make 3 make install 4 mkinitrd 5 reboot 終了　ｳﾏ～
ここから先
trunk取ってきたゾ　パッチの当て方　パッチ当てたらエラーが出た
こんな時どうする？　アイフル。
もっと新しいのがいい！　知代ちゃん 2.2.XへGO～
gitてなんや　kernel.orgを眺めようか？
言語わからん C++　やらないか？
そしてカーネルコードの読み方
いよいよ君もカーネル開発者だ　LKMLへいざゆかん　日の丸掲げて特攻しよう。
とか、雲の上の目標の導入になるかしらん。

招集赤紙出して鳥狂信者確保　狂信度足りないのは不採用お祈りメールなんでつね
ただのインスコ記事というより　ここでハマッたとか鳥のくせみたいなネタがいいのか　ふむ

**login:Penguin** ◆XkB4aFXBWg · 2008/10/22(水) 22:09:31

>>494
>trunk取ってきたゾ　パッチの当て方　パッチ当てたらエラーが出た
>こんな時どうする？　アイフル。
ご利用は計画的に

それはともかく、「パッチ当てたらエラー」に対してできることや手順などの
経験を紹介してみると面白いかもしれないですね
「最新カーネルでTOMOYOを追いかけろ（ごるぁ）」みたいな感じで
現在サポートされていない鳥への移植の参考になればデムパ君の経験も活きるでしょう

**login:Penguin** ◆XkB4aFXBWg · 2008/10/22(水) 22:14:41

>>494
>gitてなんや　kernel.orgを眺めようか？
>言語わからん C++　やらないか？
カーネル開発の環境やツールの紹介は情報としては有用でもそんなにニーズが
ある気がしません。gitだったらSDさんでも特集されていますC#。

>そしてカーネルコードの読み方
>いよいよ君もカーネル開発者だ　LKMLへいざゆかん　日の丸掲げて特攻しよう。
>とか、雲の上の目標の導入になるかしらん。
カーネルの規模、変更の速度、連載の情報量を考えると、連載には合わないでしょう。
また、開発チームもTOMOYO部分は詳しくても全部をカバーしているわけではありません。

うーむ、困ったあるね

**login:Penguin** ◆XkB4aFXBWg · 2008/10/22(水) 22:19:49

>>494
>招集赤紙出して鳥狂信者確保　狂信度足りないのは不採用お祈りメールなんでつね
>ただのインスコ記事というより　ここでハマッたとか鳥のくせみたいなネタがいいのか　ふむ
いや、狂信度とか10000%求めてません（汗
パッケージのインスコだけだと確かにそれぞれ数行で終わるかもしれませんが、
書いているように癖があるので、癖＋鳥紹介＋自己紹介＋事故（トラブルおよび対応）紹介
てなもんや三度笠（なんだこりゃ＞自分、どうも調子くるうなぁ）
カーネルパッケージ作りは、鳥の違いがはっきりでると思うのですがどうでしょう？
（開発環境に必要なパッケージとか鳥によって違うし）
あとは、DebianとかUbuntuでTOMOYOのパッケージつくってくれている人に
寄稿を頼むというのも個人的に読みたいです

**login:Penguin** ◆XkB4aFXBWg · 2008/10/22(水) 22:23:07

というわけで28日に技評さんと打ち合わせることになりました。
現時点では回数、内容、ページ数とも何も決まっていません。意見、希望、その他
ある人は早めに知らせてもらえるとうれしいです。ちなみに技評さんには
読者参加型（鳥自慢）他のプランを送っています。でふぁ。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/22(水) 22:41:31

（とりあえず、デムパ君、hitoさん、やまねさんは決まったとして残りが問題だなぁ・・・）

**login:Penguin** ◆XkB4aFXBWg · 2008/10/24(金) 01:32:23

2008/10/23 19:31にJohn JohansenがAppArmor general mlでこんなメッセージが
流れていました。tomoyoのパッチはそのままではAAでは使えない（不十分）ようですが、
それでもtomoyoの提案が採用されるとAAとしても大幅にマージされやすくなります。
つまりAAの関係者もtomoyoの提案を支持してくれるはずです。

TOMOYO #11のパッチは、自分たちでgitを立てる予定があるかを聞かれて、
なければJamesのgitに入れてもらい、そこからマージされる、という流れに
なるのではないかと思いますが、実際どうなるかはわかりません。

Re: [Apparmor-general] apparmor svn history / tomoyo lms approach
(snip)
> Second question - is apparmor planing to switch to much less invasive approach
> like tomoyo is proposing?
> http://marc.info/?l=linux-fsdevel&m=122161780530938&w=2
>
> Current vfs-*.patches are so invasive and hard to deal with (+ conflicting
> with tons of other patches used by some distros).
Yes. While there are some issues with the tomoyo patch series we are
going to port to it, as it has a much better chance of going up stream.

**login:Penguin** ◆XkB4aFXBWg · 2008/10/24(金) 02:10:47

連載の件の補足です。

原稿の締め切りはだいたい店頭に並ぶ2ヶ月前になります。仮に1月18日発売の号から
開始の場合には、最初の締め切りは11月18日頃で、それ以降毎月となります。
もしここの読者の方から原稿を提供していただく場合には、3回目くらいからとすると
その締め切りは1月18日頃で、結構時間はあります。と言っても、編集さんのほうでは毎月編成を
検討するわけではないので、新連載の概要（回数、内容）は10/28の打ち合わせで決まります。
今は呼びかけたものの協力してくれる人がいるかどうかわからないで少々困っています（笑）
「書いてみたい」という人があれば10/27までに意志表示してもらえると助かります。
（誰もいなければ自分たちの案＋編集さんで決めます）

書いたことがないので書けるかどうか心配という方は、試しに（部分でも）書いて
もらって送ってもらえばコメントを返します。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/24(金) 02:17:45

執筆希望、問い合わせ等はメールでお願いします（ここに書かれてもこちらから
連絡しようがないので・・・）。

当方？の連絡先については、下記のWikiを参照ください。
ttp://tomoyo.sourceforge.jp/wiki/?Contact

**デムパゆんゆん** · 2008/10/24(金) 10:02:51

>>502
MLにも同じ内容で流すとか個別に聞いてみるとか　原稿書く人
鳥別の記事て centos インスコします　パケジの選別で開発環境入れろ！
じ　gcc とか ncursesは　いるんだな
あ　あとから時は yum -y gcc ncurses kernel-source とか
tomoyo パッチ当てて make mrproper 呪文を唱える　ｳﾏ～
しかし、 kernel 2.6.27.3にtomoyoパッチ当てて　make installしたらハングしたむ～

**login:Penguin** ◆XkB4aFXBWg · 2008/10/24(金) 19:56:33

>>503
>じ　gcc とか ncursesは　いるんだな
そうそう。コンパイル環境をいれるのでもDebianだとbuild-essentialとかありますし、
editpolicyのコンパイルに必要なncursesの開発パッケージの名前も鳥ごとに違います。
その鳥を使って普段からパッケージを作っている人にとっては、当たり前でも
今までカーネルにはさわったことのない人にはきっと勉強になると思います。
また、使ったことのない鳥の記事を見て、「ちょっと試してみようかな？」という人も
いるかもしれません。TOMOYOを素材として、より多くの読者の人に読んでもらい
役に立つようなものにならないかと考えているわけです。

**デムパゆんゆん** · 2008/10/24(金) 22:42:08

>>504
記事は導入の導入なのだ。
いつもの技評のスタンスやと日経池とかてめーの日記でやれとか言われそうやなｗ
使ったことのない鳥て公式から出てる以外でか～
ももんがたんとかsabayonとか　はい
ただ公式のパケジ当てて終了はｲﾔだ
ひねくれて開発環境入れて鳥別パッチあててみるか　もう少し鳥の中見るんだお。
おっさんスルーしてｗ理工系の学生向けみたいな感じだのぅ
それ以前に採用されるかわからんという前提　もう少しひねらないといけないかも試練　試練だあぅ

**login:Penguin** ◆XkB4aFXBWg · 2008/10/24(金) 23:06:01

>>505
>いつもの技評のスタンスやと日経池とかてめーの日記でやれとか言われそうやなｗ
何を書いても読んだ人すべてが満足することはないわけで（ここでも「おまいらのほむぺでやれ」とか
言われるわけだ）。これが良いと思って、編集さんのOKがでればそれで良いと思うぞ。
>使ったことのない鳥て公式から出てる以外でか～
別に珍しい鳥特集ということではなく（笑）、読んでいる人、一人一人が普段自分の
使ってない他の鳥の記事見るのも面白いのではないかということ　（一人一）顔に見える・・・
>それ以前に採用されるかわからんという前提　もう少しひねらないといけないかも試練　試練だあぅ
10/28午前中までに送ってくれたら、直接編集さんに見てもらうことも可なり

**login:Penguin** ◆XkB4aFXBWg · 2008/10/24(金) 23:11:11

連載を書いている間はずっとSDがでると最初に読者のおたよりコーナーを開いていたのだが、
ほとんど反響がなく残念でした。（編集さんによると景品の内容によってかなり応募はばらつくらしい）
参加型が（応募が少なくて）成立しなくても、ここで連載内容のQAとか、次こんなの書いて欲しいとか
いう感じで連動できたらいいかもしれない。

**デムパゆんゆん** · 2008/10/25(土) 00:58:31

＞10/28午前中まで
いきなり２徹フラグ　うむ

お題　つかみはおっけ～　中身ｽｶｽｶ
狂信している鳥がないのは内緒にして下さい。
助手の小嶋君と語る知代ワールド
メインの環境はopensolarisなんです　ごめんあさい。
opensolarisの鳥自慢ならどこまでも参ります。
そんなひねくれたあなた　今夜はまろやかに粛々とせんとくんとひねくれてみまつ。
と、長いタイトルになった。

＞ほとんど反響がなく残念でした。
そりゃ、最初見た時はselinuxもtomoyoも何やってるのかいまいち挙動がわからんかったり。
導入の時点でこけるのが多いとオモ　概念が難しい気もする。

全く書ける気がしない　日銀ゼロベース　日銀砲発射！　財政出動！　補正予算締結！　大型減税！　それでわ　スタート。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/25(土) 08:22:33

>>508
>メインの環境はopensolarisなんです　ごめんあさい。
いや、謝らなくても (--;
>opensolarisの鳥自慢ならどこまでも参ります。
逝ってよし (-_-)
>そりゃ、最初見た時はselinuxもtomoyoも何やってるのかいまいち挙動がわからんかったり。
>導入の時点でこけるのが多いとオモ　概念が難しい気もする。
そうそう。最初（入門）が少し難しいのではないかと思うちょります。
その意味では、「導入」してからやってみることを今までより長めに具体的に書けばいいのかなぁ。
（「導入」自体は鳥用のパッケージがあれば難しくはないので）
>全く書ける気がしない　日銀ゼロベース　日銀砲発射！　財政出動！　補正予算締結！　大型減税！　それでわ　スタート。
？？？
まあ無理しなくて良いし、「こんなのどうよ？」みたいな話でも良いです（2徹は不要）から
何かあればまたり～と連絡ください。ｳﾏｰ

**login:Penguin** ◆XkB4aFXBWg · 2008/10/25(土) 08:29:46

編集さんから最初に連絡もらったときには、「Linuxの勉強、調査（の参考）になるような」という
話を伺っています。今、考えているひとつの案は「TOMOYO Linux探検隊」で、
TOMOYOを使って、システムの挙動を調べてみよ～、というものです。
それも含めて「導入」よりは「使い方」をメインにしたもので考えてみます。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/26(日) 08:18:15

まだプログラムに掲載されていませんが、PacSec2008で熊猫先生の提案、
"Countermeasure to SSH Brute Force Attack according to behaviour"
が採用されました。熊猫先生による初の単独発表であり、内容も会議に
合っていると思います。きっと面白い発表になるでしょう。

**login:Penguin** · 2008/10/27(月) 12:23:01

ドメインの設定を再帰的にかけませんでしょうか。
ezceptionポリシーに。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/28(火) 00:07:51

>>512
>ドメインの設定を再帰的にかけませんでしょうか。
>ezceptionポリシーに。
ポリシーのシンタックスとして再帰的な指定用のものはありませんが、
やりたいことによっては対応は可能かもしれません。
（やりたいことの説明ｷﾎﾞﾝﾇ）

**login:Penguin** ◆XkB4aFXBWg · 2008/10/28(火) 00:13:06

技評さん連載ですが、Gentooな方と電波な方から対応可能とのおたよりを
いただきました。また、いつも多忙なUbuntuな方に無理矢理お願いして怪諾いただきました。
そのほかは軍曹な方にもお願いしています。興味ある方は、あまり深く考えずに
ご相談いただければ幸いです。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/28(火) 01:03:26

tomoyo #11のほうは、その後特に意見、コメント等でておらず、今日
関係者に宛ててこんなど真ん中ストレートメールを投げました。

Stephen, James, Chris, Serge,
What is the status of this patchset?

I saw no objections against our patchset.
We are waiting for your review for now.
Is there something we can do?

何らかの返答があると思いますが、どんな返答になるか予想がつきません。(=_=; こわいっちゃこわい

**login:Penguin** · 2008/10/28(火) 09:32:33

>>513
いや、単に/etc/*にはアクセスして欲しくないとか書きたいのですが、全階層を全て列挙するのが面倒なので（汗。

**LiveCDの中の人** · 2008/10/28(火) 10:26:47

パス名を比較する実装の都合（まず/の数が違うものを弾く）で、
パス名の再帰的な指定はできないようになっています。
お手数ですが/etc/\* /etc/\*/\*という感じで指定してください。
m(_ _)m

支援ツールとしてccs-pathmatchが使えます。
これは引数で指定したパターンにマッチし、
存在するファイル名をすべて出力するもので、
$ ccs-pathmatch '/etc/\*/\*'
$ ccs-pathmatch '/etc/\*/\*/\*'
$ ccs-pathmatch '/etc/\*/\*/\*/\*'
という感じで階層を徐々に深くして行くと、
出力がなくなった時点でその1個前が最深、
ということがわかります。

**LiveCDの中の人** · 2008/10/28(火) 10:29:59

>>516
あと、○○にアクセスして欲しくない、
というのはちょっと書くのが面倒ですorz
TOMOYOのドメインポリシーは基本ホワイトリストなので。

**516** · 2008/10/28(火) 13:50:51

>>517
この仕様は変わらないのでしょうか。
AppArmorはrecursiveに設定できるようですが。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/28(火) 20:14:28

本日技評さんとお話しました。
・とりあえず単発で「TOMOYOを使ってLinuxを解析する」話を執筆
・新連載のスタート時期は来年4月で、テーマについては今日の議論の内容も参考に今後検討いただく
・ディストリビューションごとの内容は連載というよりは特集のほうが良い鴨（鳥だけに・・・）
・メインライン化が達成できたら、雉にしたい（しつこい・・・）
という感じです。鳥自慢特集が成立するかは、執筆者と内容次第なので、引き続きよろしくお願いします。

**デムパゆんゆん** · 2008/10/28(火) 22:19:30

ねっとり　ネチネチと技評をヲチャーするんですね
家にあるSDのバックナンバーの葉書全部送るか　ふっふっふ
おぢちゃんはひつこく　ねっとり　ネチネチ　こうですか。
導入をばっさり切り捨てて玄人がニヤニヤする雉
長期戦になりそうだ　高知連隊の増援がいるお
Plan A 失敗で　また奇襲と夜襲の Plan B 開始なんでつね

**login:Penguin** ◆XkB4aFXBWg · 2008/10/28(火) 22:33:37

>>521
既に
>ねっとり　ネチネチと技評をヲチャーするんですね
からわからなくなっていますが、何か誤解があるかもしれません。

「鳥自慢」は毎月一羽ずつ紹介するのはきつい（自分の好きな鳥しか読まないかも）ので
それよりはまとめてあったほうが良いということです。鳥ごとの流儀は違うので、
インスコ（導入）が不要になったわけではありません。(導入＋パッケージ開発)*鳥
みたいなイメージです。

4月からの連載は長期戦になりますが、お題はとりあえず編集さん預かりです。

**デムパゆんゆん** · 2008/10/29(水) 00:07:30

うん　誤解　案が全部却下されたのかとオモタwww
４月から連載　年明けくらいにはお題も中身も決まってるんかのぅ
内容少し変えようかな　採用されるように気と怨をねじ込むお
雉と鴨　鳥自慢　美味しいのでありますが　普通にニワトリがいい

天五号作戦開始であります。　潜行開始　ﾌﾞｸﾌﾞｸﾌﾞｸﾌﾞｸ

**login:Penguin** ◆XkB4aFXBWg · 2008/10/29(水) 07:09:39

>>523
>うん　誤解　案が全部却下されたのかとオモタwww
現時点で決まっているのは、
・「TOMOYOを使ってLinuxを探検」は面白そう＝とりあえず1/18の号に掲載して、
　反応が良ければ連載化も検討
・来年4月からはTOMOYOについて何らかの連載が始まるが詳細未定
で、後者についてはどんな内容なら良いかねぇという話をしたのが昨日の打ち合わせです。
>４月から連載　年明けくらいにはお題も中身も決まってるんかのぅ
SDの発売日は毎月18日で1/18発売は2月号、4月号は3/18発売となります。
原稿締め切りはほぼ発売日の2ヶ月前なので、4月号の原稿は1/18提出（フィックス）です。
最終的な決定は編集さんの会議で話し合い決定しますが、それが来月です。
つまり時間はあるようでいて、実際は余裕はそうありません。ネタや準備は
今から初めておくのがお勧めです。
>内容少し変えようかな　採用されるように気と怨をねじ込むお
特集成立の目安は集める鳥の数とページ数（おおよそ30p）です。
協力者が多ければそれだけ成立する可能性が高まりますが、成立するかを決めるのはあくまで
編集部さんなので、私のほうでは保証はできません・・・。それでも良ければ是非始めてください。
書き方相談やコメントは、いくらでもつきあいます。
>雉と鴨　鳥自慢　美味しいのでありますが　普通にニワトリがいい
>天五号作戦開始であります。　潜行開始　ﾌﾞｸﾌﾞｸﾌﾞｸﾌﾞｸ
また不明なことがあれば質問ください。でふぁ

**login:Penguin** ◆XkB4aFXBWg · 2008/10/29(水) 07:20:39

何故書いてくれる人を募集しようと思ったかを書いておきます。
・（いつもは見えない）ユーザの存在を感じてみたい
・ユーザの視点（意見、疑問）を知りたい（そしてその内容を今後の活動に反映したい）
・より多くの人にTOMOYOのことを知って欲しい
ですが、TOMOYOを通じて「外の人」から出てきてもらったり、読者からライターに
なって欲しいと思っています。そのきっかけを作り、手伝いたいです。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/29(水) 19:44:30

>>519
>この仕様は変わらないのでしょうか。
>AppArmorはrecursiveに設定できるようですが。
これは私の考えで実際とは違うかもしれませんが、そう思って読んでください。

ポリシーで再帰的な記述を許すということは、実行時にディレクトリ階層の評価を
行うということで、その評価はカーネルの処理として実行されます。
言ってみれば、ユーザの設定を簡便化する代償として、その分の作業を
カーネルに強制することになります。Linuxには「カーネルの処理を軽減し、
真にカーネルでなければできないことしかさせない」という考え方が存在しますから
そのようなことはおそらく許容されないように思います。

ひとつの方法としては、tomoyoのポリシーはテキスト形式ですから、
テキスト処理として階層を展開したポリシーを生成するようなツールを
作るようなことではどうでしょうか？

**login:Penguin** ◆XkB4aFXBWg · 2008/10/29(水) 19:46:56

>>515
>tomoyo #11のほうは、その後特に意見、コメント等でておらず、今日
>関係者に宛ててこんなど真ん中ストレートメールを投げました。
一応報告しておきますが、まだ返事はきていません。
# どのような形の返信であれちゃっかり公開します。

**login:Penguin** · 2008/10/29(水) 20:16:04

>>512
keep_domain でそれ以上ドメイン遷移を深くさせたくないのかと思いましたが、
>>516
どうやらドメインに対するアクセス許可の指定で /\* の繰返しを避けたいという
質問のようですね。
>>519
TOMOYO も AppArmor もホワイトリストです。ですから、「 /etc/\* だけ禁止」という
ブラックリストな指定はサポートしていません。

/etc/\* 以外を許可（つまり /bin/\* や /sbin/\* などだけ許可）したければ
/\*\-etc/\* という指定が可能です。これを再帰的にすると

/\*\-etc/\*
/\*\-etc/\*/\*
/\*\-etc/\*/\*/\*
/\*\-etc/\*/\*/\*/\*

のようになります。
path_group というものをサポートしているので、 exception_policy にて

path_group all_but_etc /\*\-etc/\*
path_group all_but_etc /\*\-etc/\*/\*
path_group all_but_etc /\*\-etc/\*/\*/\*
path_group all_but_etc /\*\-etc/\*/\*/\*/\*

のように定義しておけば、 domain_policy にて
@all_but_etc のように参照することが可能です。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/29(水) 20:31:18

>>528
ありがとうございます。(_ _)
>path_group というものをサポートしているので、 exception_policy にて
SD連載だとここに載っています。
ttp://tomoyo.sourceforge.jp/wiki/?WorldOfTomoyoLinux-6

**login:Penguin** ◆XkB4aFXBWg · 2008/10/30(木) 07:10:39

Sergeから返信がありました。以下、全文を引用します。
Sergeは以前「どのくらい使われているのかmlなどのトラフィックを見たい」と
言っていたのが、全然使われていない→マージするのはちょっと早い？と
思われているようです。（利用状況を伝えるのに失敗しています）

> Stephen, James, Chris, Serge,
> What is the status of this patchset?
>
> I saw no objections against our patchset.

I don't like the 'in_exec' bit in the task_struct, but adding LSM hooks
to let just TOMOYO mark whether you're in exec seems even uglier.

> We are waiting for your review for now.
> Is there something we can do?

Well I think the patchset is at a stage where it needs a test-spin in
-mm (or something).

The users' list seems quite sparse, though. Who exactly does use this,
and why? (I don't mean that to sound adversarial, but while I think I
know how it differs from selinux, I'm not clear on when or why its
differences would be advantageous.)

-serge

**login:Penguin** ◆XkB4aFXBWg · 2008/10/30(木) 07:39:01

注目すべきなのは、元の質問（Sergeのメールで引用されている部分）は、
私信として送られたものなのに対して、返信は、LSM, LKML, Andrew Mortonが
追加されています。

Sergeは（おそらくはtomoyo-users-enを見て）温度というか関心が下がっていて、
かつマージして欲しいならここ(LKML)でそれを説得しろと言っています。
同時に（間接的に）Stephen, James, Andrewに推薦するかという意味も
含んでいます。これは困った。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/30(木) 07:41:13

　　／￣￣＼
　／　　 _ノ　　＼　　・・・困るなよ
　|　　　（ ●）（●）　　　　　　　　　　　＿＿＿_
.　|　Ｕ　　（__人__）　　　　　　　　　　／　　　　＼
　 |　　　Ｕ　｀ ⌒´|　　　　　　　　　　／─　　 ─　　　＼　だって英語だお
.　 |　Ｕ　　　　　　}　　＼　　　　　／（●）　（●）　　　＼　
.　ヽ　　　　　　 } 　　　＼　　　|　　（__人__）　　　　　|　　
　　ヽ　　　　　ノ　　　　　＼　　＼　　｀ ⌒´ 　　　　　_／　　
　　　/　　　く.　＼　　　　　　＼　ノ　　　　　　　　　　＼
　　　|　　　　＼　＼　　　　(⌒二　　　　　　　　　　　　|
　　 |　　　　|ヽ、二⌒)、　　　　　＼　　　　　　　　｜　|

**login:Penguin** ◆XkB4aFXBWg · 2008/10/30(木) 07:44:41

Stephenは以前、「TOMOYO（のマージ）を邪魔するつもりはない」と言っていました。
実際、その後TOMOYOに反対する発言はしていませんが、賛成もしていません。
おそらく（何らかの意味でSELinuxに関係しない限り）ずっと黙って見ているつもりでしょう。
James, AndrewはStephenよりは、応援してくれていると思いますが、おそらく
積極的な後押しはあまり期待できそうにない。Chrisは・・・。(--;

**login:Penguin** ◆XkB4aFXBWg · 2008/10/30(木) 08:37:34

もうひとつだけ。

今の状況は放置しておくと危険ですが、逆に事実をもとに実績をアピールできれば
一気に道は開けるはず。つまりチャンスとも言えます。
最善を尽くします。

**デムパゆんゆん潜行中** · 2008/10/30(木) 10:53:01

セルゲ君
ttps://www.redhat.com/archives/fedora-selinux-list/

６月で止まって　移動したのかう？
ttp://www.nsa.gov/selinux/list-archive/date.cfm?MenuID=41.1.1.9.3

納得できる案を示してくれたまへ

http://forge.novell.com/pipermail/apparmor-general/
apparmorは地味に続いてる

認知度が低すぎだわな　だた様が欧州で狂ったように買い漁ってるが、
ついでにマンドリバも買うﾆﾀﾞ　マンドリバ selinuxのメンテナもいるし
セキュアOS（笑）に対する拒絶感みたいなものはほかの鳥より少ない過渡。
selinux陣営は最後の防衛線のよう　そう思いたいでつ。

**login:Penguin** · 2008/10/30(木) 16:29:37

実績か
そういえばデファクトスタンダードにしる！日本だけでもよいから
とかいう意見がかなり前にあったな

**login:Penguin** · 2008/10/30(木) 20:05:58

>>531
sds jmorris chrisw serue linux-security-module linux-kernel akpm 宛に送られたメールに、
そのまま返信してきただけなんですけど・・・。

**login:Penguin** ◆XkB4aFXBWg · 2008/10/30(木) 23:33:04

>>537
(_ _; ぐふっ

**login:Penguin** ◆XkB4aFXBWg · 2008/10/30(木) 23:38:19

まあ、多少の勘違いはあったかもしれませんが、とにかく返信しておきました。(_ _;
ttp://lkml.org/lkml/2008/10/30/28

**login:Penguin** ◆XkB4aFXBWg · 2008/10/31(金) 00:53:16

>>535
>selinux陣営は最後の防衛線のよう　そう思いたいでつ。
以前も書きましたが、おそらくselinux陣営は今やtomoyoやAppArmorを
敵とも脅威とも思っていないでしょう。「防衛」という意識もないはずです。

LSMはもともと複数の実装をつなぐ（切り替える）ためのものですから、
他に害を与えず、意味があるものであれば、
本来そこに選択肢を追加することに反対する理由はありません。

**login:Penguin** · 2008/11/01(土) 11:55:02

>>526-528
ありがとうございます。
ホワイトリスト指定という前提を忘れていました。firewallのdenyルールが出来ないかと、ちょっと欲張ってしまいました（汗。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/02(日) 12:21:08

LKMLのほうはその後進展がありませんが（この状態が毎度ながらきついわけです）、
Software Designさんのほうは、Debianのやまねさん、Ubuntuのhitoさん、
Gentooの青田さん、組込みセキュアOSを追っている宍道さんから協力可能との
お返事をいただきました。（感謝！）
その他未確定ですが、TurbolinuxとTOMOYOスレのデムパゆんゆんさんとも
調整中です。

企画（特集）が成立するかは現時点では未定であり、さきほど編集さんに状況報告を
かねて相談のメールを送りました。書いてみたい方はもちろんですが、
それ以外でも何らかの形で関わりたい方（たとえば、査読者として）はご連絡を
お待ちしています。

**login:Penguin** · 2008/11/02(日) 22:15:31

updatedb を strace かけるとあちこち open してるみたいだけど TOMOYO には
出てこないのだね

たしかに stat を記録していると煩雑になるだろうけど、たとえばグローバル
に読みとりはできるようにしときたい、けどパスを検索かけられたくない(少な
くとも locate で簡単にひっかかっちゃうようにはしたくない)みたいなのは実
現できないだろうか?

# まぁこんなルールがざるだって言えばそれまでだけどさ

**login:Penguin** · 2008/11/02(日) 22:29:23

あ locate の設定で exclude できるのは知っているけどヒューマンミスをへら
すためには障壁は多いほうがいいよね

設定ファイルが改竄されても、 TOMOYO でガードできたらいいな、って感じ

**デムパゆんゆん潜行中** · 2008/11/02(日) 22:32:14

猛者揃いだなｗｗｗ
この中に突撃して　せんとくんとともよちゃんどたばた珍道中　うん
文体を　各方面にてご活躍の方々　貴紙でも何度もお見受けする方など著名な執筆陣の中
大変恐縮ながら一筆添えることとなりました。何度もご指導、ご鞭撻の程をを賜り、若輩ながら執筆致しました。
お見苦しいところも多々ありますが、pgrおながいしまつ　　に変えるお　胃が痛いｱﾙ

**login:Penguin** · 2008/11/03(月) 02:26:16

>>543
TOMOYO ではディレクトリのオープンはチェックしていません。
常識的な使い方であれば、読まれたくないのはファイルの内容であって、
ファイル名そのものではありませんから。
例えばパスワードはファイルの中に記録しておくものであって、
パスワードをファイル名にすることはしないでしょう。

>>544
設定ファイルの改竄を防ぐのも TOMOYO の役割でしょう。

**デムパゆんゆん潜行中** · 2008/11/03(月) 05:27:00

A→A'→Aと　ファイル名変えて改竄される事もあるのかしらん
ファイル名A'に変えて改竄してからまたAに戻す。
知代ちゃんではムリポなふいんき

ttp://lists.sourceforge.jp/mailman/archives/tomoyo-users/2008-October/000503.html
いろいろ更新入ってまつ
前から気になっていた　うｐだてした時にディレクトリが変わったりするのが時々ある
あれ　ポリシ違反ログ追っかけながら適宣修正していくのであったかのぅ
少し楽になりそうだ
駄菓子歌詞、ともよちゃんの設定ファイルやログ　基本手動であります。
ともよちゃん自身がヒューマンミスの要因にもなり得るかもれにゃい
夜明けの午後３時寝ぼけて作業してたりすると　実ファイルとともよの設定ファイルにズレが出てきそうである。
弊社、自宅警備員の自動化を進めており、当面の課題となっております。
cron回すとかリアルタイムで監視とかただいま思案ちう
ただ、自動化でオラがリストラされそうでもあります。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/03(月) 07:40:22

>>545
当たり前ですが、最初は誰も書いたことがないわけです。初めて書くときは誰でも同じです。
最初に書くときには、書こうと思う気持ちときっかけが必要です。
そのきっかけはそう多くはありません。自らつかむものだと思います。
不思議なことにこのスレに書き込まれるメッセージを読むと、その人がどれだけ
tomoyoを知っていて、使っているかがなんとなくわかります。
デムパ君は、このスレの中でも優等生です（国語はあまり良くないかもしれません）。
使ってくれていること、ここに意見を書いてくれることは、中の人をはげまします。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/03(月) 07:47:08

メインライン化の状況です。

Sergeの発言へのレス以降進んでいませんが、待っている間にmmにcredentialが入ったという
情報がありました。credentialは将来メインラインに入るのが実質的に確定しており、
それに対応するためにはtomoyoに修正が必要でした。linux-nextにはcredentialがはいっていて、
mmには入っていないという状態が続いていて、今更mm用にcredentialの入っていない
パッチを提案しても仕方ないわけでしたが、mmにcredentialが入っていわば
追いついたので、休み明けにパッチを投稿する予定です。ただ、やっぱり
mmとlinux-nextの関係というかいつmmがlinux-nextに移行するのかよく見えません。
（Sergeもそのあたりわかってないようです）

**login:Penguin** · 2008/11/03(月) 09:38:32

>>547
> A→A'→Aと　ファイル名変えて改竄される事もあるのかしらん
> ファイル名A'に変えて改竄してからまたAに戻す。
> 知代ちゃんではムリポなふいんき
まさにラベル陣営がパス名陣営を攻撃する時の材料です。
確かに、パス名ベースのアクセス制御である TOMOYO や AppArmor では、
ファイル名を変更することによりアクセスの可否が変化するので、
もし、「A→A' というリネーム」「A'というパス名への書き込み」「A'→Aというリネーム」という
３つの操作が許可されていたら、改ざんを許すことになるでしょう。

しかし、ここにはラベル陣営が忘れている落とし穴があります。
ファイル名が変わっても読み書きの可否が変わらないのはラベル方式の利点ですが、
ファイル名が変わることによりシステムが想定外の動作をしてしまう危険性を
把握できないのがラベル方式の欠点です。

例えば、 .htaccess を改ざんして悪意あるサイトへ誘導する攻撃（ ttp://isc.sans.org/diary.html?storyid=5150 ）に関しても、
TOMOYO であれば、 htdocs 以下の書き込みを許可しなければいけない場合でも
/var/www/html/\*.html とか /var/www/html/\*\-.\* とかのように「使って良い名前」を
制限することにより、 /var/www/html/.htaccess という名前でファイルを作成されたり、
/var/www/html/blog.html を /var/www/html/.htaccess にリネームされたりするのを
禁止できるわけです。

ラベルベースの場合、「同一ディレクトリ内でのリネームを許可」という粒度なので
このような悪事を防げません。

**login:Penguin** · 2008/11/03(月) 10:52:29

つまり、アプリケーションというかhttpdとか大半のソフトはパスベースで実装が多いから、
ファイル名変更を監視しないと意図した通りの結果にならない点が欠点ですな。
もちろんパスの変更を監視して追尾するのが普通なのでしょうが。

だったらパスベースでもリネームを禁止すればOKというだけの話よねぇ・・・

**login:Penguin** · 2008/11/03(月) 11:33:14

>>551
>だったらパスベースでもリネームを禁止すればOKというだけの話よねぇ・・・
ラベルベースれあれ、パス名ベースであれ、「不要なリネームを禁止する。許可せざるを得ない場合は必要最小限になるようにする。」のが鉄則です。
適切なパス名が維持されているかどうかもセキュリティ（可用性、機密性）の一部を担うのです。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/04(火) 18:39:44

ということで本日ToをAndrew Mortonにして、mmツリー用のパッチを投稿しました。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/05(水) 13:55:22

Linux Foundation Japanの第9回目のシンポジウムの案内が掲載されています。
カーネル開発に興味を持たれている方であれば、必見のイベントです。
（同時通訳もあります）
ttp://jp.linuxfoundation.org/?q=node/17

**デムパゆんゆん潜行中** · 2008/11/05(水) 17:07:03

せんとくん5.2
kernel 2.6.28-rc3 tomoyo patch rev 1776 ccstools rev 1765
起動できたアル　これから強制アクセスモードに多分入る。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/05(水) 17:14:14

>>553
> ということで本日ToをAndrew Mortonにして、mmツリー用のパッチを投稿しました。
ttp://lwn.net/Articles/305824/
です。mmツリーはAndrew Mortonが管理しているので、ToはAndrew Mortonに
なっています。今のところ返事がないですが、ここは別に返事がなくても問題なくて、
Andrew Mortonがmmに取り込み、アナウンスしてもらえばおkです。

-mm treeは、linux-nextに役目を渡すはずなのですが、今は両方とも存在していて、
内容が異なっているというのは、不思議といえば不思議、変と言えば変ですが、
そういうことはみんな気にしないようです。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/05(水) 23:02:54

最近、このスレの上に表示されるキーワードに「たい」というのがあるのですが、
これは一体何のことなのでしょうか？？？
>キーワード【 James カーネル TOMOYO たい BoF マージ SELinux 】

**login:Penguin** · 2008/11/06(木) 07:30:31

>>556
取り込まれると-mmにいれたよんて返事が関係者の所に届きます。
のでその連絡を待ちませう。

nextはgit pull出来る所しか追っかけてくれんので、
当分はこのままじゃないかねえ。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/06(木) 08:27:39

>>558
login:Penguinさん、ありがとうございます。
>取り込まれると-mmにいれたよんて返事が関係者の所に届きます。
>のでその連絡を待ちませう。
そうですね。
今までの流れからいって、-mmに入れてもらうことには問題なくて、
Andrew Morton様の作業待ちだと思っています。連絡がきたら、
ここで「速報」しますw

>nextはgit pull出来る所しか追っかけてくれんので、
>当分はこのままじゃないかねえ。
最後は自分でgit treeを持たないといけないのかもしれません。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/06(木) 08:31:27

日本時間の8:14にAndrewから3件コメントがついていました。
内容を確認して対応します。
でふぁ

**login:Penguin** · 2008/11/06(木) 11:55:30

>>557
単純に「たい」で検索してみると、結構「したい」とかたくさん出てますねぇ。
キーワード抽出のトーカナイザの癖かなんかで抽出されちゃってるのでは？

**login:Penguin** ◆XkB4aFXBWg · 2008/11/06(木) 17:43:46

ttp://lists.sourceforge.jp/mailman/archives/tomoyo-users/2008-November/000504.html

**login:Penguin** · 2008/11/06(木) 17:57:15

>>562
> 細かな経緯と状況は、2chのスレで読んでいただくとして、
ワロタ

**login:Penguin** ◆XkB4aFXBWg · 2008/11/06(木) 21:23:14

>>563
もはやここはプロジェクトの正式ページなのだ。
（しかも自分のブラウザのホームページだったりして）

2ch最高！ありがとうひろゆき（すみません。ちょっと酔ってます）

**デムパゆんゆん潜航中** · 2008/11/06(木) 21:54:15

夜はクラブ　TOMOYO Linuxになるのか　指名料サービス料いるんだな。

それにしてもアンドリュ～様の本気ワロタ
2.6.29でなんか大幅に変わるふいんきでありますが、
入れるなら2.6.28にねじ込みたいと思って急かしてるんかのぅ。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/11(火) 18:50:00

>>565
>それにしてもアンドリュ～様の本気ワロタ
Andrew Mortonは、きっと同じ調子（同じくらいの本気さ）で、全てのmmの
パッチを見ているのです。空恐ろしさを感じさせるほどのパワーです。
>2.6.29でなんか大幅に変わるふいんきでありますが、
>入れるなら2.6.28にねじ込みたいと思って急かしてるんかのぅ。
「挑戦状」のやりとりは今日も続いていますが、なかなか厳しいです。
でも、多分終盤には入っています。反応をやめたらマージされなくなるわけで、
背水の陣です。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/11(火) 18:54:42

今から3年前の2005年の11月11日に、TOMOYO Linuxをオープンソースとして
公開しました。ちょうど3歳です。その日に、青山ダイヤモンドホールで開催された
VA Linux Kernel Conference 2005で講演をしました。そして、その同じホールで
開催されたPacSec2007でTOMOYOの紹介をしました。PacSec2007の発表は、
その翌年のFOSDEM2008など海外に向けた発信の出発点です。

ダウンロードして使ってみたり、記事やwebを読んでくれた人たちがいたから、
ここまでこれた気がします。ありがとうございました。(_ _) もう少しがんばります。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/11(火) 19:06:30

SDさんですが、ここだけの話、今月号の編集で何かトラブルがあったそうで、
現在連絡待ちが続いています。そろそろ今月締め切りの作業が収束するでしょうから、
近いうちに連絡いただけると思います。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/14(金) 23:24:11

「挑戦状」への回答は続いていますが、なんとSF.jpでgitのサポートが始まりました。
ttp://sourceforge.jp/forum/forum.php?forum_id=16362

これでいつマージされても困らないんだがなぁ。

**login:Penguin** · 2008/11/18(火) 21:06:00

ttp://tomoyo.sf.net/ の TOMOYO Linux @SourceForge.jp のリンクおかしい

**login:Penguin** ◆XkB4aFXBWg · 2008/11/19(水) 00:04:42

>>570
>ttp://tomoyo.sf.net/ の TOMOYO Linux @SourceForge.jp のリンクおかしい
確認し、修正しました。どうもご指摘ありがとうございました。(_ _)

**login:Penguin** · 2008/11/19(水) 00:41:23

あ、ついでに書こうと思ってたことあったけどもう直されてたか…まぁいいや

せっかく英語のML作ったんならそっちのことも書いてあげたほうがいいのでは?

**login:Penguin** ◆XkB4aFXBWg · 2008/11/19(水) 00:47:23

>>572
今ならオンラインなので、ついでに直します (^^v

**login:Penguin** ◆XkB4aFXBWg · 2008/11/19(水) 00:51:22

と思ったのですが、資料の準備はともかくとして、明日の朝、
台湾に出発する準備がまるでできていないので、とりあえず
お気づきの点があればこちらに書いておいてください。時間がとれた
ところで対応します。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/20(木) 10:25:00

会場に到着しました。日本との時差は1時間で、日本時間から1を引いたのが台湾の時刻に
なります。おもしろい発表があれば報告します。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/20(木) 10:40:15

会議室は300人くらい入る部屋ですが、前のほうにパネルがかけてあって、
それを見て初めて FreedomHECがFreedom Hardware Engineer Conferenceの
略であることがわかりました（遅杉！）

**login:Penguin** ◆XkB4aFXBWg · 2008/11/20(木) 10:45:30

そう思ってプログラムを見ると、確かにハードよりの内容が多いです。(=_=;
ttp://freedomhectaipei.pbwiki.com/

まあ、しかしそこは呼ぶほうが悪いということで。(^^;
資料は鋭意作成中です・・・

**login:Penguin** ◆XkB4aFXBWg · 2008/11/20(木) 12:15:56

Junio Hamanoさんのgitの講演が始まりました。資料は、既にサーバに
載っています。
ttp://userweb.kernel.org/~junio/

**login:Penguin** · 2008/11/20(木) 13:10:21

>>576
MS系技術者だとWinHECって大きなイベントが毎年ありまふ。
ttp://www.microsoft.com/japan/whdc/winhec/default.mspx

というか、それに連動してつけられた名前だと思いまふ。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/20(木) 13:53:35

>>579
なるほどそうでありましたか。情報ありがとうございまふ。

Hamanoさんとお話をしました。Hamanoさんは、あまり自分の写真を
掲載するのが好きでないそうで、ネットに1枚しか載せていないそうでふ。
奥さんといらしていますが、俳優の吉田栄作さんに似たイケメンでふ。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/20(木) 16:04:39

ttp://picasaweb.google.com/haradats/FreedomHECTaipei2008#

**login:Penguin** · 2008/11/20(木) 22:42:20

いまどきTOMOYOはないだろ？
喰霊-零-あたりから名前貰ってくればいいのに

**login:Penguin** · 2008/11/21(金) 06:45:37

>>582
今だからこそ TOMOYO なんです。
http://hp.vector.co.jp/authors/VA022513/guchi.html#88

**login:Penguin** · 2008/11/21(金) 12:44:28

一過性のブームで終わる作品と、長く支持される作品の違いって、
若い人にはわからんからな。

**login:Penguin** ◆XkB4aFXBWg · 2008/11/21(金) 16:34:21

ということで、発表は二人とも無事に終わりました。(_ _)　いい感じに燃え尽き中・・・
次は、Eee PCの発表でつ

**login:Penguin** · 2008/11/21(金) 16:51:34

>>585
おつかれさまでした

**login:Penguin** ◆XkB4aFXBWg · 2008/11/21(金) 17:07:32

>>586
ありがとうございます
説明もデモも意味は伝わったと思います
これがきっかけになって台湾やアジアの人たちに使ってもらえるとうれしいです