Na verdade, se você executar uma distribuição moderna do Linux, como o Fedora ou o CentOS, é provável que você já tenha um "sistema SELinux".
Pense nisso como esta analogia: imagine uma sociedade cujo sistema de governo é "anarquia". Qualquer um pode fazer qualquer coisa. Tribos individuais podem estabelecer áreas localizadas de controle, níveis básicos de ordem, mas no todo, no nível regional ou global, a civilização está na anarquia, e a pessoa ou pessoas que têm a mais pura influência ou poder (força física, tecnologia , etc) pode muito bem fazer o que quiser, sem qualquer repercussão.
É assim que um sistema é quando o SELinux não está instalado ou instalado, mas não é obrigatório.
Agora imagine uma sociedade cujo sistema de governo envolve o "Estado de Direito", que é um conceito que significa que, em vez de pessoas governarem a sociedade, um conjunto formal de regras escritas em regras de um livro sociedade.
É assim que um sistema é quando o SELinux é instalado e aplicado.
Agora, concedido, é possível habilitar o SELinux, configurá-lo para aplicar e limpar o livro da lei, e ter um livro em branco , ou escrever "Você tem permissão para fazer absolutamente qualquer coisa que você quiser "- o que nos traz de volta à anarquia. Classificar . Mas se o livro da lei de repente muda de modo que ele contenha algumas restrições reais, como, assassinato é ilegal, roubo é ilegal, etc., então de repente a sociedade pode começar a ter algum grau de ordem. E não será possível, em geral, que as pessoas com muito poder simplesmente usem isso para fazer o que quiserem, porque as leis podem restringir o que podem fazer.
Para os propósitos da analogia, vamos fingir que as pessoas nunca fazem coisas que são ilegais, porque no mundo do software, um programa não pode ignorar uma política do SELinux (também conhecida como "quebrar o lei ") só porque realmente quer . Na sociedade humana regular, podemos, é claro, violar a lei, e depois há consequências para isso. Na sociedade SELinux, você simplesmente não quebra a lei, nunca, ponto final.
Como você pode imaginar, a quantidade de sobrecarga administrativa em um sistema SELinux depende muito de:
- quantas políticas você ativou;
- quão restritivas são essas políticas;
- quão específicas são essas políticas;
- se você tem políticas configuradas como listas negras ou brancas (listas negras bloqueiam coisas que você sabe que são ruins, enquanto listas brancas exigem que você adicione explicitamente o suporte a itens que deseja permitir, porque tudo está bloqueado por padrão).
O SELinux pode restringir praticamente qualquer aspecto do sistema controlável a partir do kernel do Linux: acesso a dispositivos de hardware, acesso a arquivos de leitura ou gravação, acesso a APIs do sistema, acesso a determinados tipos de rede ou determinados escopos de rede. e assim por diante. O SELinux implementa efetivamente o Controle de Acesso Obrigatório, no qual você deve continuar lendo sobre Wikipedia .
O ponto importante que eu queria inserir em você com essa resposta é que a quantidade de trabalho extra e o tempo gasto lidando com o SELinux depende inteiramente de quão restritiva você faz as políticas. Por exemplo, imagine viver em uma sociedade onde você precisa obter a aprovação de quatro pessoas toda vez que quiser embarcar em um avião: um juiz do Supremo Tribunal, o presidente, um membro da Câmara dos Representantes e um senador. Esta seria uma política extremamente restritiva, e você teria que passar por muitas aprovações para entrar em um avião. No mundo do SELinux, isso seria semelhante à lista negra de todos os acessos ao sistema de arquivos por padrão, e exigiria a permissão explícita do acesso de usuários individuais a arquivos individuais.
Lembre-se que eu disse anteriormente que o Fedora e o CentOS já implementam o SELinux? Você provavelmente nem percebe que eles fazem isso, a menos que você baixe e execute programas específicos que tentam fazer coisas que fazem um filtro SELinux. A Red Hat ajustou cuidadosamente seus filtros SELinux ao longo do tempo para permitir que quase todas as atividades de programas não mal-intencionados passem sem obstáculos, mas possui algumas políticas que devem ajudar a impedir ataques, sem sobrecarregar o administrador do sistema.
Em suma, o SELinux, na forma como é implementado de imediato nas distribuições baseadas na Red Hat, aumenta a segurança sem afetar significativamente a usabilidade. Você pode, é claro, tornar ainda mais seguro de lá, mas também reduziria a usabilidade; ou, você poderia torná-lo ainda mais utilizável , mas também reduziria a segurança.