O SELinux fornece segurança extra suficiente para valer o incômodo de aprendizado / configuração?

Question

Eu instalei recentemente o Fedora 14 no meu pc em casa e tenho trabalhado na configuração de diferentes recursos relacionados ao servidor, como apache, mysql, ftp, vpn, ssh, etc. Corri extremamente rápido para uma barreira que parecia quando eu descobri o SELinux que eu não tinha ouvido falar anteriormente. Depois de fazer algumas pesquisas, parecia que a maioria das pessoas achava que você deveria desativá-la e não lidar com o incômodo. Pessoalmente, se realmente acrescentar mais segurança, não me oponho a lidar com as dores de cabeça de aprender como configurá-lo apropriadamente. Eventualmente eu pretendo abrir minha rede para que este pc possa ser acessado remotamente, mas eu não quero fazer isso até que eu esteja confiante de que é seguro (mais ou menos). Se você configurou e começou a funcionar corretamente, você acha que valeu a pena o tempo e os problemas? É realmente mais seguro? Se você optou por não usá-lo, foi essa decisão fundamentada em alguma pesquisa que vale a pena considerar na minha situação também?

    

Answer 1

O SELinux aprimorou a segurança local, melhorando o isolamento entre processos e fornecendo políticas de segurança mais refinadas.

Para máquinas com vários usuários, isso pode ser útil devido às políticas mais flexíveis e aumenta as barreiras entre os usuários, de modo que ele acrescenta proteção contra usuários locais maliciosos.

Para servidores, o SELinux pode reduzir o impacto de uma vulnerabilidade de segurança em um servidor. Onde o invasor puder obter privilégios de usuário local ou root, o SELinux poderá permitir que ele desative um serviço específico.

Para um uso doméstico típico, onde você será o único usuário e desejará poder fazer tudo remotamente, uma vez autenticado, você não obterá nenhuma segurança do SELinux.

    

Answer 2

O problema com o SELinux para pessoas que não são de TI como eu é que ele não se identifica como causa de problemas de permissão - em outras palavras, os erros que você recebe não são distinguíveis de outros erros mais comuns e o SELinux é o último lugar irá procurar ou para o qual você será capaz de obter respostas publicamente. Este é o pior tipo de recurso IMO.

link