O que falta na minha instalação do SELinux?

Question

De acordo com Introdução ao SELinux , seção 14.4.2,

SELinux support is built into the standard kernels provided by Debian. The core Unix tools support SELinux without any modifications.

Instalei os pacotes selinux-basics e selinux-policy-default no meu sistema Debian Wheezy ( stable ), e vi que ele carregava algumas políticas durante a instalação, então Tenho certeza que a instalação correu bem.

Eu editei / etc / default / grub para dizer:

GRUB_CMDLINE_LINUX="selinux=1 audit=1 enforcing=0"

(essa variável costumava estar vazia) e executou o update-grub. /boot/grub/grub.cfg inclui os parâmetros do kernel relacionados ao SELinux.

Eu criei um arquivo /.autorelabel com base na ramificação "enable" do script / usr / sbin / selinux-activate.

Eu reiniciei o sistema depois de fazer as alterações acima. Nada fora do comum aconteceu durante a reinicialização.

dmesg | head saídas, entre outras:

Command line: BOOT_IMAGE=/boot/vmlinuz-3.2.0-4-amd64 root=UUID=c050d662-f94a-447a-9342-0fc69f65a513 ro selinux=1 audit=1 enforcing=0 quiet pci=nomsi

Tanto quanto eu posso dizer, tudo está no lugar. Ainda assim, parece não estar funcionando. id -Z returns:

$ id -Z
id: --context (-Z) works only on an SELinux-enabled kernel
$

sestatus dá:

# sestatus
SELinux status:                 disabled
#

check-selinux-installation dá:

# check-selinux-installation
getfilecon:  getfilecon(/proc/1) failed
SELinux is not enabled.
Could not read the domain of PID 1.
/etc/pam.d/login is not SELinux enabled
Postfix init script is syncing the chroots.
Postfix has chrooted service in master.cf
FSCKFIX is not enabled - not serious, but could prevent system from booting...
#

O que falta para o SELinux ser ativado no meu sistema?

    

Answer 1

Como apontado nos comentários, você precisa passar o parâmetro security=selinux para o kernel também. Nos sistemas Debian, isso deve ser adicionado automaticamente à configuração do grub por selinux-activate .

Kernel documentação explica o parâmetro security :

[SECURITY] Choose a security module to enable at boot. If this boot parameter is not specified, only the first security module asking for security registration will be loaded. An invalid security module name will be treated as if no module has been chosen.

No Debian isso é relevante, pois o Debian também suporta o módulo de segurança do AppArmor.