Root a cikin terminal, an ƙi a ƙarƙashin SELinux: me ya sa hook ya kasa

Kuna gudanar da rubutun up a matsayin root, yana kammala, kuma wannan rubutun yana kasa lokacin da sabis ɗin ya kira shi. Babu abin da ya canza a cikin izinin fayil ɗin, don haka mataki na gaba na halitta shi ne sake sassauta su, wanda ba ya gyara komai. A kan mai masaukin SELinux, abin da ke yanke hukunci sau da yawa ba wanda tsarin yake ba ne, amma a wace yanki yake gudana, kuma root a cikin yanki mai iyaka har yanzu yana da iyaka.

Wannan umarnin, yankuna biyu daban-daban na tsaro

Tilasta nau’in yana kimanta yankin tushe, alamar manufa da aikin da aka nema tare. Zaman tashar ka yana gudana a cikin yanki marar iyaka ko na mulki, kuma daemon ɗin yana gudana a cikin yankin da aka ba na’urarsa. Don haka umarni iri ɗaya suna ba da hukunci daban-daban, kuma bambancin da gangan ne ba kuskure a cikin manufar ba.

Wannan shine dalilin da ya sa kwatanta gudanarwar biyu yana da amfani kawai idan ka kwatanta mahallinsu. Gudanar da wannan umarnin daga harsashi da daga hook, kuma sigar harsashi tana tabbatar da cewa binary ɗin yana nan kuma gardama sun yi daidai; ba ta tabbatar da komai game da ko an ba sabis ɗin izinin gudanar da shi ba. Gudanar da shi ta hanyoyi biyu kuma kwatanta yankunan, ba kawai lambobin fita ba. Wannan kwatancen shine ke mai da korafin izini marar tabbas ya zama takamaiman tambaya game da yanki ɗaya da alama ɗaya.

Sigar gargajiya ta wannan kuskure ita ce mataimaki da ke kira kayan aiki na waje. Hook ɗin kansa na iya samun izini, yayin da kayan aikin da yake kira yana ɗauke da alamar da yankin sabis ɗin ba zai iya gudanar da ita ba, ko kuma yana rubutu cikin babban fayil da alamarsa ta haramta hakan.

Karanta rikodin AVC kusa da kuskuren hook ɗin

Ƙin AVC yana ambaton filayen da ke yanke hukunci: mahallin tushe na tsari, mahallin manufa na abu, ajin abu, da takamaiman izinin da aka ƙi. Karanta duka huɗun kafin ka ƙirƙiri ka’ida, domin ƙin kan aiwatarwa da ƙin kan rubutu suna da gyare-gyare mabambanta gaba ɗaya.

ausearch -m AVC,USER_AVC -ts recent
ls -Z /usr/local/sbin/vpn-up.sh
ps -eZ | grep openvpn

Mahallin tushe ya kamata ya dace da yankin da sabis ɗin ke gudana a zahiri, kuma mahallin manufa ya dace da alamar fayil ɗin ko babban fayil ɗin da aikin ya taɓa. Idan ɗaya daga cikinsu bai dace da kuskuren da kake bin ba, kana karanta wani abin da ya faru.

Lura da sigar manufar da ainihin hanyar fayil ɗin da ake aiwatarwa tare da rikodin. Sunan yanki da ya bayyana a manufar rarrabawa ɗaya shaida ne game da wannan shigarwa, ba tabbacin cewa wani gini yana kawo irin waɗannan dokoki ba. Wannan mahallin ne ke ba wani damar sake maimaita ƙarshewar ku a kan nasa mai masaukin. Ba tare da shi ba, ana karanta rikodin a matsayin tatsuniya maimakon shaida.

Alama, daidaitawa ko manufa: gyare-gyare uku

Gyaran farko shine alamar da ba ta dace da wurin da aka shigar da fayil ɗin ba. Rubutun da aka kwafa zuwa wurinsa da cp ko aka rubuta da edita na iya ɗauke da tsohuwar alama wadda yankin sabis ɗin ba zai iya amfani da ita ba, kuma maido da mahallin da ake tsammani yana gyara hakan ba tare da taɓa manufar ba.

Na biyu shine daidaitawa. Rarrabawar na iya bayar da hanyar da aka goyi bayan gudanar da aikin, babban fayil ɗin da aka rubuta don mataimakin, ko fakitin manufa da aka sabunta wanda tuni ya ba da izini. Canza tsarin ku zuwa wanda aka goyi bayan ya fi arha fiye da rubuta manufa kuma yana jurewa sabuntawa.

Na uku shine doka da ta ɓace da gaske, kuma ya kamata ta zama hanya ta ƙarshe. Ƙirƙiri ɗan takara da kayan aikin bincike, karanta abin da yake ba da izini a zahiri, taƙaita shi ga aikin da yankin da ka lura, kuma ka sa wani ya duba shi kafin ya kusanci samarwa.

Me ya sa tsohon allow module ba shine amsar ba

Sakamakon bincike na wannan kuskure cike yake da shirye-shiryen module, sau da yawa don kayan aikin da hook ɗin baya kira. Shigar da ɗaya yana ba da izinin da ƙila ba su da alaƙa da ƙin ku, kuma yana barin ainihin rashin daidaito a wurin yayin da yake ƙara rami na dindindin.

Hakanan yana ɓoye gazawar ta gaba. Module da ke ba da izinin babban aji na ayyuka zai sa wannan kuskuren ya ɓace kuma ya mai da na gaba wani abu da ya fi wuya a danganta shi. Cire module ɗin daga baya ma canji ne da babu wanda yake son tsarawa, don haka gajeriyar hanya tana ƙoƙarin zama ta dindindin.

Kwatanci mai ladabtarwa yana tsakanin ƙin da za ka iya karantawa da canjin da kake ba da shawara. Jagoran Red Hat na magance matsalolin SELinux yana sanya binciken alama da daidaitawa gaba da manufar da aka ƙirƙira saboda wannan dalili. Idan babu wani ƙin da ya dace a cikin rikodin, SELinux mai yiwuwa ba shine matsalar ku ba, kuma matsalolin hanya, sandbox ko izini har yanzu a buɗe suke.