🚀 go-pugleaf

> Nieprawda. Mają jeszcze dobrą heurystykę.

ma albo nie ma ;) ja tam wole miec pewnosc :P

> Po pierwsze: serwer gier chodzi na własnym użytkowniku, więc wytnie
> tylko swoje dane.

ok, niekoniecznie musi byc to zatem "profesjonalny" serwer gier. w
czesci z nich (np w oidp: CoD:MW2) "część" serwerowa jest jednoczesnie
"częścią kliencką" (w sensie: jak instalujesz sobie klienta i
*normalnie* uzywasz, to, w zaleznosci od twoich pingow, czesc
"serwera" hostuje sie na twoim kompie, w tle bez dodatkowej
konfiguracji)- a wiec, w razie czego, aplikacja ma dostep do twoich
danych.
zreszta- nie musi byc to serwer gier, moze to byc dowolna aplikacja -
np firefox czy cokolwiek innego dzialajacego na twoim "zwyklym"
koncie.

> Po drugie niespecjalnie wiem jak np. takie coś mogłoby
> powstrzymać przed skasowaniem wszystkich plików należących do takiego
> użytkownika (skoro program i tak je modyfikuje/kasuje).

ok, powiedzmy ze chcesz sobie posluchac muzyki z rhtyhmboxa przez
siec /nie wiem czy rb wspiera upnp, ale daje go tylko jako przyklad/.
normalnie, program ma prawo do odczytu i zapisu wszystkich plikow
bedacych w katalogu Music; ktore to maja standardowy context nazwijmy
to music_player_t. selinux jest tak skonfigurowany, by rhythmbox /badz
jakikolwiek inny player z repo/ mial dostep (RW) do plikow z wyzej
wspomnianym contextem.
teraz powiedzmy, ze ktos chce wykorzystac najnowszego exploita dla
naszego playera, i odczytac np historie naszej przegladarki-
zakladajac, ze mamy system domowy, i takowy rhythmbox odpalany jest
przez tego samego uzera, co firefox, to, bez selinuksa /albo
jakiegokolwiek innego MACa/ napastnik ma dostep do naszej historii.
teraz jak to wyglada z selinuxem wlaczonym: w pewnej chwili wspomniany
player chce uzyskac dostep do czegos co nie ma contextu zdefiniowanego
dla niego (music_player_t); nie uzyska on dostepu do innych danych
(niz te z owym contextem) a admin zostanie powiadomiony o tym.
osobiscie- polecam poczytac sobie o Mandatory Access Control - windows
niby cos takiego ma (Windows Integrity Levels), ale jest to upierdliwe
w uzyciu /i juz, zasadniczo, skopane by design/.

> Skąd policy miałby wiedzieć, że w danym kontekście akurat te pliki
> są nieusuwalne?

okreslona binarka ma dostep (zapis, odczyt) tylko do plikow z
okreslonym dla niej contextem- jezeli zacznie szalec po innych
katalogach, to nie uzyska ona dostepu do nich i beda warningi.

> Ale skąd się te regułki wzięły?

hm... najprosciej mozna je stworzyc odpalajac binarke z selinuksem
wlaczonym w tryb "uczenia sie" i pozniej sobie je doszlifowac. i
naprawiac bledy ktore inni uzerzy twoich regulek nadesla
(automatycznie)

> No ale w Windows to też się nie da zrobić rm / tak po prostu,
> więc IMHO atak musiałby być targetowany na konkretne podkatalogi.

wystarczy ze wykona rm w katalogu uzytkownika- system jako-taki
przezyje, dane juz nie

> Tak jak mówiłem: antywirus/firewall raportuje że binarka jest zmodyfikowana
> lub wykonuje jakieś (określone przez producenta antywirusa) podejrzane akcje,
> lub że próbuje się połączyć na nowy port (jak się zgodzisz, to po pierwszym
> razie już danego portu nie raportuje dla danej aplikacji).

szkoda ze dafaultowy firewall od windowsa tego nie umozliwia (no,
chyba ze sie myle? prosilbym mnie poprawic)

pozdrawiam serdecznie
szymon