Модуль FF

Нравится мне своей простотой и возможностями одновременно. Его удобно использовать, когда необходимо просто добавить некоторые дополнительные флаги для файлов, каталогов и каналов FIFO, глобально для всех пользователей, не сильно утруждая себя работой с более сложными моделями. При включении данного модуля появляется возможность установить еще деcять дополнительных параметров:

n  execute_only – (для FILE, FIFO, SYMLINK) возможно только исполнение;

n  search_only – (DIR) обеспечивается полное закрытие каталога от проникновения;

n  read_only – (FILE, FIFO, SYMLINK, DIR) возможно только чтение;

n  write_only – (FILE, FIFO, SYMLINK) возможна только запись (но не чтение), применив данный флаг к каталогу /var/log, в котором находятся файлы журналов, при наследовании (см. ниже) мы не сможем их прочесть;

n  secure_delete – (FILE) безопасное урезание и удаление, при котором освобожденное место заполняется нулями (только для ext2, ext3, msdos/vfat, minix);

n  no_execute – (FILE) возможно что угодно, только не выполнение, назначив этот флаг на пользовательский каталог /home, мы лишим их возможности запуска своих программ;

n  no_delete_or_rename – (FILE, FIFO, SYMLINK, DIR) нельзя удалять или переименовывать отмеченные таким образом файлы и каталоги;

n  append_only – (FILE, FIFO, SYMLINK) доступ на запись ограничен только APPEND_OPEN и WRITE, на чтение доступ разрешен, установив данный флаг на каталог с файлами журналов, вы сможете дописывать в них информацию и читать;

n  add_inherited – (FILE, FIFO, SYMLINK, DIR) если установлен, то к собственным флагам объекта будут добавлены и флаги родительского каталога, при этом он включен по умолчанию для всех, кроме флагов no_delete_or_rename и add_inherited, которые всегда должны быть установлены явно;

n  no_mount – запрещает монтировать устройство.

Эти флажки проверяются при каждом доступе к данным целевым типам, и только пользователи в sys-tem_role «security officer» могут изменять флажки. Атрибуты независимы друг от друга и разграничены, т.е. все атрибуты, которые установлены, будут применены, например, execute_only и no_execute вместе (или read_only и write_only) не ведут ни к какому доступу. Или, установив на каталоге флаги search_only и execute_only, вы можете производить поиск файлов (не чтение) в каталоге и запускать файлы на выполнение, и больше ничего. Имеет смысл установить для каталогов /sbin, /bin, /usr/sbin, /usr/bin и других, содержащих исполняемые файлы, флаги search_only и read_only, позволим тем самым обращаться к файлам, зная полный путь и запретив изменять находящиеся внутри файлы, или, имея только двоичные файлы, установить для них флаг execute_only, позволив лишь только запуск на исполнение и ничего более и защитив их от подделки. По-моему, по сравнению со стандартной моделью у сисадминов появилось больше возможности контролировать доступ. Но, например, если необходимо контролировать доступ с точностью до миллиметра, этого будет явно недостаточно, в этом случае в самый раз придется следующий модуль.