From from-tomoyo-users ＠ I-love.SAKURA.ne.jp Thu Nov 11 22:17:19 2010 From: from-tomoyo-users ＠ I-love.SAKURA.ne.jp (Tetsuo Handa) Date: Thu, 11 Nov 2010 22:17:19 +0900 Subject: [Tomoyo-dev 1268] =?iso-2022-jp?b?VE9NT1lPIExpbnV4IDEuOC4wIBskQiRyJWolaiE8JTkbKEI=?= =?iso-2022-jp?b?GyRCJDckXiQ3JD8hIxsoQg==?= Message-ID: <201011112217.HCC82801.tUNPTNSPVGFSTtPPZ@I-love.SAKURA.ne.jp> 　熊猫さくらです。 　今回は５周年記念リリースです。 TOMOYO 1.0 は２００５年１１月１１日に公開 されました。あの名前騒ぎから丸５年、様々な強化が行われ、一部の機能については メインラインカーネルに含まれるまでになりました。応援ありがとうございます。 TOMOYO 1.8.0 では、古くなった部分を除去しながら単純化と機能強化を図りました。 ポリシーの構文が 1.7.x とは異なるので、ポリシーファイルの互換性はありません。 変更点の全てをここに引用するには長すぎるので、５点だけ。 （１）操作内容単位ではなく、アクセス許可１個を単位としてアクセス許可ログの 　　　要不要を指定できるようになりました。主に、大量の open() リクエストを 　　　行う Apache や大量の ioctl() リクエストを行う qemu-kvm 向けの強化です。 （２） Unix ドメインソケットを用いたホスト内通信を制限できるようになりました。 　　　virt-manager などのＧＵＩアプリケーションを稼働させるためにデスクトップ 　　　環境を導入すると、 Unix ドメインソケットを用いた通信が多用されます。 　　　Unix ドメインソケットを用いた通信は SELinux の方がより上手に制限できる 　　　のでしょうが、 TOMOYO だけでもある程度の制限をできるようにしました。 （３）ファイルやディレクトリの属性を取得する操作およびディレクトリの内容を 　　　参照する操作についても制限できるようになりました。主に、 stat() や 　　　readdir() についても制限したいユーザ向けです。 Firefox などがクラック 　　　された場合にホームディレクトリ内のファイルリストを取得されたくないという 　　　要望に応えるために実装しました。ただし、デフォルトでは stat() や 　　　readdir() についてグローバルに許可するような例外ポリシーが生成されます。 　　　これは、 stat() や readdir() を認めることによるダメージは他の操作を 　　　認めることによるダメージよりも小さいためです。 （４） KABI (kernel ABI) 維持モードをサポートしました。ディストリビュータの 　　　カーネルパッケージには含まれていない外部のカーネルモジュールについて 　　　再コンパイルすることなく利用できるようにするための拡張です。例えば 　　　RHEL5.5 では qemu-kvm が使用するカーネルモジュールはカーネルパッケージ 　　　にではなく qemu パッケージに含まれているため、 TOMOYO 対応カーネルで 　　　qemu-kvm を使うには qemu パッケージも再コンパイルする必要がありましたが、 　　　KABI 維持モードでコンパイルすることにより qemu パッケージを再コンパイル 　　　する必要が無くなります。 （５）コンパイル後のオブジェクトサイズが最大で約２２％小さくなりました。主に 　　　Android や MeeGo や CAT760 などといった、ディスク領域に制限がある組込み 　　　環境向けの改良です。 TOMOYO 1.7.2 でサポートされていた全てのカーネルを TOMOYO 1.8.0 でもサポート しています。 バニラカーネル： * 2.4.30 - 2.4.37.10 * 2.6.11.12 - 2.6.37-rc1 ディストリビュータのカーネル： * Fedora 11/12/13/14 * CentOS 3.9/4.8/5.5 * RHEL 6 * Debian Etch/Lenny/Squeeze * Ubuntu 6.06/8.04/8.10/9.04/9.10/10.04/10.10 * OpenSUSE 11.0/11.1/11.2/11.3 * Vine Linux 4.2/5.1 * Asianux 2.0/3.0 * Gentoo * Hardened Gentoo * その他 ご要望があれば上記以外のカーネル向けのパッチを作成することもできます。しかし、 要件によっては AKARI ( http://akari.sourceforge.jp/comparison.html ) を 利用したほうが良いかもしれません。 AKARI は TOMOYO 1.8.0 をベースにカーネル モジュール形式で実装されたＬＳＭモジュールです。そのため、ディストリビュータ用 カーネルを置き換えることなく、 TOMOYO 1.8.0 の機能の大部分を利用することが できます。（ Fedora 14 や RHEL 6 のカーネルには TOMOYO 2.x は組み込まれて いませんが、代わりに AKARI を組み込んで利用することができます。） TOMOYO 1.7.x については、今後は機能拡張は行いません。バグフィックスサポートは 継続されますので、 1.7.x を利用されている方は 1.8.x にアップグレードする必要は ありません。（ただし、 1.7.x はカーネル 2.6.37 までしかサポートしない予定です。 カーネル 2.6.38 以降は 1.8.x でのサポートとなります。） なお、 1.6.x を利用されている方は、 1.7.x または 1.8.x へのアップグレードを ご検討ください。 1.6.x でサポートされているカーネルの多くは既に End of Life を 迎えていることですし。 tomoyo-users ML は静かですが、 tomoyo-users-en ML では要望や質問が寄せられる ようになってきました。このメールではカバーしきれていない部分については tomoyo-users-en ML のアーカイブを読むと理解できるかもしれません。 From haradats ＠ nttdata.co.jp Fri Nov 26 13:20:01 2010 From: haradats ＠ nttdata.co.jp (Toshiharu Harada) Date: Fri, 26 Nov 2010 13:20:01 +0900 Subject: [Tomoyo-dev 1269] =?iso-2022-jp?b?GyRCPzclYSE8JWolcyUwJWolOSVIMytAXyROJCpDTiRpGyhC?= =?iso-2022-jp?b?GyRCJDsbKEI=?= Message-ID: <4CEF3571.10109@nttdata.co.jp> tomoyo-users-en では最近、TOMOYOの仕様や使い方に関する 投稿が徐々に増えています。そこで、今回新たに TOMOYO Linuxの開発に関する英語での議論用の メーリングリストを作成しました。 http://lists.sourceforge.jp/mailman/listinfo/tomoyo-dev-en 既存のメーリングリスト、tomoyo-users, tomoyo-users-en, tomoyo-dev同様、是非ご利用ください。 -- 原田季栄 (Toshiharu Harada) haradats at nttdata.co.jp