Probleme mit SELinux auf USB Disk

[Vassilios Kotoulas]

Hi,

ich habe eine USB Disk, die ich fuer Backups verwende. Immer wenn ich darauf zugreife 
habe ich sehr viele Logeintraege der folgenden Art im Syslog:

Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188549
Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188600
Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188601
Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188602
Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188550
Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188603
Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188604
Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188605
Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188606
Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188607
Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188608
Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188551
Sep 17 15:15:34 kra kernel: inode_doinit_with_dentry:  context_to_sid(unlabeled) returned
22 for dev=sda1 ino=14188609
Sep 17 15:15:35 kra kernel: turned 22 for dev=sda1 ino=14188774

Dies ist nur ein sehr kleiner Auszug, es sind zum Teil hunderte von Logeintraege. Da
SELinux auf 
permissive laeuft habe ich zwar keine Funktionseinschraenkung, moechte aber die Eintraege
loswerden.
Ich habe schon ein
restorecon -R /media/disk
ausprobiert, hatte aber keinen Erfolg damit. Auch ein fixfiles hat nichts geaendert. Es
handelt
sich um ein ext3 FS.

Jemand eine Idee? 

Gruss
Vassilios

[Frank Büttner]

Schicke mal die Ausgabe von mount.

[Vassilios Kotoulas]

On Sun, 2006-09-17 at 15:52 +0200, Frank Büttner wrote:
>  Schicke mal die Ausgabe von mount. 
[root@kra:~] mount
/dev/hda1 on / type xfs (rw)
none on /proc type proc (rw)
none on /dev/pts type devpts (rw,gid=5,mode=620)
/dev/hda3 on /mnt/hda3 type xfs (rw,noexec,nosuid,nodev)
/dev/hda4 on /data type xfs (rw,noexec,nosuid,nodev)
none on /dev/shm type tmpfs (rw)
none on /proc/sys/fs/binfmt_misc type binfmt_misc (rw)
sunrpc on /var/lib/nfs/rpc_pipefs type rpc_pipefs (rw)
nfsd on /proc/fs/nfsd type nfsd (rw)
/dev/sda1 on /media/disk type ext3 (rw,noexec,nosuid,nodev)

-- 
Vassilios Kotoulas
GPG Key ID 0xb1703df8

[Frank Büttner]

Vassilios Kotoulas schrieb:
>  On Sun, 2006-09-17 at 15:52 +0200, Frank Büttner wrote:
> > Schicke mal die Ausgabe von mount.
>  
>  /dev/sda1 on /media/disk type ext3 (rw,noexec,nosuid,nodev)
>   
Da habe wir ja den Übeltäter:)
die Platte wird ohne SELinux Erweiterungen gemountet.
Als hilfslösung solle es mit einem mount /dev/sda1 -o
remount,context=system_u:object_r:public_content_t
 gehen.

[Vassilios Kotoulas]

On Sun, 2006-09-17 at 17:01 +0200, Frank Büttner wrote:
>  > /dev/sda1 on /media/disk type ext3 (rw,noexec,nosuid,nodev)
>  Da habe wir ja den Übeltäter:)
>  die Platte wird ohne SELinux Erweiterungen gemountet.
>  Als hilfslösung solle es mit einem mount /dev/sda1 -o
>  remount,context=system_u:object_r:public_content_t
>   gehen. 
das schlaegt leider fehl
[root@kra:/etc] mount /dev/sda1 -o remount,context=system_u:object_r:public_content_t
mount: /media/disk not mounted already, or bad option

[Frank Büttner]

Vassilios Kotoulas schrieb:
>  On Sun, 2006-09-17 at 17:01 +0200, Frank Büttner wrote:
> >> /dev/sda1 on /media/disk type ext3 (rw,noexec,nosuid,nodev)
> > Da habe wir ja den Übeltäter:)
> > die Platte wird ohne SELinux Erweiterungen gemountet.
> > Als hilfslösung solle es mit einem mount /dev/sda1 -o
> > remount,context=system_u:object_r:public_content_t
> >  gehen.
>  
>  das schlaegt leider fehl
>  [root@kra:/etc] mount /dev/sda1 -o remount,context=system_u:object_r:public_content_t
>  mount: /media/disk not mounted already, or bad option
>  
>  
>  
>  
>  --
>  Fedora-de-list mailing list
>  Fedora-de-list(a)redhat.com
>  https://www.redhat.com/mailman/listinfo/fedora-de-list
>  
>  
>   
Dazu muss sda1 natürlich bereits gemoutet sein

[Vassilios Kotoulas]

>  >>> /dev/sda1 on /media/disk type ext3
> (rw,noexec,nosuid,nodev)
>  >> Da habe wir ja den Übeltäter:)
>  >> die Platte wird ohne SELinux Erweiterungen gemountet.
>  >> Als hilfslösung solle es mit einem mount /dev/sda1 -o
>  >> remount,context=system_u:object_r:public_content_t
>  >>  gehen.
>  > das schlaegt leider fehl
>  > [root@kra:/etc] mount /dev/sda1 -o
> remount,context=system_u:object_r:public_content_t
>  > mount: /media/disk not mounted already, or bad option 
>  Dazu muss sda1 natürlich bereits gemoutet sein 
ist es:
[root@kra:~] mount |grep sda1
/dev/sda1 on /media/disk type ext3 (rw,noexec,nosuid,nodev)

[Frank Büttner]

gut gut
dann einfach umount /dev/sda1 und dann mount /dev/sda1 /media/disk -o
context=system_u:object_r:public_content_t,noexec,nosuid,nodev

[Vassilios Kotoulas]

On Sun, 2006-09-17 at 19:17 +0200, Frank Büttner wrote:
>  gut gut
>  dann einfach umount /dev/sda1 und dann mount /dev/sda1 /media/disk -o
>  context=system_u:object_r:public_content_t,noexec,nosuid,nodev 
Eigentlich muss man diese Optionen doch dem hal beibringen, damit ers
immer so macht. Wenn ich die Disk unmounte verschwindet auch der
Mountpoint. Leg ich ihn von Hand an, meckert der hal beim Automounten.
Ich versuch jetz mal die von dir vorgeschlagenen Optionen in eine Policy
fuer den hal zu giessen. Noch ne kurze Frage, wieso hab ich diese
Logeintraege nicht auch fuer / und /dev/hda[34] ? Die haben auch nicht
diese Mountoptionen.


[root@kra:/etc/hal/fdi/policy] mount
/dev/hda1 on / type xfs (rw)
none on /proc type proc (rw)
none on /dev/pts type devpts (rw,gid=5,mode=620)
/dev/hda3 on /mnt/hda3 type xfs (rw,noexec,nosuid,nodev)
/dev/hda4 on /data type xfs (rw,noexec,nosuid,nodev)
none on /dev/shm type tmpfs (rw)
none on /proc/sys/fs/binfmt_misc type binfmt_misc (rw)
sunrpc on /var/lib/nfs/rpc_pipefs type rpc_pipefs (rw)
nfsd on /proc/fs/nfsd type nfsd (rw)


Gruss
Vassilios

[Frank Büttner]

Ich vermute das liegt am Dateisystem da du da xfs benutzt.
Kannste ja mal ein ll -Z /mnt/hda3 machen und schauen ob ein selinux
Kontext erscheint.

[Vassilios Kotoulas]

On Sun, 2006-09-17 at 19:43 +0200, Frank Büttner wrote:
>  Ich vermute das liegt am Dateisystem da du da xfs benutzt.
>  Kannste ja mal ein ll -Z /mnt/hda3 machen und schauen ob ein selinux
>  Kontext erscheint. 
Es tut... bin grad am ueberlegen, ob ich aus der USB Disk einfach ein
xfs mache und gut ist...  Duerfte weniger Arbeit sein als die hal Policy

[Frank Büttner]

Als Tipp für SELinux installiere den audit deamon.
Dann landen alle Meldungen SElinux betreffend in eine extra Logdatei.