> azt ugye nem mondod komolyan hogy olyan programot tervezel amirol
> nem tudod hogy milyen eroforrasokhoz ferhet hozza? :)
nem ertem a smiley-t. teljesen komolyan gondoltam, amit irtam. sot elarulom, hogy a legtobb (kvazi minden nem trivialis) program olyan, hogy elore nem lehet megmondani az eroforrasigenyet (pongyolan fogalmazva, hogy 'mit fog csinalni', pl. minden interpreter ilyen (ill. ugy altalaban minden univerzalis turing gep)). megpedig azert, mert nem a programon mulik, hanem a hasznalojan (vagyis: az inputon).
de ha te maskepp gondolod, akkor hajra, definiald az altalam megadott (rem egyszeru) peldaprogram eroforrasigenyet. vagyis latom, hogy megprobaltad, nezzuk akkor, hogy hol rontottad el:
> te peldadban ha definialjuk az unlink es mkdir eroforrasokat akkor
> meg tudod mondani hogy az unlink eroforrashoz kell hogy joga legyen
> az mkdirhez pedig nem.
ez szep es jo, de nem elegseges. a programnak ui. nem csak ennyire van szuksege a helyes mukodeshez. tegyuk fel, hogy en, mint felhasznalo, azt akarom, hogy a programom hozzaferjen a /home/paxteam/titok file-hoz, de ne ferjen hozza az /etc/shadow-hoz. nem latom, hogyan jon ez az igeny ki a te allitasodbol (vagyis: sehogy). aztan a csavar: tegyuk fel, hogy pont forditva akarom a viselkedeset meghatarozni. ugye azt nem akarod allitani, hogy kepes vagy egyszerre valamit meg annak az ellenkezojet is kiolvasni a programkodbol? ;-)
na mire akartam mindezzel ramutatni: a gyakorlatban hasznos programok (meg az en 2 sorosome is) viselkedese mindig az inputon mulik, elore nem lehet megmondani pontosan. az apparmor meg mas MAC rendszerek celja nem is ez, hanem az felhasznaloi igenyek leirasa. ez azt is jelenti, hogy ugyanannak (!) a programnak kulonbozo dolgokat engedhet meg egy masik felhasznalo mint te vagy en. vagyis a programbol nem lehet kiolvasni a szukseges teljes policy-t.