openSUSE: SELinux beerbt AppArmor in Tumbleweed

Seit vergangener Woche setzen neue Snapshots der Rolling-Release-Linux-Distribution openSUSE Tumbleweed ab Werk auf den Zugriffsschutz durch SELinux. Standardmäßig kommt als Mandatory Access Control (MAC) die Voreinstellung auf SELinux zum Zuge und löst damit AppArmor ab.

Das hat SUSE jüngst auf der hauseigenen Mailingliste bekanntgegeben. Auch die openSUSE Tumbleweed "minimalVM" wird seitdem mit SELinux im Enforcing-Modus ausgliefert. AppArmor und SELinux dienen zur Härtung und zur Absicherung von Linux. Damit lassen sich fein granulierte Zugriffsrechte etwa für Programme und Dienste vergeben. Unterschiede gibt es bei beiden Systemen in Details. AppArmor kann etwa Stück für Stück und für einzelne Programme eingerichtet werden und gilt als einfach. SELinux bringt hingegen eine höhere Komplexität mit und greift zunächst vollumfänglich für alle Software, gilt dafür aber als überlegen gegenüber AppArmor.

openSUSE Tumbleweed: Alle Optionen offen

Wer openSUSE Tumbleweed etwa mittels ISO-Image installiert, bekommt SELinux im Enforcing-Modus als Standardeinstellung im Installer angeboten. Wer lieber AppArmor nutzen möchte, kann die Auswahl manuell darauf umstellen. AppArmor wird weiterhin vom bisherigen Maintainer gepflegt, erörtert SUSE.

Bei den normalen Aktualisierungen werden bestehende Installationen nicht automatisch von AppArmor auf SELinux migriert. Interessierte können jedoch selbst Hand anlegen und auf SELinux umsteigen. SUSE stellt eine Anleitung dafür bereit. Die Änderungen haben die IT-Sicherheitsleute bei SUSE sowohl mit manueller als auch mit automatischer Umsetzung getestet. Sie erbitten jedoch Feedback, sollte es zu Problemen kommen, schreibt Cathy Hu, die als SELinux Security Engineer bei SUSE arbeitet.

Wer unter openSUSE Tumbleweed mit Container-Systemen wie Kubernetes arbeitet, muss gegebenenfalls dort Hand anlegen. Kubernetes liefert Anleitungen, wie es für den Einsatz mit AppArmor und SELinux einzurichten ist.

Wer SUSE Leap 15.x nutzt, muss sich keine Sorgen machen: Die Distribution ist von der Änderung nicht betroffen, sie bleibt bei der Härtung des Systems mit AppArmor.

(dmk)