Moin moin, gugge wa mal: > #. type: Plain text > msgid "" > "The I<proc> filesystem is a pseudo-filesystem which provides an interface > to " "kernel data structures. It is commonly mounted at I</proc>. Most of > it is " "read-only, but some files allow kernel variables to be changed." > msgstr "" > "B</proc> ist ein Pseudo-Dateisystem. Es dient als Schnittstelle zu den " s/B</proc>/I<proc> Das mit /proc kommt ja erst im nächsten Satz. > #. type: Plain text > msgid "" > "As for mode 1, but in addition the I</proc/[pid]> directories belonging to > " > "other users become invisible. This means that I</proc/[pid]> entries can > no " "longer be used to discover the PIDs on the system. This doesn't hide > the " "fact that a process with a specific PID value exists (it can be > learned by " "other means, for example, by \"kill -0 $PID\"), but it hides > a process's UID " "and GID, which could otherwise be learned by employing > B<stat>(2) on a I</" "proc/[pid]> directory. This greatly complicates an > attacker's task of " "gathering information about running processes (e.g., > discovering whether " "some daemon is running with elevated privileges, > whether another user is " "running some sensitive program, whether other > users are running any program " "at all, and so on)." > msgstr "" > "Wie für Modus 1, aber zusätzlich werden die Verzeichnisse I</proc/[PID]> " > "anderer Benutzer unsichtbar. Das bedeutet, dass die Einträge I</proc/[PID]> > " "nicht mehr zur Entdeckung von PIDs auf dem System genutzt werden können. s/Entdeckung/Aufdeckung »Entdeckung« passt in dem Kontext nicht so ganz. > Das " "versteckt nicht die Tatsache, dass ein bestimmter PID-Wert existiert > (dies " "kann durch andere Methoden, beispielsweise »kill -0 $PID«, > herausgefunden " "werden), aber es versteckt die UID und GID des Prozesses, > die ansonsten " "durch Einsatz von B<stat>(2) auf einem > I</proc/[PID]>-Verzeichnis " "herausgefunden werden könnte. Zwei Mal hintereinander »herausgefunden«. Ich würd mir hier ein Synonym wünschen, wie »festgestellt«, »ermittelt« oder »in Erfahrung gebracht«. Gleiches gilt für »verstecken« (mögliche Synonyme: verbergen, verschleiern, verdecken, verhüllen, kaschieren). > #. commit 0499680a42141d86417a8fbaa8c8db806bea1201 > #. type: Plain text > msgid "" > "Specifies the ID of a group whose members are authorized to learn process " > "information otherwise prohibited by B<hidepid> (i.e., users in this group " > "behave as though I</proc> was mounted with I<hidepid=0>). This group > should " "be used instead of approaches such as putting nonroot users into > the " "B<sudoers>(5) file." > msgstr "" > "Legt die ID einer Gruppe fest, deren Mitglieder berechtigt sind, " > "Prozessinformationen kennenzulernen, die andernfalls durch B<hidepid> " > "verweigert würden (d.h. für Benutzer in der Gruppe verhält es sich, als ob s/kennenzulernen/abzurufen oder s/kennenzulernen/abzufragen oder auch s/kennenzulernen/in Erfahrung zu bringen > "I</proc> mit I<hidepid=0> eingehängt worden wäre). Diese Gruppe sollte > statt " "anderer Ansätze (wie dem Eintrag von Benutzern in die Datei > B<sudoers>(5)) " "verwandt werden." Das klingt recht künstlich. Vorschlag: »Diese Gruppe sollte anderen Ansätzen (wie dem Eintrag von Benutzern in die Datei B<sudoers>(5)) vorgezogen werden.« > #. type: Plain text > msgid "" > "Each I</proc/[pid]> subdirectory contains the pseudo-files and directories > " > "described below. These files are normally owned by the effective user and > " > "effective group ID of the process. However, as a security measure, the " > "ownership is made I<root:root> if the process's \"dumpable\" attribute is " > "set to a value other than 1. This attribute may change for the following " > "reasons:" > msgstr "" Das ist nicht übersetzt. Ich darf doch? Jedes I</proc/[pid]>-Unterverzeichnis enthält unten beschriebenen die Pseudo- Dateien und -Verzeichnisse. Als Besitzer der Datei ist normalerweise die effektiven Benutzer- und Gruppen-ID des Prozesses eingetragen, allerdings wird der Besitzer auf I<root:root> gesetzt, wenn das »dumpable«-Attribut des Prozesses auf einen anderen Wert als 1 gesetzt ist. Dieses Attribut mag sich aus folgenden Gründen ändern: > #. type: Plain text > msgid "" > "Resetting the \"dumpable\" attribute to 1 reverts the ownership of the I</" > "proc/[pid]/*> files to the process's real UID and real GID." > msgstr "" Hier genauso: Das »dumpable«-Attribut auf 1 zurückzusetzen ändert auch den Besitzer der Dateien I</proc/[pid]/*> zurück auf die echte UID und GID des Prozesses. > # > #. https://lwn.net/Articles/28222/ > #. From: Stephen Smalley <sds@epoch.ncsc.mil> > #. To: LKML and others > #. Subject: [RFC][PATCH] Process Attribute API for Security Modules > #. Date: 08 Apr 2003 16:17:52 -0400 > #. http://www.nsa.gov/research/_files/selinux/papers/module/x362.shtml > #. type: Plain text > msgid "" > "The files in this directory provide an API for security modules. The " > "contents of this directory are files that can be read and written in order > " > "to set security-related attributes. This directory was added to support " > "SELinux, but the intention was that the API be general enough to support " > "other security modules. For the purpose of explanation, examples of how " > "SELinux uses these files are provided below." > msgstr "" > "Die Dateien in diesem Verzeichnis stellen eine API für Sicherheitsmodule " > "bereit. Die Inhalte dieses Verzeichnisses sind Dateien, die gelesen und " > "geschrieben werden können, um sicherheitsbezogene Attribute zu setzen. " > "Dieses Verzeichnis wurde hinzugefügt, um SELinux zu unterstützen. Der > Ansatz " "des API war aber allgemein genug, um andere Sicherheitsmodule zu > " > "unterstützen. Die letzten beiden Sätze könnte man wunderbar zusammenführen (dann ginge auch die Wiederholung weg). Etwa so: Dieses Verzeichnis wurde hinzugefügt, um SELinux zu unterstützen, aber der Ansatz war, das API so allgemein zu halten, dass es sich auch für andere Sicherheitsmodule eignete. > # FIXME: Uneinheitliche Schreibweise von multi-threaded > #. type: Plain text > msgid "" > "In SELinux, this file is used to get the security context of a process. " > "Prior to Linux 2.6.11, this file could not be used to set the security " > "context (a write was always denied), since SELinux limited process security > " "transitions to B<execve>(2) (see the description of > I</proc/[pid]/attr/" "exec>, below). Since Linux 2.6.11, SELinux lifted > this restriction and " "began supporting \"set\" operations via writes to > this node if authorized by " "policy, although use of this operation is > only suitable for applications " "that are trusted to maintain any desired > separation between the old and new " "security contexts. Prior to Linux > 2.6.28, SELinux did not allow threads " "within a multi-threaded process to > set their security context via this node " "as it would yield an > inconsistency among the security contexts of the " "threads sharing the > same memory space. Since Linux 2.6.28, SELinux lifted " "this restriction > and began supporting \"set\" operations for threads within " "a > multithreaded process if the new security context is bounded by the old " > "security context, where the bounded relation is defined in policy and " > "guarantees that the new security context has a subset of the permissions > of " "the old security context. Other security modules may choose to > support \"set" "\" operations via writes to this node." > msgstr "" > "In SELinux wird diese Datei zur Ermittlung des Sicherheitskontextes eines " > "Prozesses verwandt. Vor Linux 2.6.11 konnte diese Datei nicht zum Setzen > des " "Sicherheitskontextes verwandt werden (ein Schreibzugriff wurde immer > " "verweigert), da SELinux die Prozesssicherheitsübergänge auf B<execve>(2) > " "begrenzte (siehe die Beschreibung von I</proc/[PID]/attr/exec> weiter " > "unten). Seit Linux 2.6.11 hat SELinux diese Einschränkung aufgehoben und " > "begann, »set« (Setzen-)Aktionen mittels Schreibzugriffen auf diesen Knoten s/begann/begonnen > " "zu unterstützen, falls dies durch Richtlinien erlaubt wurde. Allerdings > ist " "die Verwendung dieser Aktion nur für Anwendungen geeignet, denen > vertraut " "wird, die gewünschte Separierung zwischen dem alten und dem s/vertraut/zugetraut > neuen " "Sicherheitskontext aufrechtzuerhalten. Vor Linux 2.6.28 erlaubte > es SELinux " "Threads innerhalb von Multi-Threaded-Prozessen nicht, ihren " > "Sicherheitskontext mittels dieses Knotens zu setzen, da es zu einer " > "Inkonsistenz innerhalb der Sicherheitskontexte der Threads, die den > gleichen " "Speicher gemeinsam benutzen, führen würde. Seit 2.6.28 hat > SELinux diese " "Einschränkung aufgehoben und begann, »set«-Aktionen für s/begann/begonnen > #. type: Plain text > msgid "" > "This file represents the attributes to assign to the process upon a " > "subsequent B<execve>(2)." > msgstr "" > "Diese Datei repräsentiert die Attribute, die den Prozessen bei > nachfolgenden " "B<execve>(2) zugewiesen werden sollen." > > #. type: Plain text > #, fuzzy > msgid "" > "In SELinux, this is needed to support role/domain transitions, and " > "B<execve>(2) is the preferred point to make such transitions because it " > "offers better control over the initialization of the process in the new " > "security label and the inheritance of state. In SELinux, this attribute is > " "reset on B<execve>(2) so that the new program reverts to the default " > "behavior for any B<execve>(2) calls that it may make. In SELinux, a " > "process can set only its own I</proc/[pid]/attr/exec> attribute." > msgstr "" > "In SELinux wird dies benötigt, um Rollen-/Domänenübergänge zu unterstützen Angenommen, das »this« bezieht sich auf die Datei aus dem String darüber, könnte man hier nicht auch »sie« schreiben? > "und B<execve>(2) ist die bevorzugte Stelle, um solche Übergänge > vorzunehmen, " "da es bessere Steuermöglichkeiten über die Initialisierung > des Prozesses im " "neuen Sicherheits-FIXME und die Vererbung von Zustand Sicherheits-FIXME? Über den Rest kann ich nicht meckern ;-) Beste Grüße, Erik
Attachment:
signature.asc
Description: This is a digitally signed message part.