Fedora 43: Resolviendo problemas con los thumbnailers en SELinux (thumb_t)

En sistemas GNU/Linux que cuentan con SELinux para Control de Acceso Mandatorio (MAC), como Fedora o RHEL, algunos usuarios experimentan problemas con los generadores de miniaturas (thumbnailers) en gestores de archivos como Nautilus, Nemo o Thunar. Las carpetas con documentos PDF, imágenes o videos no muestran las miniaturas, aun cuando las aplicaciones para generarlas funcionan correctamente.

Este comportamiento generalmente está relacionado con el dominio de seguridad thumb_t, introducido para proteger el sistema ante posibles ataques mediante archivos maliciosos procesados por los thumbnailers.

En este artículo veremos:

• Por qué ocurre el problema.

• Cómo habilitar los thumbnailers de forma rápida.

• Cómo revertir el cambio.

• Cómo aplicar una solución más segura mediante una política puntual de SELinux.

Entendiendo SELinux (Parte III)

Retomando esta casi olvidada serie sobre SELinux, hoy veremos los booleanos. Son variables que nos permiten encender o apagar funcionalidades para servicios específicos. Lo interesante de estos es que no hay que hacer un curso ni buscar un howto para introducirse a ellos, debido a que cuando necesitemos que SELinux haga algo respecto a un servicio, simplemente buscaremos los booleanos relacionados con dicho servicio o daemon.

SysAdmin mediocre

Desactivar por completo SELinux en un sistema operativo para servidores —en lugar de intentar aprender a utilizarlo— puede considerarse algo absolutamente irresponsable y negligente e invariablemente denotará una completa ignorancia de parte del administrador de sistemas respecto de aspectos de seguridad fundamentales en CentOS y Red Hat Enterprise Linux.

+Joel Barrios Dueñas (autor del libro Configuración de Servidores con GNU/Linux)

Entendiendo SELinux (Parte II)

Continuando con esta serie sobre SELinux, veremos el sistema de archivos /selinux, que en la actualidad la mayoría de distros no lo utilizan (ahora está en /etc/selinux) y detales sobre el fichero de configuración /etc/selinux/config.

Entendiendo SELinux (Parte I)

Como vimos en un post anterior, SELinux es una implementación de seguridad realizada por el Departamento de Defensa de los EEUU al Kernel GNU/Linux. Reflexionábamos un poco de lo importante que es saber manejarlo y sobre todo mantenerlo habilitado para proteger nuestro sistema de atacantes externos e internos.

Lo prometido es deuda y aquí, en esta primera parte, veremos los conceptos básicos del funcionamiento de SELinux en nuestro sistema operativo.

Evita el apocalipsis de los servidores de correo CentOS/RHEL con antivirus

El reciente lanzamiento de Red Hat Enterprise Linux 6.5 y CentOS 6.5 trajo consigo un inesperado cambio en el nombre de políticas y algunos contextos de SELinux que pueden inutilizar los antivirus —como sería el caso de ClamAV— en los servidores de correo.

Los problemas con SELinux se presentan cuando se actualiza hacia Red Hat Enterprise Linux 6.5 o CentOS 6.5 y se reinicia con el núcleo versión kernel-2.6.32-431.el6.

Anteriormente las políticas se denominaban anteriormente clamd_use_jit y clamscan_can_scan_system. Los nuevos nombres ahora son antivirus_use_jit y antivirus_can_scan_system correspondientemente.

¿Qué es SELinux?

Según Wikipedia, SELinux (del inglés Security-Enhanced Linux, Linux con Seguridad Mejorada) es una característica de seguridad de Linux que provee una variedad de políticas de seguridad, incluyendo controles de acceso del estilo de los del Departamento de Defensa de Estados Unidos, a través del uso de módulos de Seguridad en el núcleo Linux. No es una distribución de Linux, sino un conjunto de modificaciones que puede ser aplicado a un sistema tipo Unix como Linux y BSD.

Pero más allá de esta simple definición, SELinux es un mecanismo de seguridad basado en control de acceso mandatorio (MAC) implementado en el kernel.