SELinux: use SECINITSID_NETMSG instead of SECINITSID_UNLABELED for NetLabel
commit9faf65fb6ee2b4e08325ba2d69e5ccf0c46453d0
authorPaul Moore <paul.moore@hp.com>
Fri, 29 Jun 2007 15:48:16 +0000 (29 11:48 -0400)
committerJames Morris <jmorris@namei.org>
Thu, 12 Jul 2007 02:52:31 +0000 (11 22:52 -0400)
treeee167dc8c575dee062cdaf91d0b60a5997bba0c3
parented0321895182ffb6ecf210e066d87911b270d587
SELinux: use SECINITSID_NETMSG instead of SECINITSID_UNLABELED for NetLabel

These changes will make NetLabel behave like labeled IPsec where there is an
access check for both labeled and unlabeled packets as well as providing the
ability to restrict domains to receiving only labeled packets when NetLabel
is in use.  The changes to the policy are straight forward with the
following necessary to receive labeled traffic (with SECINITSID_NETMSG
defined as "netlabel_peer_t"):

 allow mydom_t netlabel_peer_t:{ tcp_socket udp_socket rawip_socket } recvfrom;

The policy for unlabeled traffic would be:

 allow mydom_t unlabeled_t:{ tcp_socket udp_socket rawip_socket } recvfrom;

These policy changes, as well as more general NetLabel support, are included
in the SELinux Reference Policy SVN tree, r2352 or later.  Users who enable
NetLabel support in the kernel are strongly encouraged to upgrade their
policy to avoid network problems.

Signed-off-by: Paul Moore <paul.moore@hp.com>
Signed-off-by: James Morris <jmorris@namei.org>
security/selinux/hooks.c
security/selinux/netlabel.c