Anda dapat mencoba menulis aturan udev untuk memberikan HDD tambahan nama yang cukup unik.
Gagasan lain: Setiap kali Anda dapat menyebut persyaratan keamanan sebagai "Bukan siapa yang melakukannya, itu bagaimana mereka melakukannya" Anda sedang berbicara tentang penegakan jenis, dan di sebagian besar distro Linux, TE dilakukan pada tingkat MAC. Sebagian besar pengalaman MAC saya dengan "SELinux"
Anda tidak dapat menguncinya di tingkat DAC jika tidak, Anda tidak akan dapat melakukan I / O pada perangkat (belum tentu kegagalan DAC sebagai model keamanan, hanya saja kebijakan DAC saat ini semata-mata berbasis identitas sehingga semua program berjalan di bawah identitas tertentu mendapatkan hak yang identik tanpa ekspresi administratif tambahan mungkin). Mengunci itu di tingkat MAC dapat dibuat sehingga komponen ruang pengguna biasa tidak dapat melakukan apa pun dengan file blok tetapi utilitas root Anda dan bagian tertentu dari platform dapat. Pada Fedora, ini sudah merupakan kasus dengan perangkat blok yang muncul dengan tipe SELinux fixed_disk_device_tdan grub setelah bootloader_exec_tmelihat contoh berikut:
[root@localhost ~]# ls -lhZ $(which grub2-install)
-rwxr-xr-x. root root system_u:object_r:bootloader_exec_t:s0 /sbin/grub2-install
[root@localhost ~]# ls -lhZ /dev/sda
brw-rw----+ root disk system_u:object_r:fixed_disk_device_t:s0 /dev/sda
[root@localhost ~]# sesearch --allow | egrep bootloader | grep fixed
allow bootloader_t fixed_disk_device_t : lnk_file { read getattr } ;
allow bootloader_t fixed_disk_device_t : chr_file { ioctl read write getattr lock append open } ;
allow bootloader_t fixed_disk_device_t : blk_file { ioctl read write getattr lock append open } ;
[root@localhost ~]#
Sedangkan ddmemiliki label bin_t reguler:
[root@localhost ~]# ls -lhZ $(which dd)
-rwxr-xr-x. root root system_u:object_r:bin_t:s0 /bin/dd
bin_t(tampaknya) masih dapat menulis untuk memblokir perangkat tetapi membuat jenis konteks file baru untuk fdiskdan dddan menulis aturan selinux untuk melarang tipe baru mengakses fixed_disk_device_ttidak boleh terlalu sulit. Anda hanya perlu membuatnya sehingga peran pengguna biasa tidak dapat melakukannya tetapi pengguna dengan sysadm_tdapat melakukannya, maka ingatlah untuk hanya melakukan newrole -r root:sysadm_rsebelum Anda mencoba mempartisi ulang disk atau melakukan ddover the block device (yang seharusnya tidak t menjadi masalah besar karena tidak seperti Anda berlari fdisksetiap hari sepanjang hari).
Mungkin lebih banyak pekerjaan daripada yang Anda cari, tetapi TE adalah mekanisme yang memecahkan masalah umum yang Anda hadapi. Secara pribadi, udevaturannya mungkin taruhan Anda paling aman. Saya hanya menyebutkan hal-hal TE jika Anda tertarik untuk memecahkan masalah yang lebih besar mirip dengan yang satu ini.