forum.opennet.ru

"В Fedora 40 планируют включить изоляцию системных сервисов"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Отдельный RSS теперь доступен для каждого обсуждения в форуме и каждого минипортала.

. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
Сообщение от Аноним (156), 23-Ноя-23, 17:57
>> CVE в полсистеме безопасности > Опечаточка как раз про cgroups и network namespaces. Ну правильно, поэтому давайте сделаем проходной двор где всем можно все и не будем пытаться чинить. А так - да, линух не делали под ТАКИЕ абстракции. Как впрочем и все остальные более-менее живые и развитые ОС. Поэтому иногда ус у абстракций отклеивается а кернел неверно понимает пермиссии, что, конечно, чревато. Но вот только если на чек пермиссий совсем забить - CVE конечно убавится но это будет классическое лечение головной боли при помощи гильотины. Если голову отрубить, то и болеть она не сможет. Логично. > V2 правда получше. А с последними всё так же плохо - костыль на костыле. Покажи решения лучше, чудик. Языком пиндеть - не мешки ворочать. Не, разрешить "всем" - "всё" это не "лучше" как раз. Даже если и избавит от CVE за отсутствием секуритифич. В чем разница? Баги в секурити подсистемах и абстракциях постепенно починят. А проходной двор так и останется проходным двором. Этим подходы и отличаются.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

В Fedora 40 планируют включить изоляцию системных сервисов, opennews, 20-Ноя-23, 23:20 [смотреть все]

что опять господи, я простой юзверь, сбежавший от добровольно-принудительной пы, Ну я все же доем..., 20-Ноя-23, 23:20 (1) //
- А че, в виндовсе появилась изоляция Раньше это была помойка, где у всех есть пр, Банан, 21-Ноя-23, 03:59 (33) //
  - Раньше - это с 1985 по 1993 Потому что с 1993 есть Windows NT 3 1, где это не т, Аноним, 21-Ноя-23, 09:43 (80) //
    - Вы не застали эпидемии autorun-вирусов на безопасной XP, которая была потомком, Аноним, 21-Ноя-23, 12:14 (87)
      - А вот NT 3 5 3 5 1 была потомком многими забытой но до сих пор существующей , Neandertalets, 21-Ноя-23, 12:33 (88)
        
        Преимущества Неуловимого Джо , vvm13, 21-Ноя-23, 13:37 (96)
        
        Соглашусь, что имеет место и это быть Но всё таки не только , Neandertalets, 21-Ноя-23, 14:23 (104)
        
        Только Я OS 2 успел напользоваться вдоволь И вирусы там были, и все остальные , Аноним, 24-Ноя-23, 04:12 (161)
        
        Ну а про вирусы именно под OS 2 не варианты под подсистему DOS, т е обычные DO, Neandertalets, 24-Ноя-23, 08:40 (163)
        
        Во всех NT-based видите ли без регалий админа софтом пользоваться почти невозмож, Аноним, 23-Ноя-23, 06:21 (143)
        
        Иными словами, вирусне достаточно прав пользователя, под которым она запущена, ч, X86, 23-Ноя-23, 09:26 (149)
        
        В принципе - да Но если я софт ставил в линухе как рут, пакетником, а системные, Аноним, 23-Ноя-23, 17:49 (154)
        
        А зачем зловреду права системных сервисов, если достаточно прав текущего пользов, X86, 25-Ноя-23, 09:43 (166)
      - Эпидемии ауторан-вирусов были возможны потому, что подавляющее большинство юзеро, Аноним, 21-Ноя-23, 21:18 (118)
        
        Да вот видите ли - под ограниченными учетками виндовый софт ломался чуть менее ч, Аноним, 23-Ноя-23, 17:51 (155)
    - Чушь Вся безопасность Пинды на авторитетных обещаниях W подписях держится Даж, Аноним, 21-Ноя-23, 12:47 (89)
      - Ну, можетида - но она там определенно _есть_ и определенно держится - в отличи, User, 21-Ноя-23, 14:11 (102)
        
        Кому нужно открыли для себя opensnitch Открыли и тут же закрыли Потому что app, Аноним, 22-Ноя-23, 16:33 (136)
        
        Ну, да - как-то вот так оно все и выглядит Мы тут рассуждаем, как в космос прав, User, 23-Ноя-23, 12:00 (152)
        
        На фоне этих поделий мои конфиги тоже смотрятся просто звездолетами С одной сто, Аноним, 23-Ноя-23, 21:07 (157)
        
        И все это - не привлекая внимания санитаров Неуловимого Джо - опять не поймали , User, 23-Ноя-23, 21:36 (160)
        
        Я так то еще до кучи умею Enterprise Admin быть Поэтому имел возможность сравни, Аноним, 24-Ноя-23, 06:02 (162)
        
        Да не интересен твой локалхост примерно никому, узбагойся Сделаешь ну если не E, User, 24-Ноя-23, 09:39 (165)
- systemd позволяет переопределить любой unit файл просто скопируйте стандартные , leap42, 21-Ноя-23, 05:24 (45) //
  - Бубунта движется в направлении Snap OS , Минона, 21-Ноя-23, 15:10 (105) //
    - Никак не влияет на systemd и его настройки А вот как ветеран-юниксы аналоги вон, Аноним, 23-Ноя-23, 06:22 (144)
- Если это какой-то вид иронии, то звучит ещё глупее , Аноним, 21-Ноя-23, 07:33 (69) //
  - не иронияя правда не понимаю, это забота о пользователях или забота о пользоват, Ну я все же доем..., 21-Ноя-23, 08:08 (73)
- У меня такое же ощущение Уже 11 лет на всех моих ПК - Linux Раньше он был офиген, Аноним, 21-Ноя-23, 08:52 (75) //
  - Ставь слачельничек И на работе тоже ставь слачельничек , Аноним, 21-Ноя-23, 09:40 (78)
  - Никогда и нигде resolv conf не правился вручную Ты откуда-то из 90х вынырнул, в, Аноним, 21-Ноя-23, 09:42 (79) //
    - такие дистрибутивы как Дебиан ты хотел сказать, Аноним, 21-Ноя-23, 15:39 (109)
      - Недееспособные пользователи дебианом не удовлетворены А вот убунта их периодичес, Аноним, 21-Ноя-23, 20:08 (113)
  - А вы вообще понимаете физический смысл этих опций Они означают - последователь, Аноним, 21-Ноя-23, 12:50 (91) //
    - угу, а потом отгадайте какой из серверов вернул NOERROR и какую то хрень в поле , Anononononon, 22-Ноя-23, 11:42 (128)
  - devuan и antix адекватно ответят на ваши запросы а африканскую поделку ненавижу, glad_valakas, 21-Ноя-23, 21:09 (117)
  - Можно же было просто спросить у знающих людей Что делает resolved Поттеринга Он, leap42, 22-Ноя-23, 07:25 (124) //
    - и не забудьте sudo chattr i etc resolv confслишком много желающих переписать, , glad_valakas, 22-Ноя-23, 08:24 (125)
  - Стесняюсь спрашивать - а настройка статических адресов на сервере через network-, User, 22-Ноя-23, 09:21 (126)
  - А мог почитать документацию Мне как раз недавно было надо что-то подобное, так , Zulu, 23-Ноя-23, 00:30 (141)
- Это ядерная изоляция Она почти бесплатная , Аноним, 21-Ноя-23, 12:48 (90)
Правильно, производительность - зло , Avririon, 20-Ноя-23, 23:23 (2) //
- Это все на cgroups и бинд маунтах, ни холодно ни жарко от этого производительнос, Аноним, 20-Ноя-23, 23:28 (3) //
  - cgroupsпроизводительностьАхтунг Взаимоисключающие параграфы Более того, с net n, Tron is Whistling, 20-Ноя-23, 23:59 (7) //
    - Где Сдуру можно всё что угодно сломать , Аноним, 21-Ноя-23, 11:08 (83)
      - Особенно если CVE почитать , Tron is Whistling, 22-Ноя-23, 21:52 (139)
        
        Поэтому давайте сделаем как Win95 - нет подсистем безопасности нет вулнов в них , Аноним, 23-Ноя-23, 06:33 (146)
        
        Опечаточка как раз про cgroups и network namespaces V2 правда получше А с после, Tron is Whistling, 23-Ноя-23, 09:51 (150)
        
        Ну правильно, поэтому давайте сделаем проходной двор где всем можно все и не буд , Аноним, 23-Ноя-23, 17:57 (156)
- Достоинство ядра Linux - практически все эти ограничения идут с нулевым оверхедо, Аноним, 21-Ноя-23, 01:27 (15) //
  - Ды щаз, с нулевым оверхедом Одних структур только на полкеша , Tron is Whistling, 23-Ноя-23, 09:52 (151) //
    - Де факто на производительность не влияет с точностью до погрешности измерений ка, Аноним, 23-Ноя-23, 21:11 (158)
- Где тут угроза производительности Они же не в снапы докеры флътпаки аппимэйджи , Аноним, 21-Ноя-23, 02:09 (22) //
  - Ну как же, все эти проверки требуют помимо исполнения полезных команд ещё и усло, Аноним, 21-Ноя-23, 06:24 (47) //
    - Соболезную тем кто захочет поставить Fedora 40 на Pentium II Советую им ещё раз, AleksK, 21-Ноя-23, 08:23 (74)
      - Зато мне тебя ни чуть не жаль Не понятно лишь, что ты делаешь в этом своём IT с, Аноним, 21-Ноя-23, 13:17 (93)
        
        Получаю 100500 денег и радуюсь жизни, а что , Аноним, 21-Ноя-23, 20:10 (114)
        
        А ты это он , Аноним, 22-Ноя-23, 12:58 (130)
        
        Ну что делаю Пользуюсь адекватным железом и софтом Я не обладаю супер способно, AleksK, 22-Ноя-23, 23:59 (140)
      - У меня домашний медиасервер крутится на Core2Duo под Fedora 39 Знатно всё крути, Аноним, 21-Ноя-23, 21:53 (120)
  - Это фича ядра Можно и из портянки на Баше вызвать службу через какой-нибудь bwr, Аноним, 21-Ноя-23, 12:50 (92)
Что только не придумают, чтобы не использовать pledge 2 , Аноним, 20-Ноя-23, 23:45 (4) //
- Хорошая команда, но у нее есть фатальный недостаток , Аноним, 20-Ноя-23, 23:58 (6) //
  - какой расскажи же нам, умоляем пожалуйста-припожалуйста открой нам тайну, Аноним, 21-Ноя-23, 02:06 (20) //
    - NIH, ano, 22-Ноя-23, 04:01 (123)
  - Это же сискол, а не команда , Аноним, 21-Ноя-23, 10:41 (82) //
    - syscall - это как раз команда процессора , Аноним, 21-Ноя-23, 13:21 (94)
      - Точно процессора , Минона, 21-Ноя-23, 15:22 (106)
        
        Это в том числе и инструкция процессора syscall Assembly Instruction , Анонимпс, 21-Ноя-23, 18:23 (110)
        
        Хотя раньше системные вызовы работали без нее, насколько я помню , Анонимпс, 21-Ноя-23, 18:25 (111)
        
        Работали, но прерываниями называть не солидно, это же не ДОС , Аноним, 22-Ноя-23, 13:13 (133)
        
        Абсолютно точно Как и sysenter, и int 0x80 , Аноним, 22-Ноя-23, 13:11 (132)
      - pledge 2 - это сискол Для таких умных, как ты, в скобках двойка Но ты её, увы, Аноним, 21-Ноя-23, 20:12 (115)
        
        Вижу, конечно Как и неумелые попытки заняться буквоедством, тогда как по сущест, Аноним, 22-Ноя-23, 13:10 (131)
        
        Буквоедством первым начал заниматься не я Можно было и сразу догадаться по перв, Аноним, 23-Ноя-23, 03:32 (142)
- Смотря какой Их два OpenBSD - оверхед минимален, но каждую прогу нужно патчить,, Аноним, 21-Ноя-23, 01:31 (16)
- Ну покажи как ты это лихо запиливаешь своему сервису за 5 минут Я то произвольн, Аноним, 23-Ноя-23, 06:36 (147)
В Федоре тестируют потом в Шапке внедрят и мы через лет 10 увидим в шапке то что, Аноним, 20-Ноя-23, 23:56 (5)
Нехорошие звоночки с явным привкусом копроративного aнaльного огораживания , Аноним, 21-Ноя-23, 00:01 (8) //
- Сама система прав доступа этим привкусом отдаёт Это что - руту можно все файлы , Аноним, 21-Ноя-23, 01:25 (14)
Звучит шикарно, сначала повесить синхронизацию времени на systemd, потом отрезат, Аноним, 21-Ноя-23, 00:26 (9) //
- Правильно, защитим истинный юниксвей Не дадим отнять у апача возможность менять, Аноним, 21-Ноя-23, 01:23 (13)
- Вы путаете системд и юниты, которыми он управляет, Хрысь, 21-Ноя-23, 13:59 (98) //
  - Разобравшись с разницей между systemd и его юнитами, стоит перейти к понимаю раз, Аноним, 21-Ноя-23, 20:13 (116)
- А с какой бы легитимной целью допустим httpd, или кто там, мог бы захотеть мне с, Аноним, 23-Ноя-23, 21:14 (159)
Да, ладно, мою уже с 39 версии заизолировали, вылетает из сессии каждые 5 минут , Oe, 21-Ноя-23, 00:44 (10) //
- А ты форточку закрывай, чтобы не вылетало , Аноним, 21-Ноя-23, 01:52 (17)
- У меня нормально работает, уже месяц как стоит , Аноним, 21-Ноя-23, 09:58 (81) //
  - Переключи на классический gnome в окне входа и попробуй как работает, Oe, 21-Ноя-23, 13:50 (97)
  - Так долго нельзя - некроз будет , Минона, 21-Ноя-23, 15:31 (107)
- C беты всё бессбойно работает Ты 8212 мелкий лжец, Аноним, 21-Ноя-23, 21:56 (121)
Эти чудики диграются и будет как в серьезнный гайдах - а сейчас мы поставим Orac, Аноним, 21-Ноя-23, 00:51 (11) //
- Нормальные люди его выкорчёвывают ещё на этапе установки Со всем и насовсем , Аноним, 21-Ноя-23, 02:34 (32) //
  - Разочарую Он является частью ядра И выкорчёвывешь ты только его политики макси, Хрысь, 21-Ноя-23, 14:01 (99) //
    - и что делать свои ядра в деривативах редхата уже немодно можно выиграть от 1 , glad_valakas, 21-Ноя-23, 21:21 (119)
      - Они и делают свои, по последнему писку моды Скопировали конфиг и собрали своё , Аноним, 22-Ноя-23, 13:17 (134)
      - В нормальных местах запрещены в проде самосборные ядра от Васянов, Хрысь, 22-Ноя-23, 16:30 (135)
        
        если Васян сертифицированный специалист редхата, то можно , glad_valakas, 22-Ноя-23, 17:33 (137)
        
        тоже нельзясамособранное ядро любое отказ в техподдержке, еропка, 22-Ноя-23, 18:08 (138)
        
        с одной стороны логично, с другой стороны шли бы они лесом , glad_valakas, 23-Ноя-23, 07:34 (148)
  - Нормальные люди умеют его настраивать , Dima, 22-Ноя-23, 11:55 (129)
Кончался 2023 год Человеческая цивилизация доживала последние дни Приложения вал, Аноньимъ, 21-Ноя-23, 02:29 (28) //
- ух, щас бы тмп с такими правами монтировать, ух, Пароним, 22-Ноя-23, 02:12 (122)
Не надо этих полумер Каждому сервису - персональный контейнер , Meganonimus, 21-Ноя-23, 04:21 (39) //
- Уже есть такой дистр, Хрысь, 21-Ноя-23, 14:02 (101)
- Это тебе к мадам Рутковской или мадмуазель Ставь Qubes и каждому сервису бу, 1, 21-Ноя-23, 14:12 (103) //
  - Пани Рутковска полька, а потому во-первых пани , а во-вторых Рутковска , а не , Второй из Кукуева, 24-Ноя-23, 09:35 (164)
Сначала изолируют сервисы, потому будут фиксить ошибки обхода изоляции, Аноним, 21-Ноя-23, 07:43 (71)
Очередная новость о том, что корпарасы пилят, то что им нужно для своего бизнеса, Аноним, 21-Ноя-23, 08:57 (76) //
- Добро пожаловать в реальный мир опенсорса , Минона, 21-Ноя-23, 15:36 (108)
- Люди не хотят объединяться и пилить без корпорастов к сожалению, ленивые какие-т, Анонимпс, 21-Ноя-23, 18:28 (112)
Пускай Docker yes внедрят, а то цены на сборки под 1151v2 всё ещё не падают , Аноним, 21-Ноя-23, 09:36 (77) //
- Простите, у вас винда или мак На линуксе докер нативный, поэтому проблем с прои, Аноним, 21-Ноя-23, 12:12 (86)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру