| |
| 2.3, Аноним (-), 00:03, 12/10/2013 [^] [^^] [^^^] [ответить]
| +1 +/– |
Ну, там приложения ограничиваются внешними правилами.
А тут, судя по описанию, все функции по ограничению ложатся на само приложение. Захочет - ограничится, не захочет - не ограничится.
| | |
| |
| 3.4, Kolya (?), 00:27, 12/10/2013 [^] [^^] [^^^] [ответить]
| +/– | |
тогда скорее всего будет провал. И так capabilities почти никто не использует. Сомневаюсь, что с участием гугла что-то изменится.
| | |
| |
| 4.6, Аноним (-), 01:03, 12/10/2013 [^] [^^] [^^^] [ответить]
| +/– | |
> тогда скорее всего будет провал.
Бсдшники это делали чисто из академического интереса, группа пиoнеров, работающих в гоогле, в свободное время спортировала это just4fun.
Нужно ли это кому-то - подумать как-то забыли.
> И так capabilities почти никто не использует.
В федоре заставляют использоваться. Специально патчат демонов, чтобы они от рута не работали.
> Сомневаюсь, что с участием гугла что-то изменится.
Не факт, что эти пиoнеры действовали по корпоративной инициативе. Скорее - по личной.
| | |
| |
| 5.9, Аноним (-), 11:52, 12/10/2013 [^] [^^] [^^^] [ответить]
| –5 +/– | |
> В федоре заставляют использоваться.
Поэтому желающих пользоваться федорой не сильно много. Гемора с selinux много а результат не хуже можно достичь например простой резкой на контейнеры.
| | |
| |
| 6.13, ананим (?), 13:11, 12/10/2013 [^] [^^] [^^^] [ответить]
| –5 +/– |
Не поэтому.
Селинух 100500-ый по списку. Просто сырое почти всё. Да ещё Похтеринги всякие, гномы3 (прибитые тееерь к системд и пульсу. На радость бсдишнегам и пр.)
| | |
| |
| 7.24, Аноним (-), 07:44, 13/10/2013 [^] [^^] [^^^] [ответить]
| +/– | |
> На радость бсдишнегам и пр.)
Им с этого нифига не обломится - какая им с этого радость?
| | |
| 7.30, Аноним (-), 16:53, 14/10/2013 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Селинух 100500-ый по списку. Просто сырое почти всё. Да ещё Похтеринги всякие, гномы3 (прибитые тееерь к системд и пульсу. На радость бсдишнегам и пр.)
Ну же, расскажи нам, как хорошо и привольно в убунточке!
| | |
| |
| |
| 9.40, Аноним (-), 00:39, 15/10/2013 [^] [^^] [^^^] [ответить] | +/– | Нам - это широкой общественности Не только мне интересно узнать, как гентушники... текст свёрнут, показать | | |
|
|
|
| 6.31, Аноним (-), 16:55, 14/10/2013 [^] [^^] [^^^] [ответить]
| +2 +/– |
> Поэтому желающих пользоваться федорой не сильно много. Гемора с selinux много а
> результат не хуже можно достичь например простой резкой на контейнеры.
Типичный борец с федорой даже не знает о разнице между SELinux и POSIX capabilities.
Шикрано :)
| | |
| |
| 7.36, тень_pavel_simple (?), 17:04, 14/10/2013 [^] [^^] [^^^] [ответить]
| +/– |
>> Поэтому желающих пользоваться федорой не сильно много. Гемора с selinux много а
>> результат не хуже можно достичь например простой резкой на контейнеры.
> Типичный борец с федорой даже не знает о разнице между SELinux и
> POSIX capabilities.
> Шикрано :)
сам бы читать научился -- где в словах "простой резкой на контейнеры" увидел POSIX capabilities
| | |
|
|
| 5.21, Аноним (-), 20:11, 12/10/2013 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> группа пиoнеров, работающих в гоогле, в свободное время спортировала это just4fun.
Многие упорно забывают, что сам Линукс появился потому, что один мальчик решил реализовать UNIX API тоже just for fun.
Многим очень хочется это забыть, потому что у самих с их стремлением "only for profit" никак не получается сделать что-то лучше, что это некоторые делают "just for fun".
| | |
| |
| 6.33, Аноним (-), 16:58, 14/10/2013 [^] [^^] [^^^] [ответить]
| +/– |
> Многие упорно забывают, что сам Линукс появился потому, что один мальчик решил
> реализовать UNIX API тоже just for fun.
> Многим очень хочется это забыть, потому что у самих с их стремлением
> "only for profit" никак не получается сделать что-то лучше, что это
> некоторые делают "just for fun".
Но только некоторые.
Никто из них не задумывается, а нужно ли оно кому-то. Поэтому выстреливает только несколько проектов из тысячи.
| | |
|
|
| 4.18, YetAnotherOnanym (ok), 15:17, 12/10/2013 [^] [^^] [^^^] [ответить]
| +/– |
 Внезапно - существуют программы, которые сами дропают рут-привилегии и сами чрутаются в свой рабочий каталог. Они по-Вашему тоже провальные?
| | |
| |
| 5.20, Аноним (-), 19:30, 12/10/2013 [^] [^^] [^^^] [ответить]
| +/– |
> Внезапно - существуют программы, которые сами дропают рут-привилегии и сами чрутаются в
> свой рабочий каталог. Они по-Вашему тоже провальные?
Внезапно - существуют программы, которые этого не делают. И чо?
| | |
| |
| 6.26, ананим (?), 10:50, 13/10/2013 [^] [^^] [^^^] [ответить]
| +/– |
А то.
Не пользуйтесь такими программами.
Любой уважающий себя демон так делает. Это уже давно стало правилом хорошего тона в разработке.
| | |
| 6.28, YetAnotherOnanym (ok), 12:06, 13/10/2013 [^] [^^] [^^^] [ответить]
| +/– |
А то, что программа должна быть изначально написана с мыслью о безопасности. Субж - один из инструментов для этого.
| | |
|
| 5.35, Аноним (-), 17:02, 14/10/2013 [^] [^^] [^^^] [ответить]
| +/– |
> Внезапно - существуют программы, которые сами дропают рут-привилегии и сами чрутаются в
> свой рабочий каталог. Они по-Вашему тоже провальные?
Нет. Провальна идея заставить разработчиков всех программ так делать.
| | |
|
|
|
| |
| 3.11, Аноним (-), 12:01, 12/10/2013 [^] [^^] [^^^] [ответить]
| –1 +/– |
> По описанию похоже на seccomp
> а selinux по другому работает.
и вообще лучше бы из linux выкинули лишние, а не тащили по 4 механизма защиты друг дружку дублирующих
| | |
| |
| 4.12, anonymous (??), 12:22, 12/10/2013 [^] [^^] [^^^] [ответить]
| +/– | |
>оформлен в виде LSM-модуля
Во внутренностях одни и те же механизмы используются.
| | |
| 4.34, Аноним (-), 17:00, 14/10/2013 [^] [^^] [^^^] [ответить]
| –1 +/– |
> и вообще лучше бы из linux выкинули лишние, а не тащили по
> 4 механизма защиты друг дружку дублирующих
Зачем выкидиывать? Наоборот, лучше принимать новые!
Вон пару лет назад apparmor приняли, хотя он дублировал уже имеющийся tomoyo и даже уступал ему по фичам.
| | |
|
|
|
| 1.2, Аноним (-), 00:02, 12/10/2013 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Очень мутно написано (хотя на офсайте capsicum еще мутнее).
Речь идет только об ограничении операций с конкретными fd?
| | |
| |
| |
| 3.32, Аноним (-), 16:57, 14/10/2013 [^] [^^] [^^^] [ответить]
| +/– |
> Нет.
> Речь о разрешении только конкретных fd (сокетов и пр.) :D
Фильтр на fopen syscall?
| | |
| |
| 4.42, Kibab (ok), 20:32, 15/10/2013 [^] [^^] [^^^] [ответить]
| –1 +/– |
 нет, например, чтобы на сокете нельзя было сделать bind, а только connect, нельзя было сделать write(), а только read(). или, например, запретить fchmod на дескриптор.
| | |
|
|
|
|
