>>если подумать, то не сама ОС определяет безопасность системы в целом, а
>>приложения, большинство из них не входит в состав дерева исходников OpenBSD,
>>т.е. не проходят жёсткий аудит.
>
>Тем не менее они автоматически используют те или иные технологии, общие для
>всей системы. Например, включённый ProPolice для GCC, различные опции malloc(3) и
>т.д. мне тоже её всякие простые фишки вроде strlcpy нравятся
>[оверквотинг удален]
>>все остальные.
>
>Слабая, зато простая. А чем сложнее, тем легче ошибиться.
>
>> Программы работающие с uid == 0 не такая уж
>>и редкость, напрмер, для того чтобы демон смог слушать на порту
>>< 1024 его нужно запускать с uid == 0 и это
>>даёт ему неограниченный доступ ко всей системе.
>
>Пардон, а вы про privilege revocation слышали?
слышал, но это ж надо приложения переписывать
я и про POSIX.1E знаю, но этого нет на OpenBSD
>[оверквотинг удален]
>аутентификация, а также наиболее полное исключение возможностей самих пользователей нечаянно разрушить
>безопасность (включая удобство работы с системой безопасности - иначе её будут
>банально "обходить" сами пользователи).\
>
>Мандатный доступ это красиво, но в гипертрофированном виде ещё более чревато. Посмотрите,
>какой зоосад развели в той же Винде поначалу: SYSTEM, Administrators, Power
>Users, Users, Guests... И к чему это привело? Power Users, наконец-то,
>убрали, т.к. они всё равно могли провести эскалацию прав до практически
>Administrators. Administrators в реальности ничем от SYSTEM не отличаются. И это
>только верхушка айсберга.
в гипертрофированном виде всё уродство.
>Виртуальные окружения отнюдь не панацея - дырки в собственно ПО зачастую дополняются
>дырками в виртуализаторах; да и не спасают они от собственно взлома
>- в случае со всякими Web-сервисами это обычно уже означает кражу
>и/или порчу ценной информации.
jail на FreeBSD достаточно неплох и securelevel для каждого jail свой, можно в приложение добавить, как например, сделано в портах для isc-dhcpd
