> Стремление к абсолютной безопасности - удел не познавших дзен. Как-то так.А я к ней и не стремлюсь. Не закладываться на непонятных васянов - это минимальная безопасность, а не абсолютная.
Ну да и я не считаю, что позиция Торвальдса насчёт уязвимостей правильная. С Шпенглером тоже не согласен.
Торвальдс прав, насчёт того, что нужно улучшать качество кода, но не прав в том, что проблемы с безопасностью должны иметь тот же приоритет, что и обычные баги. Да и в том, что в целом на безопасность откровенно ложит болт.
Шпенглер же напротив, много вонял в своё время про то, качество кода ничего не решает, решают проактивные средства защиты. И от dirty cow, например, его проактивные средства никак не спасли. Не говоря уже о том, что local root и в PAX-патчах находили [1]. При этом, grsecurity не стесняется ломать программы и совместимость со стандартами. Например, запрещая делать страницы исполняемыми mprotect'ом. Это автоматически ломает кучу всякого JIT'а и посему отключается для отдельных бинарников (часто, самых важных, типа браузера). Некоторые другие патчи тяжелы с точки зрения производительности. На багрепорты реагируют как истерички [2].
Совершенно неудивительно, что его погнали ссаными тряпками из мэинлайна, кому он там нужен. На пиар и раскрутку grsecurity потратили много времени, а на то, чтобы их патчи были применимы для повседневного использования с пользой - нет. А разгадка проста - их патчи стоят денег (раньше только для lts-ядер, т.н. "стабильные").
Мне нравится отношение к безопасности как в OpenBSD, где уделяется внимание как простоте и качеству кода (в первую очередь), так и проактивным методам защиты. При этом практикуется принцип security by default, т.е. тебе не нужно включать какие-то опции для "безопасности", всё работает сразу и не отключается (речь про базовую систему).
Это я к тому, что статья - не очень. И линус и шпенглер неадекваты и выбор между этими двумя фриками - ложная дихотомия. Можно ведь перенимать практики не только из одного лишь grsec, да и вообще, узкий кругозор - это плохо.
[1] - https://web.archive.org/web/20070221041903/http://www.digita...
[2] - https://twitter.com/search?q=marcan42%20grsecurity
