Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Руководство по использованию Capsicum для изоляции выполнени..., opennews (??), 15-Май-12, (0) [смотреть все] +1 Тяжело им без SELinux , Аноним (-), 21:56 , 15-Май-12, (1) –4 // Толсто у них есть свой мандатный контроль доступа К тому же 1, а не 4 разных, Аноним (-), 22:04 , 15-Май-12, (2) // Но редхата своего у них нет, так что правила писать некому Значит, повод для зав, Аноним (-), 22:38 , 15-Май-12, (4) +3 // ради самообразования не ради bsd vs linux , зачем нужен делали МАС по именам, вм, Аноним (-), 21:06 , 16-Май-12, (23) зачем сделали МАС по именам, а не по меткам , Аноним (-), 00:33 , 17-Май-12, (28) Не только ради простоты Пара примеров Далеко не все ФС поддерживают метки безопа, Аноним (-), 02:28 , 17-Май-12, (33) А что, MAC в рамках TrustedBSD так довели до рабочего состояния Afaik, история з, Аноним (-), 22:56 , 15-Май-12, (6) // Afaik оно работает, даже в OS X, не говоря уже о FreeBSD, где начиная с 5 версии, Аноним (-), 06:49 , 16-Май-12, (7) +1 В OS X запросто, там все-таки Apple А вот насчет Фри - не могли бы вы пруфы пре, Аноним (-), 14:39 , 16-Май-12, (12) http www freebsd org doc en_US ISO8859-1 books handbook mac html, Аноним2 (?), 15:18 , 16-Май-12, (14) +1 Брат аноним уже дал ссылку на оффициальный guide, там даже есть некий набор гото, Аноним (-), 15:19 , 17-Май-12, (40) MAC и фильтр сисколов - это совершенно разные технологии Capsicum - это аналог , Аноним (-), 22:40 , 15-Май-12, (5) +3 // Ну откуда ж ему знать то Его цель - просто пёрнуть в лужу, а не вникнуть в суть, user (??), 08:11 , 16-Май-12, (8) // Но по сути он все же прав На фре без SELinux тяжело , Аноним (-), 16:05 , 16-Май-12, (15) По сути во Фре есть свой MAC, да и порт SELinux тоже делали, SEBSD, незнаю, прав, Аноним (-), 15:21 , 17-Май-12, (41) Какой-то очень приблизительный аналог то - фильтр сисколов vs довески на права , Аноним (-), 12:32 , 17-Май-12, (38) Это такая хреновинка, которую 90 не знают и 9 отключают если включено , Куяврик (?), 10:24 , 16-Май-12, (9) // Да Практически все продвинутые технологии безопасности на десктопах и гoвносерв, Аноним (-), 14:41 , 16-Май-12, (13) +1 // и уже через годик почти любой подробный мануал по настройке чего-нибудь буде, Аноним (-), 16:06 , 16-Май-12, (16) +2 Потому что что виндозные ACL что вот это вот - такая хрень что проще застрелитьс, Аноним (-), 21:46 , 16-Май-12, (26) +1 Разобрались бы для начала в разнице между SELinux и Capsicum, потом бы писали бр, Kibab (ok), 18:44 , 16-Май-12, (17) Вообще-то если прочесть про капсикум, то Google планирует интегрировать его в яд, NoMan (?), 19:45 , 16-Май-12, (22) // В результате его интегрируют только в ядро ChromeOS А в мейнстиме среагируют та, Аноним (-), 02:11 , 17-Май-12, (29) Почему-то вспоминается анекдот Анонс в аэропорту планировал совершить посадку, Аноним (-), 12:36 , 17-Май-12, (39) Мне capsicum показался излишне усложнённым, seccomp filter в Linux гораздо проще, Аноним (-), 22:36 , 15-Май-12, (3) +3   // А можно поподробнее Было бы интересно послушать , Kibab (ok), 18:45 , 16-Май-12, (18)   // http outflux net teach-seccomp , Аноним (-), 19:02 , 16-Май-12, (20)   // Посмотрел, спасибо Что вывел для себя 1 В примере разрешаются вызовы read, wri, Kibab (ok), 19:31 , 16-Май-12, (21) +1   Я конечно понимаю что бсдшники - перфекционисты Но вот как раз именно поэтому и, Аноним (-), 21:42 , 16-Май-12, (25) –1   Проблема именно в том, что seccomp filters -- это не простое в использовании , Kibab (ok), 21:48 , 16-Май-12, (27)   А вон ту инструкциб из 13 действий мы назовем простой и удобной, ну конечно В р, Аноним (-), 02:17 , 17-Май-12, (30)   Ну вы сравнили bzip2 и хелловорлд - Вообще пора включить мозг -- 99 совреме, Kibab (ok), 02:38 , 17-Май-12, (35)   Ну все замечательно, конечно, но это аж 2 программы При том далеко не самые про, Аноним (-), 12:28 , 17-Май-12, (37) –1   Знаете, сейчас один из самых реальных и действенных способов ломануть юзера пом, Kibab (ok), 20:55 , 18-Май-12, (44)   Нет, тут просто решалась вполне конкретная задача докопаться к чему-нибудь И он, Аноним (-), 02:17 , 17-Май-12, (31)   Собственно, поэтому не вижу смысла вступать в диалог И другим не советую , Аноним (-), 02:18 , 17-Май-12, (32)   Ну так в случае идеальной софтины докопаться не получится Хотя наезды макофага , Аноним (-), 12:00 , 17-Май-12, (36)   А слабо теперь аргументировать, что вы тут понаписали - , Kibab (ok), 20:58 , 18-Май-12, (45)   Как раз искал Шикарно Спасибо огромное , _yurkis_ (?), 10:24 , 16-Май-12, (10) // Если искались, подпишитесь на cl-capsicum-discuss, откроете для себя ещё много и, Kibab (ok), 18:46 , 16-Май-12, (19) На BSDCan говорили, что уже в 9 1 будет в GENERIC , Аноним (-), 14:29 , 16-Май-12, (11) // а там не говорили когда 9 1 зарелизится , oops (ok), 17:17 , 17-Май-12, (42) // Планируется начать release cycle в конце мая и закончить в июле-августе , Alexander Motin (?), 19:17 , 18-Май-12, (43) Ну ать-ать-ать, кто ж так новости постит, а Это п Все бы замечательно конечн, Аноним (-), 21:39 , 16-Май-12, (24) +2 Ну, кто там сомневался что x86 с его куцыми регистрами - не рулит , Аноним (-), 02:38 , 17-Май-12, (34) 1,3,10,11,24,34

Сообщения

[Сортировка по времени | RSS]

3. "Руководство по использованию Capsicum для изоляции выполнени..."	+3 +/–
Сообщение от Аноним (-), 15-Май-12, 22:36
Мне capsicum показался излишне усложнённым, seccomp filter в Linux гораздо проще в понимании и использовании.
Ответить | Правка | Наверх | Cообщить модератору

	18. "Руководство по использованию Capsicum для изоляции выполнени..."	+/–
	Сообщение от Kibab (ok), 16-Май-12, 18:45
	> Мне capsicum показался излишне усложнённым, seccomp filter в Linux гораздо проще в > понимании и использовании. А можно поподробнее? Было бы интересно послушать.
	Ответить | Правка | Наверх | Cообщить модератору

	20. "Руководство по использованию Capsicum для изоляции выполнени..."	+/–
	Сообщение от Аноним (-), 16-Май-12, 19:02
	http://outflux.net/teach-seccomp/
	Ответить | Правка | Наверх | Cообщить модератору

	21. "Руководство по использованию Capsicum для изоляции выполнени..."	+1 +/–
	Сообщение от Kibab (ok), 16-Май-12, 19:31
	> http://outflux.net/teach-seccomp/ Посмотрел, спасибо. Что вывел для себя: 1. В примере разрешаются вызовы read, write. Это всё здорово, однако для stdin мне нужен только read, а для stdout только write. Тем не менее, этого ограничения не вводится. В Capsicum ограничиваются операции для каждого дескриптора в отдельности. 2. Разрешение exit, какого-то exit_group... Зачем? Почему они вообще требуют разрешения? 3. Куча каких-то вложенных структур, необходимых для инициализации защиты. Почему всё так сложно сделано? 4. Почему для того, чтобы посмотреть, каких системных вызовов мне ещё не хватает, я должен цеплять какой-то мутный объектник? Почему нельзя было сделать выделенный код возврата из вызова syscall ("Not permitted in capability mode", "Capabilities insufficient" в FreeBSD Capsicum)? 5. +    if (errno == EINVAL) +        fprintf(stderr, "SECCOMP_FILTER is not available. :(\n"); Ну да, конечно же, errno == EINVAL это лучший способ проверить, доступна ли фича для использования. Сравнить с feature_present("security.capability_mode") я оставлю в качестве самостоятельного упражнения. Неделю назад я, когда читал доклад про Capsicum на BSD Day, сказал, что пока не смотрел, насколько seccomp filter отличается от seccomp, но подозреваю, что сильно лучше не стало. Я рад, что не соврал уважаемым слушателям. С учётом того, что разработка Capsicum поддерживается в том числе и Google и в перспективе весьма массивно будет двигаться в ядро Linux, а равно как и в OpenBSD, я позволю себе дальше не заморачиваться с seccomp filter.
	Ответить | Правка | Наверх | Cообщить модератору

	25. "Руководство по использованию Capsicum для изоляции выполнени..."	–1 +/–
	Сообщение от Аноним (-), 16-Май-12, 21:42
	> Посмотрел, спасибо. Что вывел для себя: > 1. В примере разрешаются вызовы read, write. Это всё здорово, однако для > stdin мне нужен только read, а для stdout только write. Я конечно понимаю что бсдшники - перфекционисты. Но вот как раз именно поэтому и рулят более другие системы. Да никому в этом мире не уперлось максимальное решение со всеми наворотами. Надо реально работающее и простое в использовани. Так, в общем случае.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Руководство по использованию Capsicum для изоляции выполнени..."	+/–
	Сообщение от Kibab (ok), 16-Май-12, 21:48
	>> Посмотрел, спасибо. Что вывел для себя: >> 1. В примере разрешаются вызовы read, write. Это всё здорово, однако для >> stdin мне нужен только read, а для stdout только write. > Я конечно понимаю что бсдшники - перфекционисты. Но вот как раз именно > поэтому и рулят более другие системы. Да никому в этом мире > не уперлось максимальное решение со всеми наворотами. Надо реально работающее и > простое в использовани. Так, в общем случае. Проблема именно в том, что seccomp filters -- это не "простое в использовании". Даже тупой хелловорлд содержит уйму boilerplate-кода, доказательство тому -- просто чтение этого самого мануала по ссылке... И я бы поспорил, что оно "реально работает" -- когда у вас появляются ещё файлы, кроме stdin и stdout, и вы хотите из них читать и при этом что-то плевать на консоль -- вы автоматически вынуждены разрешить write(). Теперь вопрос -- на какие дескрипторы будет разрешён write() ? Я допускаю, правда, что в seccomp filter существует не менее хитрый способ ещё и отфильтровать аргументы у системных вызовов. Иначе бы этим вообще было бы невозможно пользоваться. Но он вряд ли будет менее кривым, чем способ инициализации этого фреймворка :-)
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Руководство по использованию Capsicum для изоляции выполнени..."	+/–
	Сообщение от Аноним (-), 17-Май-12, 02:17
	> Проблема именно в том, что seccomp filters -- это не "простое в > использовании". Даже тупой хелловорлд содержит уйму boilerplate-кода, А вон ту инструкциб из 13 действий мы назовем простой и удобной, ну конечно. В результате закончится все тем что 99% прикладников на это положат большой румяный ..., а вы переделывайте за ними по феншую, если пупок не развяжется.
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Руководство по использованию Capsicum для изоляции выполнени..."	+/–
	Сообщение от Kibab (ok), 17-Май-12, 02:38
	> А вон ту инструкциб из 13 действий мы назовем простой и удобной, > ну конечно. В результате закончится все тем что 99% прикладников на > это положат большой румяный ..., а вы переделывайте за ними по > феншую, если пупок не развяжется. Ну вы сравнили bzip2 и хелловорлд :-))) Вообще пора включить мозг -- 99% современного софта написано без особой оглядки на безопасность, поэтому переделывать в любом случае придётся много. Конечно, всё сразу переделать не удаться никому :-) Однако всё и не нужно. Критические системные сервисы и сетевые службы -- в первую очередь. И здесь мы вспоминаем про недавние новости про поддержку seccomp filters в vsftpd и OpenSSH, например. Далее, один из основных разрабочиков OpenSSH сидит от меня через два кабинета, и он в кулуарных разговорах высказывал заинтересованность в поддержке Capsicum. А на тех поделкописателей, которые будут упорно орать, что безопасность не важна -- в конце концов и положат большой и румяный :-)
	Ответить | Правка | Наверх | Cообщить модератору

	37. "Руководство по использованию Capsicum для изоляции выполнени..."	–1 +/–
	Сообщение от Аноним (-), 17-Май-12, 12:28
	> И здесь мы вспоминаем про недавние новости про поддержку seccomp filters > в vsftpd и OpenSSH, например. Ну все замечательно, конечно, но это аж 2 программы. При том далеко не самые проблемные в плане реальных взломов через них. Что это напоминает? Правильно, похоже на microsoft‑windows‑xp‑with‑firewall.jpg > Далее, один из основных разрабочиков OpenSSH сидит от меня через два кабинета, > и он в кулуарных разговорах высказывал заинтересованность в поддержке Capsicum. Я рад за вас, но к чему это все? Попонтоваться? Собственно это его геморрой, ему и решать - надо ему еще порцию возни или нет. Один какой-то ssh, далеко не самый дырявый на свете - вообще ничего такого не меняет. Машина где кроме ssh ничего нет - вообще бесполезна для окружающих. А вот тут то и будет основной болт, ровно такой же как случился в винде. У которой технически есть куча пермиссий на все что можно, но практически - оно настолько задрюкано что прикладники просто кладут на это. Просто потому что трах с откусыванием прав до тотального минимума, выяснение какие права нужны и прочая - займут чуть ли не больше времени чем написание остальной части программы. Ну вот все и забили на это дружно. Прикладники положили - юзерам пришлось сидеть под админом. Иначе половина прикладух ломается непредсказуемым образом. Но некоторые видимо не хотят учить чужие ошибки. Да, это кстати и к seccomp filter относится. Ну и будет еще два раза по microsoft‑windows‑xp‑with‑firewall.jpg на практике. > А на тех поделкописателей, которые будут упорно орать, что безопасность не важна > -- в конце концов и положат большой и румяный :-) То-есть, бсдшники положат сами на себя? Помнится им тут однажды paxuser довольно конкретно раздал, сравнив разные технологии hardening-а. А что, рискнете revisit'ануть дискуссию и рассказать что в отношении к секурити поменялось с тех пор? А то там помнится даже у убунтов средств по втыканию палок в колеса хакерам было больше чем у флегматичных пофигистов-теоретиков.
	Ответить | Правка | Наверх | Cообщить модератору

	44. "Руководство по использованию Capsicum для изоляции выполнени..."	+/–
	Сообщение от Kibab (ok), 18-Май-12, 20:55
	> Ну все замечательно, конечно, но это аж 2 программы. При том далеко > не самые проблемные в плане реальных взломов через них. Что это > напоминает? Правильно, похоже на microsoft‑windows‑xp‑with‑firewall.jpg Знаете, сейчас один из самых реальных и действенных способов ломануть юзера (помимо social engineering, ликвидация проблем в этой области находится вне компетенции программистов) -- это через браузер, через его дыры. В этом плане безусловным молодцом является так нелюбимый на этом форуме Google Chrome, который как раз интенсивно использует доступные на целевой платформе технологии обеспечения безопасности. Кстати говоря, поддержка Capsicum была туда уже добавлена в ходе изначального эксперимента, см. подробнее публикации по Capsicum. Там же было хорошее сравнение различных механизмов безопасности на различных ОС, и Linux выглядел не в самом лучшем свете. Правда, seccomp filter там ещё не было. Но, судя по тому, что я видел в факе по ссылке выше, особо ничего не поменялось. Такая же наколеночная поделка. >> Далее, один из основных разрабочиков OpenSSH сидит от меня через два кабинета, >> и он в кулуарных разговорах высказывал заинтересованность в поддержке Capsicum. > Я рад за вас, но к чему это все? Попонтоваться? "Попонтоваться" можно было бы, если бы это был я ;))) > А вот тут то и > будет основной болт, ровно такой же как случился в винде. У > которой технически есть куча пермиссий на все что можно, но практически > - оно настолько задрюкано что прикладники просто кладут на это. Ещё раз настоятельно рекомендую ознакомиться с публикациями про Capsicum. В том числе там подробно рассказано, почему механизмы безопасности Windows, призванные защищать данные одного юзера от другого, плохо работают для сендбоксинга приложений. > это дружно. Прикладники положили - юзерам пришлось сидеть под админом. Иначе > половина прикладух ломается непредсказуемым образом. Но некоторые видимо не хотят учить > чужие ошибки. Да, это кстати и к seccomp filter относится. Ну > и будет еще два раза по microsoft‑windows‑xp‑with‑firewall.jpg > на практике. Да, у большинства авторов руки растут из жопы и про безопасность они не думают. Что, это повод пользоваться дырявым софтом? > То-есть, бсдшники положат сами на себя? Помнится им тут однажды paxuser довольно > конкретно раздал, сравнив разные технологии hardening-а. Кто это? я его не знаю. Можно ссылку на дискуссию? Было бы интересно почитать!
	Ответить | Правка | Наверх | Cообщить модератору

	31. "Руководство по использованию Capsicum для изоляции выполнени..."	+/–
	Сообщение от Аноним (-), 17-Май-12, 02:17
	> Я конечно понимаю что бсдшники - перфекционисты. Нет, тут просто решалась вполне конкретная задача: докопаться к чему-нибудь. И она более-менее решена, в прямом и топорном стиле. Возможность не предусмотрена - "как же мы без этого и того?" Возможность предусмотрена - "к чему все эти навороты?" Как говорится, плох тот мент, который к столбу не докопается. И еще: свинья везде грязь найдет. А конструктивной критикой тут и не пахнет.
	Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

	32. "Руководство по использованию Capsicum для изоляции выполнени..."	+/–
	Сообщение от Аноним (-), 17-Май-12, 02:18
	> А конструктивной критикой тут и не пахнет. Собственно, поэтому не вижу смысла вступать в диалог. И другим не советую.
	Ответить | Правка | Наверх | Cообщить модератору

	36. "Руководство по использованию Capsicum для изоляции выполнени..."	+/–
	Сообщение от Аноним (-), 17-Май-12, 12:00
	>> Я конечно понимаю что бсдшники - перфекционисты. > Нет, тут просто решалась вполне конкретная задача: докопаться к чему-нибудь. Ну так в случае идеальной софтины докопаться не получится. Хотя наезды макофага на пингвин, при том что в его хомякоподелке и пятой части фич пингвина нет - выглядят забавно.
	Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

	45. "Руководство по использованию Capsicum для изоляции выполнени..."	+/–
	Сообщение от Kibab (ok), 18-Май-12, 20:58
	> Нет, тут просто решалась вполне конкретная задача: докопаться к чему-нибудь. > И она более-менее решена, в прямом и топорном стиле. > А конструктивной критикой тут и не пахнет. А слабо теперь аргументировать, что вы тут понаписали? :-)
	Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема