https://opennet.ru/openforum/vsluhforumID3/77123.html Немецкая компания Sirrix (http://www.sirrix.de/content/pages/home.htm) представила продукт под именем BitBox (http://www.sirrix.de/content/pages/57064.htm) (browser in a box - браузер в коробке), разработанный по заказу правительства Германии и представляющий собой безопасную версию браузера Firefox 4, которая работает в изолированном окружении и не может навредить или привести к утечке информации из операционной системы.<br><br><br>Интересно, что в качестве способа изоляции в BitBox используется не какая-либо легковесная технология виртуализации, а самый настоящий VirtualBox, внутри которого запускается урезанная версия дистрибутива Debian 6 с браузером Firefox вместо рабочего стола. Каждый запуск BitBox происходит "с чистого листа", возвращая виртуальную машину к изначальному состоянию. Для сохранения состояния, настроек браузера, а также полученных из сети файлов используется разделяемый с основной системой каталог, для доступа к которому необходимо войти в систему под другой учетной запис...<br><br>URL: http://www.pcw https://opennet.ru/openforum/vsluhforumID3/77123.html#161 Sun, 22 May 2011 00:26:06 GMT Сколько денег то потратило государство на эту чудо разработку?<br> https://opennet.ru/openforum/vsluhforumID3/77123.html#160 Fri, 20 May 2011 18:40:10 GMT &gt; Что до OpenVZ, похоже, что единственным вендором, который <br>&gt; его поддерживает, является AltLinux<br><br>Ещё как минимум Owl, причём насколько знаю -- в проекте Openwall его аудитили и после этого стали класть в дистрибутив.<br><br>Также см. Proxmox (специальный дистрибутив для HN под виртуализацию).<br><br>Сами ovz-шники поддерживают редхат (многие на центосе и пользуются).<br><br>В Debian, Gentoo есть vzctl как минимум -- про поддерживаемое ядро не знаю.<br> https://opennet.ru/openforum/vsluhforumID3/77123.html#159 Fri, 20 May 2011 09:03:26 GMT &gt;&gt; предлагаю вообще ОС выкинуть.<br>&gt; Вообще-то Лёша по существу говорит, но будто не учитывает,<br>&gt; что функциональность ovz/lxc немножко шире и притом тоже<br>&gt; полезна. ovz-шники, кстати, ещё и код аудитят<br>&gt; да дырки патчат нередко.<br><br>Миша, я не из детского сада, да? Я прекрасно понимаю<br>разницу между vserver/openvz и chroot-ом.<br>И по поводу СУ-27 я уже высказался. Это очень, очень!,<br>клевый самолет.<br><br>Но когда я говорю "много кода - плохо", я знаю, о чем я говорю.<br>Я уже много лет пользуюсь vserver в комплектации Debian.<br>Мягко говоря, есть к нему претензии.<br>Что до OpenVZ, похоже, что единственным вендором, который<br>его поддерживает, является AltLinux, переходить на который мне,<br>во-первых, не очень то хочется, а во вторых это мало реально<br>в моих условиях. При этом, я повторюсь, в МОЕМ случае chroot-а<br>было бы достаточно, особенно с тех пор как в Линуксе появился<br>read only mount --bind ("mount -t null -o ro" в BSD был всегда).<br> https://opennet.ru/openforum/vsluhforumID3/77123.html#158 Fri, 20 May 2011 01:27:38 GMT &gt; ещё раз: *сейчас* оно есть? есть. в чём проблема? у тебя по <br>&gt; службе задача слетать в прошлое и там что-то настроить? так возьми <br>&gt; с собой в прошлое ядро с lxc.<br><br>Даже в настоящем от ядра с LXC в плане замены chroot толку мало, потому что неймспейсы включаются в момент clone(2), а чрут работает уже после, поэтому сложность модификации приложений относительно высока. Непереносимость LXC тоже энтузиазма не доставляет.<br> https://opennet.ru/openforum/vsluhforumID3/77123.html#157 Fri, 20 May 2011 01:18:17 GMT &gt; и то, и другое. и проверка на выход из загончика, и проверка <br>&gt; на наличие прав на каталог. потому как я не вижу фундаментальной <br>&gt; разницы между chdir и fchdir, разница только в нюансах передачи имени <br>&gt; каталога. соответственно, и проверки должны быть одинаковые.<br><br>Проверка на наличие прав и сейчас производится для chdir и fchdir почти одинаково, с небольшой разницей в моменте проверки прав на родительские директории в пути.<br><br>Например, если отобрать у other users права на чтение-поиск в /, то и fchdir на её дескриптор (допустим, его открыли до смены прав на /) провалится с EACCES. Но такая проверка никак не запрещает побег из chroot. А значит, нужно добавить проверку на доступность директории в chroot-окружении, как уже сделано в Grsecurity и NetBSD. Если вы предлагаете дополнительные проверки, то какие, и в каких конкретных ситуациях они будут полезны?<br><br>&gt; и на любой fd после смены юзера, кстати. я не считаю правильным, <br><br>Ну вот это и разрушит модель привилегий, сильно ограничив применимость chroo https://opennet.ru/openforum/vsluhforumID3/77123.html#156 Thu, 19 May 2011 21:27:48 GMT &gt; предлагаю вообще ОС выкинуть.<br><br>Вообще-то Лёша по существу говорит, но будто не учитывает, что функциональность ovz/lxc немножко шире и притом тоже полезна. ovz-шники, кстати, ещё и код аудитят да дырки патчат нередко.<br><br>В частности, namespaces повышают "транспортабельность" контейнеров: если он всё равно со своим IP должен быть, то на каком бы физическом хосте с подобной конфигурацией сети ни работал -- будет просто работать. Чрут может быть вынужден знать слишком много о системе, на которой живёт. И файрвол в нём отдельно не построишь -- то есть система о чруте тоже должна знать довольно много.<br><br>Вот и выходит, что чрут позволяет решить схожую задачу, но только в варианте tight coupling -- а контейнеры позволяют (помимо прочего) сделать loose coupling.<br><br>2 vle: присмотрись внимательно к сети в своём VPS. :)<br> https://opennet.ru/openforum/vsluhforumID3/77123.html#155 Thu, 19 May 2011 12:50:59 GMT &gt;&gt; предлагаю вообще ОС выкинуть. а то там стооооолько кода&#8230; <br>&gt; ПО &#8212; это как раз тот случай, когда, чем меньше объем, тем <br>&gt; лучше, <br>&gt; при сохранении НУЖНОГО функционала конечно.<br><br>ну так я и говорю: ОС не нужна. лучше каждую программу делать в стиле &#171;сам себе ОС&#187;, а то многие программы ведь не используют кучу кода из ОС, зачем он нужен?<br><br>&gt; Нет. Сказано "если хочешь довезти две тачки навоза на свой огород, <br>&gt; возьми белаз, он предназначен для перевозок". А носилки просто <br>&gt; выбросили &#171;за ненадобностью&#187;, оставив только грузовики разных <br>&gt; калибров и грузоподъемностью.<br><br>где? можно мне ссылку на коммит, которым выкинули поддержку chroot?<br> https://opennet.ru/openforum/vsluhforumID3/77123.html#154 Thu, 19 May 2011 12:20:32 GMT &gt; предлагаю вообще ОС выкинуть. а то там стооооолько кода&#8230;<br><br>ПО - это как раз тот случай, когда, чем меньше объем, тем лучше,<br>при сохранении НУЖНОГО функционала конечно.<br><br>&gt; а кто сказал &#171;выкинуть&#187;? сказано: &#171;не перевози десятитонные грузы на роликах, <br>&gt; возьми грузовик.&#187; <br><br>Нет. Сказано "если хочешь довезти две тачки навоза на свой огород,<br>возьми белаз, он предназначен для перевозок". А носилки просто<br>выбросили "за ненадобностью", оставив только грузовики разных<br>калибров и грузоподъемностью.<br> https://opennet.ru/openforum/vsluhforumID3/77123.html#153 Thu, 19 May 2011 12:12:09 GMT &gt;&gt;&gt; Линуксу 20 лет от роду. Когда появился lxc?<br>&gt;&gt; какая разница? есть? хорошо.<br>&gt; потребность в изоляции процессов появилась сегодня?<br>&gt; вчера? позавчера?<br><br>ещё раз: *сейчас* оно есть? есть. в чём проблема? у тебя по службе задача слетать в прошлое и там что-то настроить? так возьми с собой в прошлое ядро с lxc.<br><br>&gt; Меньше кода &#8212; меньше багов, в том числе дыр в безопасности.<br>&gt; Не говоря уже о трудозатратах на разработку и поддержку кода.<br><br>предлагаю вообще ОС выкинуть. а то там стооооолько кода&#8230;<br><br>&gt; А вообще, ролики, велисипед, мопед, мотоцикл, <br>&gt; легковая авто, грузовик &#8212; нужны.<br>&gt; Не вижу смысла в отказе от велосипеда или даже от роликов, <br>&gt; если в наличии имеется грузовик и мотоцикл.<br><br>а кто сказал &#171;выкинуть&#187;? сказано: &#171;не перевози десятитонные грузы на роликах, возьми грузовик.&#187;<br>