Исходное сообщение
"Вышел релиз OpenBSD 4.6" Отправлено PereresusNeVlezaetBuggy, 20-Окт-09 23:27
>[оверквотинг удален] >>Слабая, зато простая. А чем сложнее, тем легче ошибиться. >> >>> Программы работающие с uid == 0 не такая уж >>>и редкость, напрмер, для того чтобы демон смог слушать на порту >>>< 1024 его нужно запускать с uid == 0 и это >>>даёт ему неограниченный доступ ко всей системе. >> >>Пардон, а вы про privilege revocation слышали? > >слышал, но это ж надо приложения переписывать Большинство нормальных программ уже так написано — Apache HTTPd Server, BIND, PostgreSQL… А если такая защита грамотно реализована, то получается практически непробиваемая для всяких injection'ов стена, от чего тот же MAC не спасёт. >я и про POSIX.1E знаю, но этого нет на OpenBSD Нет, и, AFAIK, не будет по вышеупомянутым причинам: слишком много сложностей вносит, значительно увеличивая вероятность ошибки (как минимум; как максимум — это ещё и куча дополнительного кода, который тоже надо тщательно исследовать). >>Виртуальные окружения отнюдь не панацея - дырки в собственно ПО зачастую дополняются >>дырками в виртуализаторах; да и не спасают они от собственно взлома >>- в случае со всякими Web-сервисами это обычно уже означает кражу >>и/или порчу ценной информации. > >jail на FreeBSD достаточно неплох и securelevel для каждого jail свой, можно >в приложение добавить, как например, сделано в портах для isc-dhcpd Да, jail, как и OpenVZ — вещь приятная. sysjail, к сожалению, загнулся после нахождения критичных проблем в systrace. :(