Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

AppArmor и Yama будут включены в Linux-ядро 2.6.36, opennews (ok), 31-Июл-10, (0) [смотреть все] Я то думал, что на АррАrmor уже давно все забили и оно в анабиозе гдето лежит К, KERNEL_PANIC (ok), 10:24 , 31-Июл-10, (2) +2 // Тебе оно мешает Не хочешь - не используй Вреда не принесет, а польза будет явн, goof.gooffy (ok), 12:33 , 31-Июл-10, (3) –3 // Ну из описания, например, не понятно какие у неё плюсы по сравнению с SELinux , dimqua (ok), 12:57 , 31-Июл-10, (4) // а плюсов нетДо селинукса этим велосипедам далеко, Аноним (-), 13:15 , 31-Июл-10, (5) +7 Только в настройке геморроен и если кто считает что селинуху нельзя поднасрать -, User294 (ok), 22:17 , 31-Июл-10, (14) –8 Видимо, вы просто плохо понимаете, как работает Linux Контейнеры дают ровно таку, аноним (?), 00:18 , 01-Авг-10, (26) +2 Не линукс а искусственные довески к нему в виде всяких SELinix-ов и прочие манда, User294 (ok), 11:27 , 01-Авг-10, (29) –7 Контейнеры - ровно так же Срубаются в два счета Да-да, для использования уязвим, аноним (?), 14:27 , 01-Авг-10, (35) А пруф Например, образец сплойта который вышибет хоть тот же опенвз Примеры сп, User294 (ok), 02:16 , 04-Авг-10, (48) –1 Резюмируя контейнеры дают ровно такую же степень защиты, как и LSM, при этом пр, аноним (?), 00:20 , 01-Авг-10, (27) +2 Да не настолько уж и больше Зависит от конкретики, конечно Кстати думается что, User294 (ok), 11:43 , 01-Авг-10, (30) –5 А про то, что в каждом контейнере пашут всякие вспомогательные службы типа sshd,, аноним (?), 14:29 , 01-Авг-10, (36) При некоторой организации процесса sshd можно и совсем не запускать можно напри, User294 (ok), 02:48 , 04-Авг-10, (49) –1 Главный плюс AppArmor в том, что с ней можно разобраться за 5 минут, там очень п, Аноним (-), 13:16 , 31-Июл-10, (6) +1 Ну дык будь последовательным и сравни _возможности_ SELinux и AppArmor, это неб, Аноним (-), 18:26 , 31-Июл-10, (13) Первым можно задолбаться защищать систему и его могут сломать смотрим как работ, User294 (ok), 22:20 , 31-Июл-10, (15) –6 Админа, который полез в серьезный продакшен, не затруднив себя изучением основ р, аноним (?), 23:48 , 31-Июл-10, (23) В природе есть два мнения - ваше и неправильное Сильно зависит от контейнеров, User294 (ok), 12:04 , 01-Авг-10, (31) –6 Ну вы сразу бы и говорили, что вы скрипт кидди, и ничего не понимаете в работе с, аноним (?), 14:18 , 01-Авг-10, (34) Да, если дело дошло до хоста и его ядра А удастся ли спровоцировать проблему из, User294 (ok), 03:42 , 04-Авг-10, (50) –1 AppArmor не ставит перед собой глобальных целей, он просто позволяет не дать зап, Аноним (-), 22:26 , 31-Июл-10, (16) –3 Так должна работать нормальная система MAC, например, selinux в targeted-режиме , аноним (?), 23:50 , 31-Июл-10, (24) +2 Рискну высказать своё некомпетентное в уме не е-у ни байта ни про SELinux ни пр, StrangeAttractor (ok), 02:59 , 01-Авг-10, (28) –3 Не надо сравнивать кислое с длинным selinux - для защиты промышленных серверов, , аноним (?), 15:41 , 31-Июл-10, (9) +7 Не согласен Если система сложная, админу труднее умещать ее в своей голове Рас, User294 (ok), 22:36 , 31-Июл-10, (18) –5 Админу тык кто его пустит то политики вертеть Не его это дело, а таки спеца п, slepnoga (??), 22:51 , 31-Июл-10, (21) Угу, для управления парой серверов ща отрастим бюрократическую машину по принцип, User294 (ok), 12:14 , 01-Авг-10, (32) –2 Вы, видимо, просто никогда не работали с selinux Да, для изучения базовых навыко, аноним (?), 23:55 , 31-Июл-10, (25) +2 Как вам сказать Я посмотрел на его политики, сломал моск и решил что могу не ху, User294 (ok), 12:22 , 01-Авг-10, (33) –4 Позвольте узнать, ваше знакомство с арифметикой закончилось так же Ага, а еще я , аноним (?), 14:33 , 01-Авг-10, (37) Нет, почему же, я знаю и высшую математику Только, простите, я успешно забыл на, User294 (ok), 13:26 , 09-Авг-10, (51) А давайте wine в ядро запхнём А чего, хочешь используй - не хочешь используй , MidNighter (?), 13:16 , 31-Июл-10, (7) +4 // Да вроде как уже см longene Правда, не mainstream, что радует , аноним (?), 15:49 , 31-Июл-10, (11) –1 Не ядерный код - не запихнем , User294 (ok), 22:37 , 31-Июл-10, (19) –1 Так все в ядро пихнуть можно Оно и так уже раздуто, по самый не могу, даже Лину, KERNEL_PANIC (ok), 14:18 , 31-Июл-10, (8) +1 Неа Пользы по сравнению с tomoyo ноль, а вред может принестись запросто Чем б, аноним (?), 15:45 , 31-Июл-10, (10) +1 Вообще, в случае локального удаленного рута apparmor будет защищать не лучше пре, аноним (?), 16:13 , 31-Июл-10, (12) +3 почему никто на grsecurity не обращает внимания что там не так http www grsec, i (??), 22:32 , 31-Июл-10, (17) // Там уже можно вилдкард для дир Нет - ну запиливаем обратно на сервак без юзвер, slepnoga (??), 22:47 , 31-Июл-10, (20) +1 В новости ни слова об OpenWall Linux, хотя первые 2 из трёх возможностей Yama , segoon (ok), 21:49 , 01-Авг-10, (38) RSBAC - http www rsbac org - гибче и мощнее Но включать в ядро его не хотят , gapsf2 (ok), 06:30 , 02-Авг-10, (39) –1 // ну хоть ктото наконец то про него написал из всего сброда что радует , Yuriy (??), 14:48 , 02-Авг-10, (40) –3 Отсутствие нормально спроектированной, последовательной подсистемы безопасности , Роман (??), 15:18 , 02-Авг-10, (41) –1 // Вы про ACL или ещё что-то ACL уже давно есть , segoon (ok), 17:06 , 02-Авг-10, (42) // Для произвольного системного объекта подлежащего защите или только для файлов , Роман (??), 19:04 , 02-Авг-10, (44) –1 Тут, кстати, я полностью верю в закон Дарвина Чем больше подсистем безопаснос, segoon (ok), 17:17 , 02-Авг-10, (43)   // Я не против модульности в системе безопасности В конце концов, в Windows это то, Роман (??), 19:25 , 02-Авг-10, (45) –1   // А вы в курсе того, на что способна эта unix-модель Когда она была создана, каки, segoon (ok), 20:56 , 02-Авг-10, (46)   Кстати, про by design В Windows множество ошибок, в т ч безопасности, были и, segoon (ok), 21:56 , 02-Авг-10, (47)   В виндовсе в какой то мере соблюдается обратная совместимость с предыдущими верс, nagual (ok), 04:19 , 05-Дек-10, (52) А вот и контроилирует без capability sys_admin, mount --bind и pivot_root невоз, Аноним (-), 19:11 , 21-Мрт-17, (53) 2,12,17,38,39,41,52,53

Сообщения

[Сортировка по времени | RSS]

	43. "AppArmor и Yama будут включены в Linux-ядро 2.6.36"	+/–
	Сообщение от segoon (ok), 02-Авг-10, 17:17
	>Отсутствие нормально спроектированной, последовательной подсистемы безопасности в Linux приводит к необходимости вот >таких костыльных решений. > >В этом смысле архитектура безопасности Windows не в пример лучше - единый >механизм защиты для любого системного объекта. Тут, кстати, я полностью верю в закон Дарвина :) Чем больше подсистем безопасности в апстриме (читай - на виду у всех), тем лучше их можно изучить, выявить слабые и сильные места и пр. Если не появится явного лидера, то уже существующие сгладят свои острые углы. Вот, к примеру, начало жаркого обсуждения почему _нужны_ несколько security подсистем: http://lkml.org/lkml/2007/10/1/192 И как вы, мне интересно, нормально спроектируете систему политики безопасности, которая удовлетворяла бы _всех_/почти всех?
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	45. "AppArmor и Yama будут включены в Linux-ядро 2.6.36"	–1 +/–
	Сообщение от Роман (??), 02-Авг-10, 19:25
	>Чем больше подсистем >безопасности в апстриме (читай - на виду у всех), тем лучше >их можно изучить, выявить слабые и сильные места и пр. Если >не появится явного лидера, то уже существующие сгладят свои острые углы. > >И как вы, мне интересно, нормально спроектируете систему политики безопасности, которая удовлетворяла >бы _всех_/почти всех? Я не против модульности в системе безопасности. В конце концов, в Windows это тоже фактически отдельный модуль (Security Reference Monitor) статически влинкованный в ядро. Я об общей её архитектуре. Если в Windows продвинутая модель безопасности закладывалась на этапе проектирования (линейка NT), то Linux изначально и by design ограничен unix-моделью, а прордвинутые фишки добавлены задним числом (я бы даже сказал - через задний проход) в виде LSM.
	Ответить | Правка | Наверх | Cообщить модератору

	46. "AppArmor и Yama будут включены в Linux-ядро 2.6.36"	+/–
	Сообщение от segoon (ok), 02-Авг-10, 20:56
	А вы в курсе того, на что способна эта unix-модель? Когда она была создана, какие задачи она должна решать (и ведь решает до сих пор!), и где её возможности кончаются?) Вы можете назвать популярные проблемы, которые в классической модели posix не решаются или решаются криво? Правительственные многоуровневые модели прав к таковым не относить. Простота unix даёт о себе знать, в настройке простой вещи намного сложнее ошибиться, чем в сложной (простите за каламбур).
	Ответить | Правка | Наверх | Cообщить модератору

	47. "AppArmor и Yama будут включены в Linux-ядро 2.6.36"	+/–
	Сообщение от segoon (ok), 02-Авг-10, 21:56
	Кстати, про by design... В Windows множество ошибок, в т.ч. безопасности, были именно by design. Если выбирать между много всего, в т.ч. ошибок, и ограниченно, но контролируемо, то я лучше выберу второе.
	Ответить | Правка | К родителю #45 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема