Исходное сообщение
"Ubuntu Studio переходит c Xfce на KDE" Отправлено Аноним, 09-Май-20 21:47
> А как в KDE с безопасностью? Как и во всем десктопном линуксе. Логика в десктопной операционной системы заключается в ориентации на неграмотного пользователя. Пользователя, который сам себе прострелит ногу, понятия не имеет как что-то сделать. Который скачает вишмастер и самостоятельно запустит его от имени рута. Решить эту проблему можно, но вони будет... http://man7.org/linux/man-pages/man7/capabilities.7.html CAP_SYS_ADMIN - вот это надо порубить к чертям собачим. Это в ядре. Там всё в порядке кроме вот этой конкретной капабилити от которой мне становится тошно. Включить SELinux и сделать ему targeted policy на все поставляемые пакеты и сделать его неотключаемым от слова совсем. Думаю, тут и Apparmor подойдёт. Главное получить системный MAC/RBAC, контролируемый создателем дистрибутива и который нельзя поменять без жутких телодвижений (перезагрузиться куда-нибудь в спец-режим загрузчика, ввести, пароль, девичью фамилию матери и прочая социальная хрень, призванная запугать). Написать к нему GUI, который гадит страшными окнами, когда какая-то программа лезет что-то менять дальше хомяка. И сделать так чтобы даже применение пермиссивного флага требовала согласований по 10 раз. На стороне демонов... рута нужно запретить, каждому демону выдавать пользователей под MAC/RBAC. Отделить компоненты ОС (пакеты в репозитории) от программ пользователя. Тут всякие flatpak и помогают. Ну или snap в мире убунту. Отдельно обновлять ОС от этих flatpak. ОС обновлять принудительно, flatpak по желанию. Выдать в апстрим стабильное API, чтобы он сам собирался без помощи меинтенеров ОС. Окружение рабочего стола тут дело десятое. В линуксе базовых вещей по десктопной безопасности нет пока что. Canonical и Red Hat очень стараются. Но поймите, это очень трудно, когда пользователь "ценит свободу" он не захочет ставить ОС, которая считает его "дураком, ценящим свободу" и не позволяет себя перенастраивать. Плюс деньги еще на эту разработку. На рабочей станции нужно иное, нужно чтобы было подконтрольно компании, а не разработчику дистрибутива. А десктопник это консьюмер, который максимум 10 баксов задонатит. При этом "сообщество" это плохо доится через рекламу (открытые ос и телеметрия такое себе). Где деньги на разработку этого брать. Ирония в том, что борцуны за свободу от телеметрии часто пишут об этом в социальных сетях 0\

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> А как в KDE с безопасностью? > Как и во всем десктопном линуксе. > Логика в десктопной операционной системы заключается в ориентации на неграмотного пользователя. > Пользователя, который сам себе прострелит ногу, понятия не имеет как что-то > сделать. Который скачает вишмастер и самостоятельно запустит его от имени рута. > Решить эту проблему можно, но вони будет... > http://man7.org/linux/man-pages/man7/capabilities.7.html > CAP_SYS_ADMIN - вот это надо порубить к чертям собачим. Это в ядре. > Там всё в порядке кроме вот этой конкретной капабилити от которой > мне становится тошно. > Включить SELinux и сделать ему targeted policy на все поставляемые пакеты и > сделать его неотключаемым от слова совсем. Думаю, тут и Apparmor подойдёт. > Главное получить системный MAC/RBAC, контролируемый создателем дистрибутива и который > нельзя поменять без жутких телодвижений (перезагрузиться куда-нибудь в спец-режим загрузчика, > ввести, пароль, девичью фамилию матери и прочая социальная хрень, призванная запугать). > Написать к нему GUI, который гадит страшными окнами, когда какая-то программа > лезет что-то менять дальше хомяка. И сделать так чтобы даже применение > пермиссивного флага требовала согласований по 10 раз. > На стороне демонов... рута нужно запретить, каждому демону выдавать пользователей под MAC/RBAC. > Отделить компоненты ОС (пакеты в репозитории) от программ пользователя. Тут всякие flatpak > и помогают. Ну или snap в мире убунту. Отдельно обновлять ОС > от этих flatpak. ОС обновлять принудительно, flatpak по желанию. Выдать в > апстрим стабильное API, чтобы он сам собирался без помощи меинтенеров ОС. > Окружение рабочего стола тут дело десятое. В линуксе базовых вещей по десктопной > безопасности нет пока что. Canonical и Red Hat очень стараются. Но > поймите, это очень трудно, когда пользователь "ценит свободу" он не захочет > ставить ОС, которая считает его "дураком, ценящим свободу" и не позволяет > себя перенастраивать. Плюс деньги еще на эту разработку. На рабочей станции > нужно иное, нужно чтобы было подконтрольно компании, а не разработчику дистрибутива. > А десктопник это консьюмер, который максимум 10 баксов задонатит. При этом > "сообщество" это плохо доится через рекламу (открытые ос и телеметрия такое > себе). Где деньги на разработку этого брать. Ирония в том, что > борцуны за свободу от телеметрии часто пишут об этом в социальных > сетях 0\
	Введите код, изображенный на картинке: