Ежели у вас на "серваке в датацентре" ssh висит без всякой защиты да ещё и на стандартном порту, то вы ССЗБ. iptables для кого придумали? Или файрволы нынче не в моде? А если есть файрвол, зачем его функциональность пихать в другие демоны?

И не надо "городить костыли" - достаточно написать несколько шаблонов конфигурации, всё равно от этого никуда не деться.

Юниксвейно - юзать его в связке со специализированной IDS/IPS, например fail2ban. Настраивается легко и быстро.

294, да залогинься уже

А про программные рейды, видимо, придется смотреть в man cryptofs? :)

но речь про шифрование фс.

Ну бред же. :) Вот в той же Windows NT всякие ACL и MAC имеются с рождения. И даже используются везде и повсюду, в отличие от всяких там grsecurity. Что, Windows NT от этого становится безопаснее? :)

От количества способов безопасность сама по себе не улучшится. Можно говорить «вероятнее, там, где больше способов, будет лучше реализация», но не более того.

И ещё, не стоит забывать, что каждая система защита тоже может быть уязвима. Поэтому, как ни парадоксально, чем больше систем защиты, тем потенциально уязвимее ОС. Системы защиты должны быть — да. Но в меру: их должно быть мало, они должны быть просты и эффективны в работе. MAC с этой точки зрения весьма и весьма неоднозначен, так как вероятность ошибки администратора или программиста возрастает многократно. При этом ложное чувство защищённости зачастую провоцирует пренебрежение другими системами защиты (только не говорите, что «это неправильные админы» — покажите мне человека, который никогда и ничем не пренебрегает), и в конечном счёте зачастую приводит к появлению дыр в защите — которых просто не было бы без этих систем защиты.

И на всякий случай: речь не о том, что MAC — это однозначно плохо. Речь о том, что его недостатки зачастую недооценивают.

А если кто-то придумает грамотное развитие идеи MAC, нивелирующее его недостатки, то patches are always welcome. :)

Если быть более точным, текущие реализации MAC опёнковцев не особо устраивают. Видел комментарии от разработчиков о возможности прикручивания ACL к файловой системе. В целом же классический UNIX-контроль доступа звучит как: «это твоя сфера ответственности и делай здесь, что тебе нужно, а это не твоя», а MAC — «вот это можно, вот это нельзя, здесь можно только это, за исключением ещё вот того и того...». И единственно правильного выбора здесь нет. :)

> Вот не люблю я, когда вместо программистов работают демагоги.

Плодами трудов этих демагогов почему-то пользуются люди далеко за пределами OpenBSD. ;)

>> Не путайте безопасность и фичастость.
> MAC - это безопасность.

MAC — это способ раздачи и ограничения прав доступа. Один из.

> А то, что в сабже - костыли от неимения MAC.

Кому костыли, а кому и нет. Потенциал у systrace вообще довольно большой.

> Никогда еще не видел, чтобы нагромождение костылей с закономерным запутыванием всего и
> вся повышало безопасность.

Это вы про MAC, да? ;)

Отстающими были названы не другие реализации существующих технологий, а платформы, не имеющие технологий, сравнимых по возможностям с cgroups и namespaces.

Иметь другую реализацию технологии (схожую по возможностям) и не иметь вообще никакой реализации - это два принципиально разных случая. В данном случае речь идет именно о втором.