Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Для FreeBSD развивается механизм изоляции, похожий на plegde и unveil, opennews (??), 03-Апр-22, (0) [смотреть все] Зато не apparmor selinux, воть , Аноним (1), 11:16 , 03-Апр-22, (1) –2 // Как там было в 171 Хоббите 187 Ножи 8212 не вилки, а скалы 8212 не , Аноним (6), 11:47 , 03-Апр-22, (6) +1 // Ножи W Орлы, Аноним (6), 11:53 , 03-Апр-22, (7) –2 man mac Зато очередной лапчато-опеннетный онализ на основе знакомых слов, Аноним (-), 12:02 , 03-Апр-22, (9) +4 Сабж надо сравнивать не с MAC, а с механизмами syscall-изоляции В Linux это Sec, Аноним (15), 13:24 , 03-Апр-22, (15) +4   // А домик как у ниф-нифа или как у наф-нафа , Аноним (54), 12:32 , 04-Апр-22, (54) –1   // Если серьезно, то фильтрация системных вызовов и фильтрация обращений к файловой, Аноним (15), 16:46 , 04-Апр-22, (55)   Очень глупый вопрос - но чем это отличается от chroot Ещё вспомнил про контроль, _kusb (ok), 11:26 , 03-Апр-22, (2) +2 // Чистый chroot не предел для взлома еще с 90-х Зная невероятный дебилизм ядра, с, qew (?), 11:44 , 03-Апр-22, (4) –3 // Тут чрут подкреплённый хуками к ядру Ну типа стопудовее, пластичнее может даже , йцу (?), 11:45 , 03-Апр-22, (5) Не для школьников, а для senior yaml developer ов И докер это вообще не про изол, Легивон (?), 13:19 , 03-Апр-22, (14) +2 // До этого тридцать лет девелопили на шелле Теперь будут сколько-то лет девелопит, Аноним (15), 13:31 , 03-Апр-22, (19) Конкретно доскер к изоляции вообще никакого отношения не имеет , Онаним (?), 15:45 , 03-Апр-22, (28) –2 Пацаны во дворе рассказали , Аноним (31), 16:18 , 03-Апр-22, (31) –1 Ну, тебе как заядлому дворовому обитателю - скорее всего виднее, да А вообще дос, Онаним (?), 21:26 , 03-Апр-22, (41) –1 Изначально это объявлялось именно как изоляция Это потом, когда изоляция оказал, Аноним (35), 19:12 , 03-Апр-22, (35) +1 Изоляция - это LXC, namespaces и прочая обвязка, так-то Доскер её только конфиг, Онаним (?), 21:27 , 03-Апр-22, (42) –1 И даже про LXC я не прав, LXC такой же костылик Короче именно ядерная составляю, Онаним (?), 22:10 , 03-Апр-22, (43) Может, вам сторит все-таки подучить матчасть, прежде чем встревать в интеллектуа, Аноним (15), 03:18 , 04-Апр-22, (48) Может тебе для начала русский подучить, сторит , Онаним (?), 07:58 , 04-Апр-22, (50) Полноценность ты будешь определять, конечно же, да , Аноним (31), 16:17 , 03-Апр-22, (30) –1 https ru wikipedia org wiki D0 9F D0 BE D0 BB D0 BD D0 BE D1 82 D0 B0_ D0 BF , anonfhjvxd (?), 21:03 , 03-Апр-22, (40) senior yaml developer - это пять, возьму на заметку, спасибо, Онаним (?), 15:44 , 03-Апр-22, (27) Сениёр ямль девелопер-это не школьник, это посетитель детского сада Как и автор, Аноним (35), 19:15 , 03-Апр-22, (36) Тем не менее, платят им раз в десять больше, чем senior shell developer-ам , Аноним (15), 03:10 , 04-Апр-22, (45) –2 Вы путаете педали cgroups не обеспечивают chroot, для этого есть namespaces ко, Аноним (15), 13:38 , 03-Апр-22, (22) Во-первых, больших пользователей SELinux особо нет, либо они тщательно законспир, Аноним (39), 19:54 , 03-Апр-22, (39) Это не аналог chroot, это аналог seccomp ну и вторая штука аналог apparmor seli, мишалипут (?), 17:26 , 03-Апр-22, (34) Capsicum a должно быть всем достаточно , Аноним (3), 11:37 , 03-Апр-22, (3) Ну то есть вот это 171 для немодифицированных программ 187 рубит основную ид, В.Ж. (?), 11:59 , 03-Апр-22, (8) +1 // Звучит как unshare Там тоже можно запустить любую излишне любопытную программу , Аноним (10), 12:05 , 03-Апр-22, (10) // unshare - это тот же механизм, который лежит в основе LXC и докера И нет, он не, Аноним (15), 13:27 , 03-Апр-22, (17) // Фильтрация системных вызовов в свою очередь звучит не то как apparmor, не то как, Аноним (10), 13:33 , 03-Апр-22, (20) Не, звучит как seccomp Apparmor и yama - это модули MAC, более высокий уровень а, Аноним (15), 13:47 , 03-Апр-22, (24) В таком случае как всегда, пока в gcc не встроят не взлетит А какие существуют , qwe (??), 12:08 , 03-Апр-22, (11) // Разбить на бинарники дать разные права вызывать разные бинари в зависимости от с, Аноним (18), 13:29 , 03-Апр-22, (18) // А потом захочется 1 Бинарники, решающие одни и те же задачи по преднастройке ок, Аноним (15), 13:34 , 03-Апр-22, (21) +1 А в винде можно в случае необходимости вызвать диалог повышения привелегий и неп, Аноним (33), 17:11 , 03-Апр-22, (33) А в этих ваших юниксах для того же самого уязвимости всякие ищут, да , Аноним (15), 03:16 , 04-Апр-22, (47) Для этого уже давно придумали простое решение, называется privilege separation К, Аноним (15), 13:19 , 03-Апр-22, (13) Расскажите ему про jail , Sadok (ok), 12:53 , 03-Апр-22, (12) // restrictions are also enforced on top of it Видимо, прочитал на опеннете и п, Аноним (-), 13:44 , 03-Апр-22, (23) Еще одна реализация по типу capsicum заточенная на программистов, а не админов Е, Аноним (25), 13:57 , 03-Апр-22, (25) Очередная смузи-поделка Лишь доказывает теорию того, что современное айти упёрл, Смузихлёб (?), 15:54 , 03-Апр-22, (29) +7 // Эх, золотые слова , Аноним (38), 19:49 , 03-Апр-22, (38) +1 А там глядишь и systemd на bsd портируют Лет через 10-15 можно будет в каких-, Аноним (31), 16:26 , 03-Апр-22, (32) –2 С этим unevil в firefox ни локальные файлы не открыть, а теперь он даже в Загру, Аноним (37), 19:47 , 03-Апр-22, (37) +1 Не, ну это как-то не по-опенсорсному Надо, чтобы новая утилита дублировала функц, YetAnotherOnanym (ok), 22:52 , 03-Апр-22, (44) +4 // Возможно, именно это и подразумевается Ведь когда из-за конфликта систем что-то, Аноним (15), 03:13 , 04-Апр-22, (46) +1 // Эммм ну это не лишено смысла , YetAnotherOnanym (ok), 11:24 , 04-Апр-22, (53) https lists freebsd org archives freebsd-hackers 2022-March 000940 html, Аноним (-), 10:10 , 04-Апр-22, (52) Как обычно - свое уникальное, ни с кем не совместимое , Аноним (56), 01:41 , 06-Апр-22, (56) // Расскажи поподробнее, с чем совместимы cgroups, seccomp, namespaces, apparmor , Аноним (-), 11:57 , 06-Апр-22, (57) 1,2,3,8,12,25,29,32,37,44,52,56

Сообщения

[Сортировка по времени | RSS]

	15. "Для FreeBSD развивается механизм изоляции, похожий на plegde..."	+4 +/–
	Сообщение от Аноним (15), 03-Апр-22, 13:24
	> Зато не apparmor/selinux, воть! Сабж надо сравнивать не с MAC, а с механизмами syscall-изоляции. В Linux это Seccomp, во фре - Capsicum. By the way, у лапчатых с этим уже много лет как все просто - пишешь в юнит-файл SystemCallFilter= (для системных вызовов) и InaccessiblePaths= (для файловой системы), и ты в домике.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	54. "Для FreeBSD развивается механизм изоляции, похожий на plegde..."	–1 +/–
	Сообщение от Аноним (54), 04-Апр-22, 12:32
	А домик как у ниф-нифа или как у наф-нафа?
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Для FreeBSD развивается механизм изоляции, похожий на plegde..."	+/–
	Сообщение от Аноним (15), 04-Апр-22, 16:46
	Если серьезно, то фильтрация системных вызовов и фильтрация обращений к файловой системе - это только элементы в комплексной защите. Есть IPC, есть сеть, которые надо тоже ограничивать. Есть опции компилятора для затруднения атак. Ну и ресурсы надо квотировать, чтобы DoS всей системы не было.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема