Вариант для распечатки		Пред. тема | След. тема
Форум Информационная безопасность (Безопасность системы)
Изначальное сообщение		[ Отслеживать ]

"systemd плюет на вашу безопасность."	+/–
Сообщение от 3847982 (?), 25-Дек-25, 23:45
аааааа!!! какже пригорает! я уже прожег стул и вскипятил ванну остужая свой пукан. короче к сути: системд срал на то что ты пишешь в конфигфайле программы, у него свой конфиг и он имеет приоритет над конфигом любой программы!!!! надо мне ссш и пару других сервисов изолировать от интернета но сохранить функционал, я поставил yggdrasil повесил сервисы на её ipv6 адрес подключил к своей частной сети, и что? и ничего!!! в /etc/ssh/sshd_config прямо написано слушать только inet6 и ipv6 адрес игдрасиль, перегружаем а оно продолжает слушать ipv4 и хоть ты тресни будет его слушать даже если ты его убрал с конфига! накопал как это убрать в системд, отключил создание сокета до запуска ссш, запретил его вообще нахрен. заработало как надо. но, ноооо.... но при перезапуске игдрасиль меняет ipv6 адрес! рукалицо и много мата. а ведь приватный ключ создан и путь к нему указан, он не должен меняться - а он и не меняется(многомата) он вообще не читается а генерируется не лету по тому что тадаааааммм!!! СИСТЕМД! эта тварь имеет свой конфиг и то что ты пишешь в конфиге программы вообще можешь не писать и удалить к чертям. бесит!бесит!беситнеимоверно!!!!!!!!!!!!!!!!!!!!!!!!! пошел копать где у меня конфиг игдрасиль в системде будь он проклят. система убунту 24 если что. а безопасность тут при чем? при том что написав в конфиге слушать только 1 интерфейс ты будешь думать что слушается только он, а оно по умолчанию будет слушать все. простите за эмоциональность я хочу набить ебало тому (вырезаноцензурой) кто это проэктировал и внедрял.
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 26-Дек-25, 01:31	+/–
>хочу набить ебало тому (вырезаноцензурой) кто это проэктировал и внедрял Все хотят. Но капитализм. Кто девушку оплачивает, тот ее и танцует. Меняй дистр.
Ответить | Правка | Наверх | Cообщить модератору

2. Сообщение от Аноним (2), 26-Дек-25, 09:24	+/–
Бред несешь. Системд вообще не в курсе за сервисы и их конфиги. Он не может иметь "свой конфиг" для них. Что пропишешь в юните, так оно и будет работать. И вероятно юниты для иггдрасиля идут прямо от авторов иггдрасиля, так что претензии к ним. > пошел копать где у меня конфиг игдрасиль в системде будь он проклят ЧТД. Ты тупо не в курсах, где у тебя что валяется. Очевидно, что когда запускаешь сервис, на него в первую очередь влияет определение сервиса из systemctl cat myservice.service. А уже потом все остальное.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5

3. Сообщение от Аноним (3), 27-Дек-25, 10:35	+/–
> эта тварь имеет свой конфиг и то что ты пишешь в конфиге программы вообще можешь не писать и удалить к чертям это ты про сокет-активацию что ли?
Ответить | Правка | Наверх | Cообщить модератору

4. Сообщение от Tron is Whistling (?), 27-Дек-25, 10:52	+1 +/–
В systemd бывает сокетная активация - и у неё свой конфиг. Если дистр сделан так, что висит не sshd, а сокетная активация systemd - и править надо там.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #7

5. Сообщение от gg (??), 28-Дек-25, 18:44	+/–
https://seclists.org/oss-sec/2025/q4/298
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

6. Сообщение от pavel_simple. (?), 29-Дек-25, 12:57    Скрыто ботом-модератором	+/–
> аааааа!!! какже пригорает! я уже прожег стул и вскипятил ванну остужая свой > пукан. ручке из пoпkи, виноват системда. Логично. Похоже и голова там-же где и ручке
Ответить | Правка | Наверх | Cообщить модератору

7. Сообщение от Аноним (7), 29-Дек-25, 13:18	+/–
> В systemd бывает сокетная активация - и у неё свой конфиг. Если > дистр сделан так, что висит не sshd, а сокетная активация systemd > - и править надо там. От такого подхода еще в 2000е отказались в inetd из-за чудовищных накладных расходов на запуск sshd - гораздо дешевле его запустить и слушать 22 порт. Но в системд настолько "прогрессивен", что мало того что переизобрел inetd, дак еще и sshd запускает при долбёжке по сокету.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #8, #9

8. Сообщение от Tron is Whistling (?), 29-Дек-25, 14:50	+/–
Вот только "накладные расходы" на VMM с тех пор стали куда меньше.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

9. Сообщение от Tron is Whistling (?), 29-Дек-25, 14:51	+/–
И да - хотите демоном вешайте, хотите по сокету дёргайте, тут уже всё на совести дистростроителей. systemd умеет как то, так и это. Кстати говоря "переизобретённый" inetd - очень неплох.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

10. Сообщение от shadow_alone (ok), 29-Дек-25, 16:53	+/–
О, кто-то не разобрался в сокетах. Какой милый подрыв. Учи матчасть...
Ответить | Правка | Наверх | Cообщить модератору

11. Сообщение от Аноним (-), 03-Янв-26, 10:22	+/–
> а безопасность тут при чем? при том что написав в конфиге слушать только 1 интерфейс ты будешь думать что слушается только он, а оно по умолчанию будет слушать все. У всех инит системах так. Это связано с самими сервисами в которых разрабами предусмотрено приоритет опций командной строки над опциями в конфигурационном файле. Уберите опции с командной строки и будут использоваться те, что прописаны в конфиге. Система инициализации должна создавать все необходимые каталоги для логов, пидов, сокетов. Так привилегий серверному процессу необходимо меньше, а значит безопасность будет выше. По этой же причине создание сокета (для портов <1024) системой инициализации повисит безопасность сервиса. Проблема в безопасности systemd это одновременное выделение областей в режиме W и X!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #13

12. Сообщение от Аноним (-), 03-Янв-26, 10:24	+/–
> а безопасность тут при чем? при том что написав в конфиге слушать только 1 интерфейс ты будешь думать что слушается только он, а оно по умолчанию будет слушать все. У всех инит системах так. Это связано с самими сервисами в которых разрабами предусмотрено приоритет опций командной строки над опциями в конфигурационном файле. Уберите опции с командной строки (указанные в настройках systemd) и будут использоваться те, что прописаны в конфиге. Система инициализации должна создавать все необходимые каталоги для логов, пидов, сокетов. Так привилегий серверному процессу необходимо меньше, а значит безопасность будет выше. По этой же причине создание сокета (для портов <1024) системой инициализации повисит безопасность сервиса. Проблема в безопасности systemd это одновременное выделение областей в режиме W и X!
Ответить | Правка | Наверх | Cообщить модератору

13. Сообщение от Аноним (13), 07-Янв-26, 08:37	+/–
> Проблема в безопасности systemd это одновременное выделение областей в режиме W и X! А также разрешение пользовательским процессам, проходя через JS фильтры передавать данные и команды привилегированным процессам.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

14. Сообщение от Аноним (-), 12-Янв-26, 15:23	+/–
> СИСТЕМД! эта тварь имеет свой конфиг и то что ты пишешь > в конфиге программы вообще можешь не писать и удалить к чертям. И ты этого не знал О_о?! > пошел копать где у меня конфиг игдрасиль в системде С этого и надо было начать. > systemd плюет на вашу безопасность Проблема не в systemd, а в неосиляторах, которые не понимают как она работает, не хотят разобраться и не в состоянии разобраться. Вот раньше линуксом пользовались компетентные люди, которые могли. А сейчас понабежало хомов, которые умеют только "набить е6ало", да и то только на словах. Хз что ты там собираешься приватно делать через yggdrasil, но глядя как умело ты все настраиваешь... как бы ты не подарил пару звездочек на погоны кому-то. Переходи лучше на вин11, тебе там самое место.
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема