forum.opennet.ru - "В Fedora 40 планируют включить изоляцию системных сервисов" (113)

"В Fedora 40 планируют включить изоляцию системных сервисов"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
Сообщение от opennews (?), 20-Ноя-23, 23:20
В выпуске Fedora 40 предложено включить настройки изоляции для включаемых по умолчанию системных сервисов systemd, а также сервисов с важными приложениями, такими как PostgreSQL, Apache httpd, Nginx и MariaDB. Предполагается, что изменение позволит значительно повысить защищённость дистрибутива в конфигурации по умолчанию и даст возможность блокировать неизвестные уязвимости в системных сервисах. Предложение пока не рассмотрено комитетом FESCo (Fedora Engineering Steering Committee), отвечающим за техническую часть разработки дистрибутива Fedora. Предложение также может быть отклонено в процессе рецензирования сообществом... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=60152
Ответить \| Правка \| Cообщить модератору

Оглавление

что опять господи, я простой юзверь, сбежавший от добровольно-принудительной пы, Ну я все же доем... (?), 23:20 , 20-Ноя-23, (1) –21

А че, в виндовсе появилась изоляция Раньше это была помойка, где у всех есть пр, Банан (?), 03:59 , 21-Ноя-23, (33) +2

Раньше - это с 1985 по 1993 Потому что с 1993 есть Windows NT 3 1, где это не т, Аноним (-), 09:43 , 21-Ноя-23, (80) +3

Вы не застали эпидемии autorun-вирусов на безопасной XP, которая была потомком, Аноним (87), 12:14 , 21-Ноя-23, (87) +3

А вот NT 3 5 3 5 1 была потомком многими забытой но до сих пор существующей , Neandertalets (ok), 12:33 , 21-Ноя-23, (88) +1

Преимущества Неуловимого Джо , vvm13 (ok), 13:37 , 21-Ноя-23, (96) +4

Соглашусь, что имеет место и это быть Но всё таки не только , Neandertalets (ok), 14:23 , 21-Ноя-23, (104)

Только Я OS 2 успел напользоваться вдоволь И вирусы там были, и все остальные , Аноним (161), 04:12 , 24-Ноя-23, (161)

Ну а про вирусы именно под OS 2 не варианты под подсистему DOS, т е обычные DO, Neandertalets (ok), 08:40 , 24-Ноя-23, (163)

Во всех NT-based видите ли без регалий админа софтом пользоваться почти невозмож, Аноним (-), 06:21 , 23-Ноя-23, (143)

Иными словами, вирусне достаточно прав пользователя, под которым она запущена, ч, X86 (ok), 09:26 , 23-Ноя-23, (149)

В принципе - да Но если я софт ставил в линухе как рут, пакетником, а системные, Аноним (-), 17:49 , 23-Ноя-23, (154)

А зачем зловреду права системных сервисов, если достаточно прав текущего пользов, X86 (ok), 09:43 , 25-Ноя-23, (166)

Эпидемии ауторан-вирусов были возможны потому, что подавляющее большинство юзеро, Аноним (-), 21:18 , 21-Ноя-23, (118) +1

Да вот видите ли - под ограниченными учетками виндовый софт ломался чуть менее ч, Аноним (-), 17:51 , 23-Ноя-23, (155)

Чушь Вся безопасность Пинды на авторитетных обещаниях W подписях держится Даж, Аноним (89), 12:47 , 21-Ноя-23, (89) +1

Ну, можетида - но она там определенно _есть_ и определенно держится - в отличи, User (??), 14:11 , 21-Ноя-23, (102) +1

Кому нужно открыли для себя opensnitch Открыли и тут же закрыли Потому что app, Аноним (136), 16:33 , 22-Ноя-23, (136)

Ну, да - как-то вот так оно все и выглядит Мы тут рассуждаем, как в космос прав, User (??), 12:00 , 23-Ноя-23, (152)

На фоне этих поделий мои конфиги тоже смотрятся просто звездолетами С одной сто, Аноним (-), 21:07 , 23-Ноя-23, (157)

И все это - не привлекая внимания санитаров Неуловимого Джо - опять не поймали , User (??), 21:36 , 23-Ноя-23, (160)

Я так то еще до кучи умею Enterprise Admin быть Поэтому имел возможность сравни, Аноним (-), 06:02 , 24-Ноя-23, (162)

Да не интересен твой локалхост примерно никому, узбагойся Сделаешь ну если не E, User (??), 09:39 , 24-Ноя-23, (165)

systemd позволяет переопределить любой unit файл просто скопируйте стандартные , leap42 (ok), 05:24 , 21-Ноя-23, (45) +2

Бубунта движется в направлении Snap OS , Минона (ok), 15:10 , 21-Ноя-23, (105) +1

Скрыто модератором, Аноним (-), 06:22 , 23-Ноя-23, (144)

Если это какой-то вид иронии, то звучит ещё глупее , Аноним (69), 07:33 , 21-Ноя-23, (69)

не иронияя правда не понимаю, это забота о пользователях или забота о пользоват, Ну я все же доем... (?), 08:08 , 21-Ноя-23, (73) –2

У меня такое же ощущение Уже 11 лет на всех моих ПК - Linux Раньше он был офиген, Аноним (75), 08:52 , 21-Ноя-23, (75) +5

Ставь слачельничек И на работе тоже ставь слачельничек , Аноним (78), 09:40 , 21-Ноя-23, (78)
Никогда и нигде resolv conf не правился вручную Ты откуда-то из 90х вынырнул, в, Аноним (79), 09:42 , 21-Ноя-23, (79) –1

такие дистрибутивы как Дебиан ты хотел сказать, Аноним (109), 15:39 , 21-Ноя-23, (109) –2

Недееспособные пользователи дебианом не удовлетворены А вот убунта их периодичес, Аноним (87), 20:08 , 21-Ноя-23, (113)

А вы вообще понимаете физический смысл этих опций Они означают - последователь, Аноним (87), 12:50 , 21-Ноя-23, (91) +3

угу, а потом отгадайте какой из серверов вернул NOERROR и какую то хрень в поле , Anononononon (?), 11:42 , 22-Ноя-23, (128)

devuan и antix адекватно ответят на ваши запросы а африканскую поделку ненавижу, glad_valakas (?), 21:09 , 21-Ноя-23, (117)
Можно же было просто спросить у знающих людей Что делает resolved Поттеринга Он, leap42 (ok), 07:25 , 22-Ноя-23, (124) +1

и не забудьте sudo chattr i etc resolv confслишком много желающих переписать, , glad_valakas (?), 08:24 , 22-Ноя-23, (125) +1

Стесняюсь спрашивать - а настройка статических адресов на сервере через network-, User (??), 09:21 , 22-Ноя-23, (126)
А мог почитать документацию Мне как раз недавно было надо что-то подобное, так , Zulu (?), 00:30 , 23-Ноя-23, (141)

Это ядерная изоляция Она почти бесплатная , Аноним (89), 12:48 , 21-Ноя-23, (90) +2

Правильно, производительность - зло , Avririon (ok), 23:23 , 20-Ноя-23, (2) –9

Это все на cgroups и бинд маунтах, ни холодно ни жарко от этого производительнос, Аноним (3), 23:28 , 20-Ноя-23, (3) +12

cgroupsпроизводительностьАхтунг Взаимоисключающие параграфы Более того, с net n, Tron is Whistling (?), 23:59 , 20-Ноя-23, (7) –9

Где Сдуру можно всё что угодно сломать , Аноним (87), 11:08 , 21-Ноя-23, (83)

Особенно если CVE почитать , Tron is Whistling (?), 21:52 , 22-Ноя-23, (139)

Поэтому давайте сделаем как Win95 - нет подсистем безопасности нет вулнов в них , Аноним (-), 06:33 , 23-Ноя-23, (146)

Опечаточка как раз про cgroups и network namespaces V2 правда получше А с после, Tron is Whistling (?), 09:51 , 23-Ноя-23, (150)

Ну правильно, поэтому давайте сделаем проходной двор где всем можно все и не буд, Аноним (156), 17:57 , 23-Ноя-23, (156)

Достоинство ядра Linux - практически все эти ограничения идут с нулевым оверхедо, Аноним (87), 01:27 , 21-Ноя-23, (15) +5

Ды щаз, с нулевым оверхедом Одних структур только на полкеша , Tron is Whistling (?), 09:52 , 23-Ноя-23, (151) –1

Де факто на производительность не влияет с точностью до погрешности измерений ка, Аноним (-), 21:11 , 23-Ноя-23, (158)

Где тут угроза производительности Они же не в снапы докеры флътпаки аппимэйджи , Аноним (22), 02:09 , 21-Ноя-23, (22) +3

Ну как же, все эти проверки требуют помимо исполнения полезных команд ещё и усло, Аноним (47), 06:24 , 21-Ноя-23, (47)

Соболезную тем кто захочет поставить Fedora 40 на Pentium II Советую им ещё раз, AleksK (ok), 08:23 , 21-Ноя-23, (74) +2

Зато мне тебя ни чуть не жаль Не понятно лишь, что ты делаешь в этом своём IT с, Аноним (47), 13:17 , 21-Ноя-23, (93) –1

Получаю 100500 денег и радуюсь жизни, а что , Аноним (87), 20:10 , 21-Ноя-23, (114)

А ты это он , Аноним (47), 12:58 , 22-Ноя-23, (130)

Ну что делаю Пользуюсь адекватным железом и софтом Я не обладаю супер способно, AleksK (ok), 23:59 , 22-Ноя-23, (140)

У меня домашний медиасервер крутится на Core2Duo под Fedora 39 Знатно всё крути, Аноним (120), 21:53 , 21-Ноя-23, (120)

Это фича ядра Можно и из портянки на Баше вызвать службу через какой-нибудь bwr, Аноним (89), 12:50 , 21-Ноя-23, (92) –1

Что только не придумают, чтобы не использовать pledge 2 , Аноним (4), 23:45 , 20-Ноя-23, (4)

Хорошая команда, но у нее есть фатальный недостаток , Аноним (6), 23:58 , 20-Ноя-23, (6) +2

какой расскажи же нам, умоляем пожалуйста-припожалуйста открой нам тайну, Аноним (20), 02:06 , 21-Ноя-23, (20)

NIH, ano (??), 04:01 , 22-Ноя-23, (123)

Это же сискол, а не команда , Аноним (4), 10:41 , 21-Ноя-23, (82)

syscall - это как раз команда процессора , Аноним (47), 13:21 , 21-Ноя-23, (94)

Точно процессора , Минона (ok), 15:22 , 21-Ноя-23, (106) +1

Это в том числе и инструкция процессора syscall Assembly Instruction , Анонимпс (?), 18:23 , 21-Ноя-23, (110)

Хотя раньше системные вызовы работали без нее, насколько я помню , Анонимпс (?), 18:25 , 21-Ноя-23, (111)

Работали, но прерываниями называть не солидно, это же не ДОС , Аноним (47), 13:13 , 22-Ноя-23, (133)

Абсолютно точно Как и sysenter, и int 0x80 , Аноним (47), 13:11 , 22-Ноя-23, (132)

pledge 2 - это сискол Для таких умных, как ты, в скобках двойка Но ты её, увы, Аноним (4), 20:12 , 21-Ноя-23, (115)

Вижу, конечно Как и неумелые попытки заняться буквоедством, тогда как по сущест, Аноним (47), 13:10 , 22-Ноя-23, (131) +1

Буквоедством первым начал заниматься не я Можно было и сразу догадаться по перв, Аноним (4), 03:32 , 23-Ноя-23, (142)

Смотря какой Их два OpenBSD - оверхед минимален, но каждую прогу нужно патчить,, Аноним (87), 01:31 , 21-Ноя-23, (16) +2
Ну покажи как ты это лихо запиливаешь своему сервису за 5 минут Я то произвольн, Аноним (-), 06:36 , 23-Ноя-23, (147)

В Федоре тестируют потом в Шапке внедрят и мы через лет 10 увидим в шапке то что, Аноним (5), 23:56 , 20-Ноя-23, (5) +3
Нехорошие звоночки с явным привкусом копроративного aнaльного огораживания , Аноним (8), 00:01 , 21-Ноя-23, (8) –4

Сама система прав доступа этим привкусом отдаёт Это что - руту можно все файлы , Аноним (87), 01:25 , 21-Ноя-23, (14) +6

Звучит шикарно, сначала повесить синхронизацию времени на systemd, потом отрезат, Аноним (9), 00:26 , 21-Ноя-23, (9) +1

Правильно, защитим истинный юниксвей Не дадим отнять у апача возможность менять, Аноним (87), 01:23 , 21-Ноя-23, (13) +7
Вы путаете системд и юниты, которыми он управляет, Хрысь (?), 13:59 , 21-Ноя-23, (98)

Разобравшись с разницей между systemd и его юнитами, стоит перейти к понимаю раз, Аноним (87), 20:13 , 21-Ноя-23, (116)

А с какой бы легитимной целью допустим httpd, или кто там, мог бы захотеть мне с, Аноним (-), 21:14 , 23-Ноя-23, (159)

Да, ладно, мою уже с 39 версии заизолировали, вылетает из сессии каждые 5 минут , Oe (?), 00:44 , 21-Ноя-23, (10) +2

А ты форточку закрывай, чтобы не вылетало , Аноним (17), 01:52 , 21-Ноя-23, (17)
У меня нормально работает, уже месяц как стоит , Аноним (81), 09:58 , 21-Ноя-23, (81)

Переключи на классический gnome в окне входа и попробуй как работает, Oe (?), 13:50 , 21-Ноя-23, (97)
Так долго нельзя - некроз будет , Минона (ok), 15:31 , 21-Ноя-23, (107)

C беты всё бессбойно работает Ты 8212 мелкий лжец, Аноним (120), 21:56 , 21-Ноя-23, (121)

Эти чудики диграются и будет как в серьезнный гайдах - а сейчас мы поставим Orac, Аноним (11), 00:51 , 21-Ноя-23, (11) –2

Нормальные люди его выкорчёвывают ещё на этапе установки Со всем и насовсем , Аноним (8), 02:34 , 21-Ноя-23, (32) –3

Разочарую Он является частью ядра И выкорчёвывешь ты только его политики макси, Хрысь (?), 14:01 , 21-Ноя-23, (99)

и что делать свои ядра в деривативах редхата уже немодно можно выиграть от 1 , glad_valakas (?), 21:21 , 21-Ноя-23, (119) –1

Они и делают свои, по последнему писку моды Скопировали конфиг и собрали своё , Аноним (47), 13:17 , 22-Ноя-23, (134)
В нормальных местах запрещены в проде самосборные ядра от Васянов, Хрысь (?), 16:30 , 22-Ноя-23, (135) +1

если Васян сертифицированный специалист редхата, то можно , glad_valakas (?), 17:33 , 22-Ноя-23, (137)

тоже нельзясамособранное ядро любое отказ в техподдержке, еропка (?), 18:08 , 22-Ноя-23, (138)

с одной стороны логично, с другой стороны шли бы они лесом , glad_valakas (?), 07:34 , 23-Ноя-23, (148)

Нормальные люди умеют его настраивать , Dima (??), 11:55 , 22-Ноя-23, (129) +1

Кончался 2023 год Человеческая цивилизация доживала последние дни Приложения вал, Аноньимъ (ok), 02:29 , 21-Ноя-23, (28) –4

ух, щас бы тмп с такими правами монтировать, ух, Пароним (?), 02:12 , 22-Ноя-23, (122)

Не надо этих полумер Каждому сервису - персональный контейнер , Meganonimus (?), 04:21 , 21-Ноя-23, (39)

Уже есть такой дистр, Хрысь (?), 14:02 , 21-Ноя-23, (101)
Это тебе к мадам Рутковской или мадмуазель Ставь Qubes и каждому сервису бу, 1 (??), 14:12 , 21-Ноя-23, (103)

Пани Рутковска полька, а потому во-первых пани , а во-вторых Рутковска , а не , Второй из Кукуева (?), 09:35 , 24-Ноя-23, (164)

Сначала изолируют сервисы, потому будут фиксить ошибки обхода изоляции, Аноним (71), 07:43 , 21-Ноя-23, (71)
Очередная новость о том, что корпарасы пилят, то что им нужно для своего бизнеса, Аноним (76), 08:57 , 21-Ноя-23, (76) –2

Добро пожаловать в реальный мир опенсорса , Минона (ok), 15:36 , 21-Ноя-23, (108)
Люди не хотят объединяться и пилить без корпорастов к сожалению, ленивые какие-т, Анонимпс (?), 18:28 , 21-Ноя-23, (112)

Пускай Docker yes внедрят, а то цены на сборки под 1151v2 всё ещё не падают , Аноним (78), 09:36 , 21-Ноя-23, (77) –1

Простите, у вас винда или мак На линуксе докер нативный, поэтому проблем с прои, Аноним (87), 12:12 , 21-Ноя-23, (86) +1

Сообщения [Сортировка по времени | RSS]

1. "В Fedora 40 планируют включить изоляцию системных сервисов" –21 +/–

Сообщение от Ну я все же доем... (?), 20-Ноя-23, 23:20

что опять( господи, я простой юзверь, сбежавший от добровольно-принудительной пыточной камеры копрорации ООО «МЕЛКОСОФТ», так меня и тут прогревают(((

Ответить | Правка | Наверх | Cообщить модератору

33. "В Fedora 40 планируют включить изоляцию системных сервисов" +2 +/–

Сообщение от Банан (?), 21-Ноя-23, 03:59

А че, в виндовсе появилась изоляция? Раньше это была помойка, где у всех есть права на все.

Ответить | Правка | Наверх | Cообщить модератору

80. "В Fedora 40 планируют включить изоляцию системных сервисов" +3 +/–

Сообщение от Аноним (-), 21-Ноя-23, 09:43

>>Раньше это была помойка, где у всех есть права на все.
Раньше - это с 1985 по 1993? Потому что с 1993 есть Windows NT 3.1, где это не так. Так что если сильно было нужно, это было реально.
На практике, конечно, мало кто ей пользовался на десктопе, а вот с 1996 года тем, кому реально это было нужно, уже была доступна очень стабильная и юзабельная на обычных машинах NT4.

Ответить | Правка | Наверх | Cообщить модератору

87. "В Fedora 40 планируют включить изоляцию системных сервисов" +3 +/–

Сообщение от Аноним (87), 21-Ноя-23, 12:14

Вы не застали эпидемии autorun-вирусов на "безопасной" XP, которая была потомком 2000, которая, в свою очередь, была потомком "безопасной" NT4?

Ответить | Правка | Наверх | Cообщить модератору

88. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от Neandertalets (ok), 21-Ноя-23, 12:33

А вот NT 3.5 / 3.5.1 была потомком многими забытой (но до сих пор существующей) OS/2. И вот у неё проблем с вирьём было/есть куда меньше, чем у потомков.

Ответить | Правка | Наверх | Cообщить модератору

96. "В Fedora 40 планируют включить изоляцию системных сервисов" +4 +/–

Сообщение от vvm13 (ok), 21-Ноя-23, 13:37

Преимущества Неуловимого Джо.

Ответить | Правка | Наверх | Cообщить модератору

104. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Neandertalets (ok), 21-Ноя-23, 14:23

> Преимущества Неуловимого Джо.
   Соглашусь, что имеет место и это быть. Но всё таки не только.

Ответить | Правка | Наверх | Cообщить модератору

161. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (161), 24-Ноя-23, 04:12

Только. Я OS/2 успел напользоваться вдоволь. И вирусы там были, и все остальные приключения. Мифы про уникальную устойчивость и производительность OS/2 сильно преувеличены людьми, никогда OS/2 не использовавшими.

Ответить | Правка | Наверх | Cообщить модератору

163. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Neandertalets (ok), 24-Ноя-23, 08:40

> Только. Я OS/2 успел напользоваться вдоволь. И вирусы там были, и все остальные приключения.
Ну а про вирусы именно под OS/2 (не варианты под подсистему DOS, т.е. обычные DOS-овые), а именно под OS/2 расскажи поподробней. Там их было "1,5 землекопа" - одной руки для пересчёта хватит. И даже интересно, на какой помойке надо было брать софт, чтобы их найти.
Коллеги, обслуживающие банкоматы, с сильным недоумением бы на тебя посмотрели. Сейчас банкоматов на OS/2, наверное, и нет, а раньше были почти единственным вариантом и разницу ТП ощутила сразу после замены на виндовозные новые.
> Мифы про уникальную устойчивость и производительность OS/2 сильно преувеличены людьми, никогда OS/2 не использовавшими.
Что же ты с нею делал, что она у тебя падала? У нас лет 15 проработала минимум - вообще проблем не помню (только с платами управления были проблемы). Я потом поставил подмену и работало ещё несколько лет до переезда. И не только у меня было нормально: коллеги, у которых OS/2 работала на банкоматах, 3D принтерах (не домашних современных), установке МРТ, управлении зданием в мед.учреждении. Проблемы с железом (поддержкой или поломкой) - да, бывало, но если всё настроено и настроено как надо - работало без нареканий.
Насчёт производительности не скажу (не сравнивал), но у меня она и на работе была и дома (некоторое время - основной системой, eComStation) - не могу припомнить проблем с устойчивостью. Даже при условии проблем (с наличием) с драйверами.

Ответить | Правка | Наверх | Cообщить модератору

143. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (-), 23-Ноя-23, 06:21

> А вот NT 3.5 / 3.5.1 была потомком многими забытой (но до
> сих пор существующей) OS/2. И вот у неё проблем с вирьём
> было/есть куда меньше, чем у потомков.
Во всех NT-based видите ли без регалий админа софтом пользоваться почти невозможно, в том числе и потому что изначально писан под Win95 где всем можно все.
И если применить что-то типа *nix'ного подхода - круто. Только ничего не работает. На память оь этом начиная с висты появился сказочный костыль UAC и админ который как бы админо, но вроде и не админ. И страшные запросы-подтверждения правда ли вы админ. Работает это все понятно как - как обычно у майкрософта. Т.е. гимора больше для пользователей и админов чем вирмейкеров. Которым к тому же вот прям такие уж крутые права по жизни и не интересны в последнее время. Спамить, считать коины и ддосить можно и без всего этого. А от продвинутых руткитных выходок - только глюки лезут, пакость палится.

Ответить | Правка | К родителю #88 | Наверх | Cообщить модератору

149. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от X86 (ok), 23-Ноя-23, 09:26

Иными словами, вирусне достаточно прав пользователя, под которым она запущена, чтобы украсть его крипту и т.д)

Ответить | Правка | Наверх | Cообщить модератору

154. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (-), 23-Ноя-23, 17:49

> Иными словами, вирусне достаточно прав пользователя, под которым она запущена, чтобы украсть
> его крипту и т.д)
В принципе - да. Но если я софт ставил в линухе как рут, пакетником, а системные сервисы под совсем иными пользователями и с изоляцией от системы - переключить пользователя на вот этого и обойти изоляцию... если вы так можете, у вас вероятно правов - на двух рутов хватит. Или как вы без правов это организуете, интересно? Особенно в вон той конфиге?

Ответить | Правка | Наверх | Cообщить модератору

166. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от X86 (ok), 25-Ноя-23, 09:43

>> Иными словами, вирусне достаточно прав пользователя, под которым она запущена, чтобы украсть
>> его крипту и т.д)
> В принципе - да. Но если я софт ставил в линухе как
> рут, пакетником, а системные сервисы под совсем иными пользователями и с
> изоляцией от системы - переключить пользователя на вот этого и обойти
> изоляцию... если вы так можете, у вас вероятно правов - на
> двух рутов хватит. Или как вы без правов это организуете, интересно?
> Особенно в вон той конфиге?
А зачем зловреду права системных сервисов, если достаточно прав текущего пользователя, чтобы распоряжаться его файлами и мощностями его ПК?

Ответить | Правка | Наверх | Cообщить модератору

118. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от Аноним (-), 21-Ноя-23, 21:18

>> Вы не застали эпидемии autorun-вирусов на "безопасной" XP, которая была потомком 2000, которая, в свою очередь, была потомком "безопасной" NT4?
Эпидемии ауторан-вирусов были возможны потому, что подавляющее большинство юзеров постоянно сидели под учетками админа. Это не ограничение архитектуры ОС, это индикатор уровня среднестатистического пользователя. Сиди эти же люди под Linux под рутом, имели бы потребность запускать такое же количество разношерстного софта (иногда сомнительного происхождения) и запускали бы все, что запускается - была бы такая же история. Но под Линуксом эти люди не сидели, а сидели они под виндой.
Кстати, иногда я все еще наблюдаю похожий феномен среди некоторых пользователей FreeBSD - они делают всё от рута и с презрением смотрят на sudo или его аналоги. Но для этих 10 человек тоже никто вирусов не написал :D
А Windows XP (как и NT4) имеет все средства, чтобы не ловить аутораны, что многие опытные юзеры прекрасно делали. Отключение автозапуска и использование обычной учетки в принципе закрывало большую часть подобных проблем. А кто уж дочитывал гайды до разделов про применение политик безопасности...

Ответить | Правка | К родителю #87 | Наверх | Cообщить модератору

155. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (-), 23-Ноя-23, 17:51

> Эпидемии ауторан-вирусов были возможны потому, что подавляющее большинство юзеров постоянно
> сидели под учетками админа. Это не ограничение архитектуры ОС, это индикатор
> уровня среднестатистического пользователя.
Да вот видите ли - под ограниченными учетками виндовый софт ломался чуть менее чем весь.
> Сиди эти же люди под Linux под рутом
А вот там софт изначально приучен к тому что права птичьи - и не ломается от этого. Чем они и отличаются. Так что в теории равны. На практике некоторые равнее.

Ответить | Правка | Наверх | Cообщить модератору

89. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от Аноним (89), 21-Ноя-23, 12:47

Чушь. Вся "безопасность" Пинды на авторитетных обещаниях^W подписях держится.
Даже настройки программ отдельно от бинарников начали хранить только с Висты. И сейчас многие под себя гадят из-под админа.
И правила для фаерволла программы тоже с собой носят под честное слово.
А уж autorun.exe, коли тут вспомнили, прописывающие себя в 500 мест реестра, и по сей день гуляют между офисами на флешках.

Ответить | Правка | К родителю #80 | Наверх | Cообщить модератору

102. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от User (??), 21-Ноя-23, 14:11

Ну, можетида - но она там определенно _есть_ и определенно "держится" - в отличие от, ниасиливших ни нормальный acl на файлы, ни возможность дать доступ к сети конкретной программе, ни... да ничего в общем ниасиливших "неуловимых Джо".

Ответить | Правка | Наверх | Cообщить модератору

136. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (136), 22-Ноя-23, 16:33

Кому нужно открыли для себя opensnitch. Открыли и тут же закрыли. Потому что application firewall - бесполезная игрушка в отсутствии других форм изоляции процессов (ФС, памяти). И, что характерно, в Линуксе такие решения есть, и они сразу фундаментальные (user namespaces, eBPF и т.п.). Конструкторы, из которых в прямых руках, звездолёты строят.
А что лично ты там "ниасилил", никого не волнует.

Ответить | Правка | Наверх | Cообщить модератору

152. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от User (??), 23-Ноя-23, 12:00

> Кому нужно открыли для себя opensnitch. Открыли и тут же закрыли. Потому
> что application firewall - бесполезная игрушка в отсутствии других форм изоляции
> процессов (ФС, памяти). И, что характерно, в Линуксе такие решения есть,
> и они сразу фундаментальные (user namespaces, eBPF и т.п.). Конструкторы, из
> которых в прямых руках, звездолёты строят.
> А что лично ты там "ниасилил", никого не волнует.
Ну, да - как-то вот так оно все и выглядит. Мы тут рассуждаем, как в космос правильно летать надо, а портки перед дефекацией сымать - не барское дело; свое не пахнет, а это вот - не иначе как корпорасы из лютой ненависти наклали.

Ответить | Правка | Наверх | Cообщить модератору

157. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (-), 23-Ноя-23, 21:07

> Ну, можетида - но она там определенно _есть_ и определенно "держится" -
> в отличие от, ниасиливших ни нормальный acl на файлы, ни возможность
> дать доступ к сети конкретной программе, ни... да ничего в общем
> ниасиливших "неуловимых Джо".
На фоне этих поделий мои конфиги тоже смотрятся просто звездолетами. С одной стороны - никакого факин микроменеджмента - вбил координаты назначения и варпнулся туда. С другой это все сильно проще, быстрее, предсказуемее. А силовые щиты еще и не такой threat level отфутболивают.
Пока вы там трахались с микроменеджментом, рискуя неверно понять эффективный набор прав, и молясь чтобы хаксоры не нашли обходной путь - я за 10% времени от этого нарулил куда более радикальную изоляцию под совсем другие допущения, где не то что мышь, блоха не проскочит.
...а если можно получить результат лучше и быстрее, надлежит признать вон то страданием фигней. Цель же не супер-абстракции нагородить, а достичь результатов. Как то - чтбы удобно было легитимному админу, а неудобно - интрудерам. В вон тех системах обычно все наоборот получается, #$%ться с настройкой дольше чем хаксору обходить. И зачем это в таком виде надо?!
В результате на маздае пользователь зажат между молотом и наковальней и ему с обоих сторон достается, и от вендора и от хаксоров. А чтоб хорошо, удобно, безопасно, с респектом приваси, и вообще - да вот сейчас. Достаточно EULA почитать чтобы все понять.

Ответить | Правка | К родителю #102 | Наверх | Cообщить модератору

160. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от User (??), 23-Ноя-23, 21:36

> На фоне этих поделий мои конфиги тоже смотрятся просто звездолетами. С одной стороны - никакого > факин микроменеджмента - вбил координаты назначения и варпнулся туда. С другой это все сильно проще, быстрее, предсказуемее. А силовые щиты еще и не такой threat level отфутболивают.
> Пока вы там трахались с микроменеджментом, рискуя неверно понять эффективный набор прав,
> и молясь чтобы хаксоры не нашли обходной путь - я за
> 10% времени от этого нарулил куда более радикальную изоляцию под совсем
> другие допущения, где не то что мышь, блоха не проскочит.
И все это - не привлекая внимания санитаров. Неуловимого Джо - опять не поймали - шах-и-мат, скептики!

Ответить | Правка | Наверх | Cообщить модератору

162. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (-), 24-Ноя-23, 06:02

> И все это - не привлекая внимания санитаров. Неуловимого Джо - опять
> не поймали - шах-и-мат, скептики!
Я так то еще до кучи умею Enterprise Admin быть. Поэтому имел возможность сравнить как мне оно.
...и пришел к выводу что можно сделать мои системы намного секурнее с в 20 раз меньше трахом. Что и заимплементил. И ощущения вот реально - как будто я из прогнившего фордфокусв в звездолет пересел.

Ответить | Правка | Наверх | Cообщить модератору

165. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от User (??), 24-Ноя-23, 09:39

>> И все это - не привлекая внимания санитаров. Неуловимого Джо - опять
>> не поймали - шах-и-мат, скептики!
> Я так то еще до кучи умею Enterprise Admin быть. Поэтому имел
> возможность сравнить как мне оно.
> ...и пришел к выводу что можно сделать мои системы намного секурнее с
> в 20 раз меньше трахом. Что и заимплементил. И ощущения вот
> реально - как будто я из прогнившего фордфокусв в звездолет пересел.
Да не интересен твой локалхост примерно никому, узбагойся. Сделаешь ну если не ERP или там SCADA\MES какой - так хотя бы файлопомойку с правами доступа, корпоративный портал в 20% возможностей шарика или там почтовый сервер, умеющий в календари, интеграцию с сервером каталогов и отображение статусов - будешь интересен, но ты ж не сделаешь, тыр-дыр-прайс-админ. Предполагаю - что и стандартную охапку грабель-и-костылей на бубернетовской изоленте не соберешь, на этапе выбора дистрибутива и конпеляния ведра застрянешь.

Ответить | Правка | Наверх | Cообщить модератору

45. "В Fedora 40 планируют включить изоляцию системных сервисов" +2 +/–

Сообщение от leap42 (ok), 21-Ноя-23, 05:24

systemd позволяет переопределить любой unit файл: просто скопируйте стандартные и отключите изоляцию в них ну или бубунту возьмите, там попроще отношение к безопасности

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

105. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от Минона (ok), 21-Ноя-23, 15:10

Бубунта движется в направлении Snap OS.

Ответить | Правка | Наверх | Cообщить модератору

144. Скрыто модератором +/–

Сообщение от Аноним (-), 23-Ноя-23, 06:22

> Бубунта движется в направлении Snap OS.
Никак не влияет на systemd и его настройки. А вот как ветеран-юниксы аналоги вон того делают - это да, вопрос.

Ответить | Правка | Наверх | Cообщить модератору

69. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (69), 21-Ноя-23, 07:33

Если это какой-то вид иронии, то звучит ещё глупее.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

73. "В Fedora 40 планируют включить изоляцию системных сервисов" –2 +/–

Сообщение от Ну я все же доем... (?), 21-Ноя-23, 08:08

не ирония
я правда не понимаю, это забота о пользователях или "забота о пользователях"

Ответить | Правка | Наверх | Cообщить модератору

75. "В Fedora 40 планируют включить изоляцию системных сервисов" +5 +/–

Сообщение от Аноним (75), 21-Ноя-23, 08:52

У меня такое же ощущение.
Уже 11 лет на всех моих ПК - Linux.
Раньше он был офигенен. Ты указываешь, что нужно делать, Linux делает. Да, бывало приходилось подзаморочиться, но всё же.
Теперь здесь начинает происходить то же г..., что и в Windows, когда "система знает, как тебе будет лучше" или слишком ограничивает тебя, чтобы что-то сделать нестандартное.
Один пример (самый близкий по времени): мне понадобилось в Ubuntu добавить 'options rotate timeout:1' в resolv.conf. Раньше - добавил ручками и норм.
Теперь мой любимый и обожаемый Поттеринг в своей поделке systemd-resolved не предусмотрел возможности добавления дополнительных options в resolv.conf (да действительно, кому это нужно!). Руками добавлять бесполезно - файл генерируется его поделкой "на лету". В результате чего пришлось устраивать марафон гуглежа и извращений. Выпилил systemd-resolved, поставил на его место dnsmasq и настроил, как хотел. Серьёзно!? И вот ЭТО Поттеринговское неконфигурируемое г... теперь основа для построения дистрибутива!?
К чему эта простыня? Я свалил с Windows (кроме всего прочего) когда понял, что система слишком много на себя берёт и не позволяет много чего. А ОС для меня - инструмент, а не объект со своей волей. Теперь мой любимый Linux медленно, но верно начинает делать то же самое (((

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

78. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (78), 21-Ноя-23, 09:40

Ставь слачельничек. И на работе тоже ставь слачельничек.

Ответить | Правка | Наверх | Cообщить модератору

79. "В Fedora 40 планируют включить изоляцию системных сервисов" –1 +/–

Сообщение от Аноним (79), 21-Ноя-23, 09:42

Никогда и нигде resolv.conf не правился вручную. Ты откуда-то из 90х вынырнул, видимо. И не проецируй свою убунту на линукс, пожалуйста. Такие дистрибутивы, как Убунту, всегда были себе на уме: имели кучу подверженной ошибкам логики, необходимой, чтобы удовлетворять самых неспособных пользователей.

Ответить | Правка | К родителю #75 | Наверх | Cообщить модератору

109. "В Fedora 40 планируют включить изоляцию системных сервисов" –2 +/–

Сообщение от Аноним (109), 21-Ноя-23, 15:39

такие дистрибутивы как Дебиан ты хотел сказать

Ответить | Правка | Наверх | Cообщить модератору

113. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (87), 21-Ноя-23, 20:08

Недееспособные пользователи дебианом не удовлетворены.
А вот убунта их периодически удовлетворяет (с ущербом для дееспособных пользователей).

Ответить | Правка | Наверх | Cообщить модератору

91. "В Fedora 40 планируют включить изоляцию системных сервисов" +3 +/–

Сообщение от Аноним (87), 21-Ноя-23, 12:50

> Один пример (самый близкий по времени): мне понадобилось в Ubuntu добавить 'options rotate timeout:1' в resolv.conf.
А вы вообще понимаете физический смысл этих опций? Они означают - "последовательно отправлять запрос на все перечисленные резолверы, меняя их местами при каждом новом запросе, ожидать ответа одну секунду". Позволяет минимизировать проблемы при временной недоступности части резолверов (при недоступности одного из двух, например, половина запросов будет тупить на секунду больше).
Если resolv.conf является симлинком на stub-файл от resolved, то там будет только один сервер - сам resolved. А он, в отличии от glibc resolver, отправляет запросы на апстримные резолверы параллельно, а не последовательно, и возвращает первый успешный ответ. Соответственно, менять порядок и устанавливать таймаут смысла вообще никакого - результат будет выдан клиенту максимально быстро, даже если часть апстримов не ответила.

Ответить | Правка | К родителю #75 | Наверх | Cообщить модератору

128. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Anononononon (?), 22-Ноя-23, 11:42

угу, а потом отгадайте какой из серверов вернул NOERROR и какую то хрень в поле ответа вместо адреса

Ответить | Правка | Наверх | Cообщить модератору

117. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от glad_valakas (?), 21-Ноя-23, 21:09

> мне понадобилось в Ubuntu
devuan и antix адекватно ответят на ваши запросы.
а африканскую поделку (ненавижу расизм и негров) - патчем Бармина.
> свалил с Windows [...] когда понял, что система слишком много на себя берёт и не позволяет много чего
например ?
мне винда позволяет много чего из того что многие MS*E считают невозможным и/или вредным.
так у меня и инструменты не как у этих самых.

Ответить | Правка | К родителю #75 | Наверх | Cообщить модератору

124. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от leap42 (ok), 22-Ноя-23, 07:25

Можно же было просто спросить у знающих людей)
Что делает resolved Поттеринга? Он создаёт сразу 2 разных варианта (но оба рабочие) resolv.conf в папке "/run/systemd/resolve/". И следит чтобы они не менялись. Что сделали разрабы вашего дистра? Они сделали /etc/resolv.conf симлинком на один из файлов в /run/systemd. Проверить это легко:
ls -lha /etc/resolv.conf
Если вас это положение не устраивает, просто сделайте unlink /etc/resolv.conf и напишите в новый файл что угодно. Например всё, что там уже было, но с доп опцией. Это работает, а resolved удалять не надо, он у нас - и кеш, и DoT (DNS over TLS), и mdns для бедных, и решение кучи проблем с DNS внутри VPN (при наличии).

Ответить | Правка | К родителю #75 | Наверх | Cообщить модератору

125. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от glad_valakas (?), 22-Ноя-23, 08:24

> просто сделайте unlink /etc/resolv.conf и напишите в новый файл что угодно.
и не забудьте sudo chattr +i /etc/resolv.conf
слишком много желающих переписать, почти все из них с правами root.

Ответить | Правка | Наверх | Cообщить модератору

126. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от User (??), 22-Ноя-23, 09:21

Стесняюсь спрашивать - а настройка статических адресов на сервере через network-manager не жмёт, не? :)

Ответить | Правка | К родителю #75 | Наверх | Cообщить модератору

141. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Zulu (?), 23-Ноя-23, 00:30

А мог почитать документацию. Мне как раз недавно было надо что-то подобное, так я прочитал man systemd-resolved и нашел там
```
/ETC/RESOLV.CONF
       Four modes of handling /etc/resolv.conf (see resolv.conf(5)) are
       supported:
```
много интересного, рекомендую.

Ответить | Правка | К родителю #75 | Наверх | Cообщить модератору

90. "В Fedora 40 планируют включить изоляцию системных сервисов" +2 +/–

Сообщение от Аноним (89), 21-Ноя-23, 12:48

Это ядерная изоляция. Она почти бесплатная.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

2. "В Fedora 40 планируют включить изоляцию системных сервисов" –9 +/–

Сообщение от Avririon (ok), 20-Ноя-23, 23:23

Правильно, производительность - зло.

Ответить | Правка | Наверх | Cообщить модератору

3. "В Fedora 40 планируют включить изоляцию системных сервисов" +12 +/–

Сообщение от Аноним (3), 20-Ноя-23, 23:28

Это все на cgroups и бинд маунтах, ни холодно ни жарко от этого производительности

Ответить | Правка | Наверх | Cообщить модератору

7. "В Fedora 40 планируют включить изоляцию системных сервисов" –9 +/–

Сообщение от Tron is Whistling (?), 20-Ноя-23, 23:59

cgroups
производительность
Ахтунг! Взаимоисключающие параграфы.
Более того, с net namespaces можно таки создать больше проблем, чем решить.

Ответить | Правка | Наверх | Cообщить модератору

83. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (87), 21-Ноя-23, 11:08

> Ахтунг! Взаимоисключающие параграфы.
Где?
> Более того, с net namespaces можно таки создать больше проблем, чем решить.
Сдуру можно всё что угодно сломать.

Ответить | Правка | Наверх | Cообщить модератору

139. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Tron is Whistling (?), 22-Ноя-23, 21:52

Особенно если CVE почитать.

Ответить | Правка | Наверх | Cообщить модератору

146. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (-), 23-Ноя-23, 06:33

> Особенно если CVE почитать.
Поэтому давайте сделаем как Win95 - нет подсистем безопасности нет вулнов в них. Заходи кто хошь, бери что хошь. И никаких CVE в полсистеме безопасности.
Извини, по дефолту в этом твоем классическом юниксе сервис может у тебя по хомяку шарахаться как ему угодно. Безопаснее только W95, так то, а то у этих CVE с записью в хомяк юзера и прочие shared темпы с симлинками и гонками случались. В W95 не было многопользовательской системы прав, так что и CVE тоже не было. Аргумент, да?!

Ответить | Правка | Наверх | Cообщить модератору

150. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Tron is Whistling (?), 23-Ноя-23, 09:51

> CVE в полсистеме безопасности
Опечаточка как раз про cgroups и network namespaces.
V2 правда получше. А с последними всё так же плохо - костыль на костыле.

Ответить | Правка | Наверх | Cообщить модератору

156. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (156), 23-Ноя-23, 17:57

>> CVE в полсистеме безопасности
> Опечаточка как раз про cgroups и network namespaces.
Ну правильно, поэтому давайте сделаем проходной двор где всем можно все и не будем пытаться чинить. А так - да, линух не делали под ТАКИЕ абстракции. Как впрочем и все остальные более-менее живые и развитые ОС. Поэтому иногда ус у абстракций отклеивается а кернел неверно понимает пермиссии, что, конечно, чревато.
Но вот только если на чек пермиссий совсем забить - CVE конечно убавится но это будет классическое лечение головной боли при помощи гильотины. Если голову отрубить, то и болеть она не сможет. Логично.
> V2 правда получше. А с последними всё так же плохо - костыль на костыле.
Покажи решения лучше, чудик. Языком пиндеть - не мешки ворочать. Не, разрешить "всем" - "всё" это не "лучше" как раз. Даже если и избавит от CVE за отсутствием секуритифич.
В чем разница? Баги в секурити подсистемах и абстракциях постепенно починят. А проходной двор так и останется проходным двором. Этим подходы и отличаются.

Ответить | Правка | Наверх | Cообщить модератору

15. "В Fedora 40 планируют включить изоляцию системных сервисов" +5 +/–

Сообщение от Аноним (87), 21-Ноя-23, 01:27

> Правильно, производительность - зло.
Достоинство ядра Linux - практически все эти ограничения идут с нулевым оверхедом.
Это не враппер, а просто отключение/навешивание дополнительных флагов на процесс.

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

151. "В Fedora 40 планируют включить изоляцию системных сервисов" –1 +/–

Сообщение от Tron is Whistling (?), 23-Ноя-23, 09:52

Ды щаз, с нулевым оверхедом. Одних структур только на полкеша.

Ответить | Правка | Наверх | Cообщить модератору

158. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (-), 23-Ноя-23, 21:11

> Ды щаз, с нулевым оверхедом. Одних структур только на полкеша.
Де факто на производительность не влияет с точностью до погрешности измерений как правило. Ну и у остальных с производительностью как правило хуже даже и без этого. Поэтому пингвин и получает свое в номинации EPIC WIN. А системд что, он интерфейс к этим фичам системы. Получше чем сборище спичек и желудей, имеющее неиллюзорные проблемы с изоляцией программы от - внезапно - СЕБЯ. Ну вот незачем какому там вебсерваку вообще bash вызывать. Легитимных причин для этого - ноль.

Ответить | Правка | Наверх | Cообщить модератору

22. "В Fedora 40 планируют включить изоляцию системных сервисов" +3 +/–

Сообщение от Аноним (22), 21-Ноя-23, 02:09

Где тут угроза производительности? Они же не в снапы/докеры/флътпаки/аппимэйджи это пихают, а просто настройки systemd включают. Я вообще удивлён, что это всё не идёт по-умолчанию. Вообще-то изоляция одна из ключевых фич systemd.

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

47. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (47), 21-Ноя-23, 06:24

Ну как же, все эти проверки требуют помимо исполнения полезных команд ещё и условных переходов, то есть 1001 вместо 1000. На Pentium II такой переход в худшем случае требует целых 12 тактов против 5. Несложно прикинуть, что производительность просядет в разы.

Ответить | Правка | Наверх | Cообщить модератору

74. "В Fedora 40 планируют включить изоляцию системных сервисов" +2 +/–

Сообщение от AleksK (ok), 21-Ноя-23, 08:23

> На Pentium II такой переход в худшем случае требует целых 12 тактов против 5. Несложно прикинуть, что производительность просядет в разы.
Соболезную тем кто захочет поставить Fedora 40 на Pentium II. Советую им ещё раз покопаться на помойке, там полюбому отыщется Core 2 Duo, а может даже Pentium G нароют.

Ответить | Правка | Наверх | Cообщить модератору

93. "В Fedora 40 планируют включить изоляцию системных сервисов" –1 +/–

Сообщение от Аноним (47), 21-Ноя-23, 13:17

Зато мне тебя ни чуть не жаль. Не понятно лишь, что ты делаешь в этом своём IT с такими когнитивными способностями.

Ответить | Правка | Наверх | Cообщить модератору

114. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (87), 21-Ноя-23, 20:10

> Не понятно лишь, что ты делаешь в этом своём IT с такими когнитивными способностями.
Получаю 100500 денег и радуюсь жизни, а что?

Ответить | Правка | Наверх | Cообщить модератору

130. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (47), 22-Ноя-23, 12:58

>> Не понятно лишь, что ты делаешь в этом своём IT с такими когнитивными способностями.
> Получаю 100500 денег и радуюсь жизни, а что?
А ты это он?

Ответить | Правка | Наверх | Cообщить модератору

140. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от AleksK (ok), 22-Ноя-23, 23:59

> Зато мне тебя ни чуть не жаль. Не понятно лишь, что ты
> делаешь в этом своём IT с такими когнитивными способностями.
Ну что делаю? Пользуюсь адекватным железом и софтом. Я не обладаю супер способностями которые мне бы позволяли сейчас использовать железо из 98 года.

Ответить | Правка | К родителю #93 | Наверх | Cообщить модератору

120. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (120), 21-Ноя-23, 21:53

> Советую им ещё раз покопаться на помойке, там полюбому отыщется Core 2 Duo
У меня домашний медиасервер крутится на Core2Duo под Fedora 39. Знатно всё крутится: торренты, файлы, AceStream

Ответить | Правка | К родителю #74 | Наверх | Cообщить модератору

92. "В Fedora 40 планируют включить изоляцию системных сервисов" –1 +/–

Сообщение от Аноним (89), 21-Ноя-23, 12:50

Это фича ядра. Можно и из портянки на Баше вызвать службу через какой-нибудь bwrap.

Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

4. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (4), 20-Ноя-23, 23:45

Что только не придумают, чтобы не использовать pledge(2)

Ответить | Правка | Наверх | Cообщить модератору

6. "В Fedora 40 планируют включить изоляцию системных сервисов" +2 +/–

Сообщение от Аноним (6), 20-Ноя-23, 23:58

Хорошая команда, но у нее есть фатальный недостаток...

Ответить | Правка | Наверх | Cообщить модератору

20. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (20), 21-Ноя-23, 02:06

какой? расскажи же нам, умоляем. пожалуйста-припожалуйста. открой нам тайну

Ответить | Правка | Наверх | Cообщить модератору

123. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от ano (??), 22-Ноя-23, 04:01

NIH

Ответить | Правка | Наверх | Cообщить модератору

82. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (4), 21-Ноя-23, 10:41

Это же сискол, а не команда...

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

94. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (47), 21-Ноя-23, 13:21

syscall - это как раз команда процессора.

Ответить | Правка | Наверх | Cообщить модератору

106. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от Минона (ok), 21-Ноя-23, 15:22

Точно процессора?

Ответить | Правка | Наверх | Cообщить модератору

110. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Анонимпс (?), 21-Ноя-23, 18:23

Это в том числе и инструкция процессора."syscall" Assembly Instruction.

Ответить | Правка | Наверх | Cообщить модератору

111. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Анонимпс (?), 21-Ноя-23, 18:25

Хотя раньше системные вызовы работали без нее, насколько я помню.

Ответить | Правка | Наверх | Cообщить модератору

133. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (47), 22-Ноя-23, 13:13

Работали, но "прерываниями" называть не солидно, это же не ДОС.)

Ответить | Правка | Наверх | Cообщить модератору

132. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (47), 22-Ноя-23, 13:11

> Точно процессора?
Абсолютно точно. Как и sysenter, и int 0x80...

Ответить | Правка | К родителю #106 | Наверх | Cообщить модератору

115. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (4), 21-Ноя-23, 20:12

pledge(2) - это сискол. Для таких умных, как ты, в скобках двойка. Но ты её, увы, в упор не видишь.

Ответить | Правка | К родителю #94 | Наверх | Cообщить модератору

131. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от Аноним (47), 22-Ноя-23, 13:10

> pledge(2) - это сискол. Для таких умных, как ты, в скобках двойка.
> Но ты её, увы, в упор не видишь.
Вижу, конечно. Как и неумелые попытки заняться буквоедством, тогда как по существу написавший про фатальный недостаток прав.
Если тебе интересно буквоедство, давай продолжим буквоедство:
2   System calls (functions provided by the kernel)
Видишь пробел? Смотри внимательно. Может быть в следующий раз не будешь выпячивать непонимание, чем отличается сискол от вызова системной функции.

Ответить | Правка | Наверх | Cообщить модератору

142. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (4), 23-Ноя-23, 03:32

Буквоедством первым начал заниматься не я. Можно было и сразу догадаться по первому сообщению, о чем идет речь, а не придираться к понятиям systemcall и system call.
Зато теперь мы знаем, вы, дядя, серьезный и умный.

Ответить | Правка | Наверх | Cообщить модератору

16. "В Fedora 40 планируют включить изоляцию системных сервисов" +2 +/–

Сообщение от Аноним (87), 21-Ноя-23, 01:31

>  Что только не придумают, чтобы не использовать pledge(2)
Смотря какой. Их два.
OpenBSD - оверхед минимален, но каждую прогу нужно патчить, чтобы она сама для себя включала в ядре ограничения.
FreeBSD - запускается как враппер, соответственно, добавляет тормозов. Зато можно не патчить.
А тут ограничения в ядре включаются системным менеджером. Соответственно, ни враппер не нужен, ни патчи.

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

147. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (-), 23-Ноя-23, 06:36

> Что только не придумают, чтобы не использовать pledge(2)
Ну покажи как ты это лихо запиливаешь своему сервису за 5 минут. Я то произвольному сервису в системд вон то вывешу по сути просто копипастой вон того в его юнит в /etc - на чем вопрос будет закрыт. И займет не более 5 минут.
А у вас это как выглядит для вот именно вашей кастомной программы?

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

5. "В Fedora 40 планируют включить изоляцию системных сервисов" +3 +/–

Сообщение от Аноним (5), 20-Ноя-23, 23:56

В Федоре тестируют потом в Шапке внедрят и мы через лет 10 увидим в шапке то что уже есть и было в Солярисе лет 10 назад ... всё новое - хорошо забытое старое.

Ответить | Правка | Наверх | Cообщить модератору

8. "В Fedora 40 планируют включить изоляцию системных сервисов" –4 +/–

Сообщение от Аноним (8), 21-Ноя-23, 00:01

Нехорошие звоночки с явным привкусом копроративного aнaльного огораживания.

Ответить | Правка | Наверх | Cообщить модератору

14. "В Fedora 40 планируют включить изоляцию системных сервисов" +6 +/–

Сообщение от Аноним (87), 21-Ноя-23, 01:25

Сама система прав доступа этим привкусом отдаёт. Это что - руту можно все файлы править, а обычным пользователям нельзя? Явно заговор капиталистов.

Ответить | Правка | Наверх | Cообщить модератору

9. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от Аноним (9), 21-Ноя-23, 00:26

> ProtectClock=yes - запрет изменения времени.
Звучит шикарно, сначала повесить синхронизацию времени на systemd, потом отрезать доступ...

Ответить | Правка | Наверх | Cообщить модератору

13. "В Fedora 40 планируют включить изоляцию системных сервисов" +7 +/–

Сообщение от Аноним (87), 21-Ноя-23, 01:23

Правильно, защитим истинный юниксвей! Не дадим отнять у апача возможность менять системное время!

Ответить | Правка | Наверх | Cообщить модератору

98. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Хрысь (?), 21-Ноя-23, 13:59

Вы путаете системд и юниты, которыми он управляет

Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

116. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (87), 21-Ноя-23, 20:13

Разобравшись с разницей между systemd и его юнитами, стоит перейти к понимаю разницы между systemd и systemd-timesyncd. Например, у меня практически на всех системах init-ом является systemd, а время синхронизирует chrony.

Ответить | Правка | Наверх | Cообщить модератору

159. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (-), 23-Ноя-23, 21:14

>> ProtectClock=yes - запрет изменения времени.
> Звучит шикарно, сначала повесить синхронизацию времени на systemd, потом отрезать доступ...
А с какой бы легитимной целью допустим httpd, или кто там, мог бы захотеть мне системное время корежить?! Поэтому всем и зарубить - кроме сервисов синхронизаторов времени, разумеется.
Принцип файрволла по сути: DENY ALL, ALLOW (as needed).

Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

10. "В Fedora 40 планируют включить изоляцию системных сервисов" +2 +/–

Сообщение от Oe (?), 21-Ноя-23, 00:44

Да, ладно, мою уже с 39 версии заизолировали, вылетает из сессии каждые 5 минут или после того как экран погаснет, вот это я понимаю забота о безопасности.

Ответить | Правка | Наверх | Cообщить модератору

17. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (17), 21-Ноя-23, 01:52

А ты форточку закрывай, чтобы не вылетало.

Ответить | Правка | Наверх | Cообщить модератору

81. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (81), 21-Ноя-23, 09:58

У меня нормально работает, уже месяц как стоит.

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

97. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Oe (?), 21-Ноя-23, 13:50

Переключи на классический gnome в окне входа и попробуй как работает

Ответить | Правка | Наверх | Cообщить модератору

107. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Минона (ok), 21-Ноя-23, 15:31

> уже месяц как стоит
Так долго нельзя - некроз будет.

Ответить | Правка | К родителю #81 | Наверх | Cообщить модератору

121. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (120), 21-Ноя-23, 21:56

C беты всё бессбойно работает. Ты — мелкий лжец

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

11. "В Fedora 40 планируют включить изоляцию системных сервисов" –2 +/–

Сообщение от Аноним (11), 21-Ноя-23, 00:51

Эти чудики диграются и будет как в серьезнный гайдах:
- а сейчас мы поставим Orace DB, но во первых сделайте selinux=disabled!!

Ответить | Правка | Наверх | Cообщить модератору

32. "В Fedora 40 планируют включить изоляцию системных сервисов" –3 +/–

Сообщение от Аноним (8), 21-Ноя-23, 02:34

> selinux=disabled
Нормальные люди его выкорчёвывают ещё на этапе установки. Со всем и насовсем.

Ответить | Правка | Наверх | Cообщить модератору

99. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Хрысь (?), 21-Ноя-23, 14:01

Разочарую. Он является частью ядра.
И выкорчёвывешь ты только его политики (максимум - либы для их обработки). А SL как был в системе, так и остаётся

Ответить | Правка | Наверх | Cообщить модератору

119. "В Fedora 40 планируют включить изоляцию системных сервисов" –1 +/–

Сообщение от glad_valakas (?), 21-Ноя-23, 21:21

> Он является частью ядра.
и что ?
делать свои ядра в деривативах редхата уже немодно ?
можно выиграть от 1% до 11% производительности.
или наоборот, потерять. смотря что и как делать.

Ответить | Правка | Наверх | Cообщить модератору

134. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (47), 22-Ноя-23, 13:17

Они и делают свои, по последнему писку моды. Скопировали конфиг и собрали своё.)

Ответить | Правка | Наверх | Cообщить модератору

135. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от Хрысь (?), 22-Ноя-23, 16:30

>> Он является частью ядра.
> и что ?
> делать свои ядра в деривативах редхата уже немодно ?
> можно выиграть от 1% до 11% производительности.
> или наоборот, потерять. смотря что и как делать.
В нормальных местах запрещены в проде самосборные ядра от Васянов

Ответить | Правка | К родителю #119 | Наверх | Cообщить модератору

137. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от glad_valakas (?), 22-Ноя-23, 17:33

если Васян сертифицированный специалист редхата, то можно ?

Ответить | Правка | Наверх | Cообщить модератору

138. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от еропка (?), 22-Ноя-23, 18:08

тоже нельзя
самособранное ядро (любое) => отказ в техподдержке

Ответить | Правка | Наверх | Cообщить модератору

148. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от glad_valakas (?), 23-Ноя-23, 07:34

с одной стороны логично, с другой стороны шли бы они лесом.

Ответить | Правка | Наверх | Cообщить модератору

129. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от Dima (??), 22-Ноя-23, 11:55

Нормальные люди умеют его настраивать.

Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

28. "В Fedora 40 планируют включить изоляцию системных сервисов" –4 +/–

Сообщение от Аноньимъ (ok), 21-Ноя-23, 02:29

> PrivateTmp=yes - предоставление отдельных директорий со временными файлами.
Кончался 2023 год.
Человеческая цивилизация доживала последние дни.
Приложения валили свои файлы в одну общую папку с правами на исполнение.

Ответить | Правка | Наверх | Cообщить модератору

122. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Пароним (?), 22-Ноя-23, 02:12

ух, щас бы тмп с такими правами монтировать, ух

Ответить | Правка | Наверх | Cообщить модератору

39. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Meganonimus (?), 21-Ноя-23, 04:21

Не надо этих полумер. Каждому сервису - персональный контейнер.

Ответить | Правка | Наверх | Cообщить модератору

101. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Хрысь (?), 21-Ноя-23, 14:02

Уже есть такой дистр

Ответить | Правка | Наверх | Cообщить модератору

103. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от 1 (??), 21-Ноя-23, 14:12

Это тебе к мадам Рутковской (или мадмуазель ?). Ставь Qubes и каждому сервису будет своя виртуалочка.

Ответить | Правка | К родителю #39 | Наверх | Cообщить модератору

164. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Второй из Кукуева (?), 24-Ноя-23, 09:35

Пани Рутковска полька, а потому во-первых "пани", а во-вторых "Рутковска", а не "Рутковская"
Ну и да, она покинула основанный ей QubesOS достаточно давно, лет пять назад что ли и сейчас он развивается без нее

Ответить | Правка | Наверх | Cообщить модератору

71. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Аноним (71), 21-Ноя-23, 07:43

Сначала изолируют сервисы, потому будут фиксить ошибки обхода изоляции

Ответить | Правка | Наверх | Cообщить модератору

76. "В Fedora 40 планируют включить изоляцию системных сервисов" –2 +/–

Сообщение от Аноним (76), 21-Ноя-23, 08:57

Очередная новость о том, что корпарасы пилят, то что им нужно для своего бизнеса, - конец новости, расходимся!

Ответить | Правка | Наверх | Cообщить модератору

108. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Минона (ok), 21-Ноя-23, 15:36

Добро пожаловать в реальный мир опенсорса.

Ответить | Правка | Наверх | Cообщить модератору

112. "В Fedora 40 планируют включить изоляцию системных сервисов" +/–

Сообщение от Анонимпс (?), 21-Ноя-23, 18:28

Люди не хотят объединяться и пилить без корпорастов к сожалению, ленивые какие-то...

Ответить | Правка | К родителю #76 | Наверх | Cообщить модератору

77. "В Fedora 40 планируют включить изоляцию системных сервисов" –1 +/–

Сообщение от Аноним (78), 21-Ноя-23, 09:36

Пускай Docker=yes внедрят, а то цены на сборки под 1151v2 всё ещё не падают.

Ответить | Правка | Наверх | Cообщить модератору

86. "В Fedora 40 планируют включить изоляцию системных сервисов" +1 +/–

Сообщение от Аноним (87), 21-Ноя-23, 12:12

Простите, у вас винда или мак?
(На линуксе докер нативный, поэтому проблем с производительностью нет, а вот под "труЪ unixЪ" операционками он работает в линуксовой виртуалке и поэтому подтормаживает)

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "В Fedora 40 планируют включить изоляцию системных сервисов"	–21 +/–
Сообщение от Ну я все же доем... (?), 20-Ноя-23, 23:20
что опять( господи, я простой юзверь, сбежавший от добровольно-принудительной пыточной камеры копрорации ООО «МЕЛКОСОФТ», так меня и тут прогревают(((
Ответить \| Правка \| Наверх \| Cообщить модератору


	33. "В Fedora 40 планируют включить изоляцию системных сервисов"	+2 +/–
	Сообщение от Банан (?), 21-Ноя-23, 03:59
	А че, в виндовсе появилась изоляция? Раньше это была помойка, где у всех есть права на все.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	80. "В Fedora 40 планируют включить изоляцию системных сервисов"	+3 +/–
	Сообщение от Аноним (-), 21-Ноя-23, 09:43
	>>Раньше это была помойка, где у всех есть права на все. Раньше - это с 1985 по 1993? Потому что с 1993 есть Windows NT 3.1, где это не так. Так что если сильно было нужно, это было реально. На практике, конечно, мало кто ей пользовался на десктопе, а вот с 1996 года тем, кому реально это было нужно, уже была доступна очень стабильная и юзабельная на обычных машинах NT4.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	87. "В Fedora 40 планируют включить изоляцию системных сервисов"	+3 +/–
	Сообщение от Аноним (87), 21-Ноя-23, 12:14
	Вы не застали эпидемии autorun-вирусов на "безопасной" XP, которая была потомком 2000, которая, в свою очередь, была потомком "безопасной" NT4?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	88. "В Fedora 40 планируют включить изоляцию системных сервисов"	+1 +/–
	Сообщение от Neandertalets (ok), 21-Ноя-23, 12:33
	А вот NT 3.5 / 3.5.1 была потомком многими забытой (но до сих пор существующей) OS/2. И вот у неё проблем с вирьём было/есть куда меньше, чем у потомков.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	96. "В Fedora 40 планируют включить изоляцию системных сервисов"	+4 +/–
	Сообщение от vvm13 (ok), 21-Ноя-23, 13:37
	Преимущества Неуловимого Джо.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	104. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от Neandertalets (ok), 21-Ноя-23, 14:23
	> Преимущества Неуловимого Джо. Соглашусь, что имеет место и это быть. Но всё таки не только.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	161. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от Аноним (161), 24-Ноя-23, 04:12
	Только. Я OS/2 успел напользоваться вдоволь. И вирусы там были, и все остальные приключения. Мифы про уникальную устойчивость и производительность OS/2 сильно преувеличены людьми, никогда OS/2 не использовавшими.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	163. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от Neandertalets (ok), 24-Ноя-23, 08:40
	> Только. Я OS/2 успел напользоваться вдоволь. И вирусы там были, и все остальные приключения. Ну а про вирусы именно под OS/2 (не варианты под подсистему DOS, т.е. обычные DOS-овые), а именно под OS/2 расскажи поподробней. Там их было "1,5 землекопа" - одной руки для пересчёта хватит. И даже интересно, на какой помойке надо было брать софт, чтобы их найти. Коллеги, обслуживающие банкоматы, с сильным недоумением бы на тебя посмотрели. Сейчас банкоматов на OS/2, наверное, и нет, а раньше были почти единственным вариантом и разницу ТП ощутила сразу после замены на виндовозные новые. > Мифы про уникальную устойчивость и производительность OS/2 сильно преувеличены людьми, никогда OS/2 не использовавшими. Что же ты с нею делал, что она у тебя падала? У нас лет 15 проработала минимум - вообще проблем не помню (только с платами управления были проблемы). Я потом поставил подмену и работало ещё несколько лет до переезда. И не только у меня было нормально: коллеги, у которых OS/2 работала на банкоматах, 3D принтерах (не домашних современных), установке МРТ, управлении зданием в мед.учреждении. Проблемы с железом (поддержкой или поломкой) - да, бывало, но если всё настроено и настроено как надо - работало без нареканий. Насчёт производительности не скажу (не сравнивал), но у меня она и на работе была и дома (некоторое время - основной системой, eComStation) - не могу припомнить проблем с устойчивостью. Даже при условии проблем (с наличием) с драйверами.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	143. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от Аноним (-), 23-Ноя-23, 06:21
	> А вот NT 3.5 / 3.5.1 была потомком многими забытой (но до > сих пор существующей) OS/2. И вот у неё проблем с вирьём > было/есть куда меньше, чем у потомков. Во всех NT-based видите ли без регалий админа софтом пользоваться почти невозможно, в том числе и потому что изначально писан под Win95 где всем можно все. И если применить что-то типа *nix'ного подхода - круто. Только ничего не работает. На память оь этом начиная с висты появился сказочный костыль UAC и админ который как бы админо, но вроде и не админ. И страшные запросы-подтверждения правда ли вы админ. Работает это все понятно как - как обычно у майкрософта. Т.е. гимора больше для пользователей и админов чем вирмейкеров. Которым к тому же вот прям такие уж крутые права по жизни и не интересны в последнее время. Спамить, считать коины и ддосить можно и без всего этого. А от продвинутых руткитных выходок - только глюки лезут, пакость палится.
	Ответить \| Правка \| К родителю #88 \| Наверх \| Cообщить модератору


	149. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от X86 (ok), 23-Ноя-23, 09:26
	Иными словами, вирусне достаточно прав пользователя, под которым она запущена, чтобы украсть его крипту и т.д)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	154. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от Аноним (-), 23-Ноя-23, 17:49
	> Иными словами, вирусне достаточно прав пользователя, под которым она запущена, чтобы украсть > его крипту и т.д) В принципе - да. Но если я софт ставил в линухе как рут, пакетником, а системные сервисы под совсем иными пользователями и с изоляцией от системы - переключить пользователя на вот этого и обойти изоляцию... если вы так можете, у вас вероятно правов - на двух рутов хватит. Или как вы без правов это организуете, интересно? Особенно в вон той конфиге?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	166. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от X86 (ok), 25-Ноя-23, 09:43
	>> Иными словами, вирусне достаточно прав пользователя, под которым она запущена, чтобы украсть >> его крипту и т.д) > В принципе - да. Но если я софт ставил в линухе как > рут, пакетником, а системные сервисы под совсем иными пользователями и с > изоляцией от системы - переключить пользователя на вот этого и обойти > изоляцию... если вы так можете, у вас вероятно правов - на > двух рутов хватит. Или как вы без правов это организуете, интересно? > Особенно в вон той конфиге? А зачем зловреду права системных сервисов, если достаточно прав текущего пользователя, чтобы распоряжаться его файлами и мощностями его ПК?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	118. "В Fedora 40 планируют включить изоляцию системных сервисов"	+1 +/–
	Сообщение от Аноним (-), 21-Ноя-23, 21:18
	>> Вы не застали эпидемии autorun-вирусов на "безопасной" XP, которая была потомком 2000, которая, в свою очередь, была потомком "безопасной" NT4? Эпидемии ауторан-вирусов были возможны потому, что подавляющее большинство юзеров постоянно сидели под учетками админа. Это не ограничение архитектуры ОС, это индикатор уровня среднестатистического пользователя. Сиди эти же люди под Linux под рутом, имели бы потребность запускать такое же количество разношерстного софта (иногда сомнительного происхождения) и запускали бы все, что запускается - была бы такая же история. Но под Линуксом эти люди не сидели, а сидели они под виндой. Кстати, иногда я все еще наблюдаю похожий феномен среди некоторых пользователей FreeBSD - они делают всё от рута и с презрением смотрят на sudo или его аналоги. Но для этих 10 человек тоже никто вирусов не написал :D А Windows XP (как и NT4) имеет все средства, чтобы не ловить аутораны, что многие опытные юзеры прекрасно делали. Отключение автозапуска и использование обычной учетки в принципе закрывало большую часть подобных проблем. А кто уж дочитывал гайды до разделов про применение политик безопасности...
	Ответить \| Правка \| К родителю #87 \| Наверх \| Cообщить модератору


	155. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от Аноним (-), 23-Ноя-23, 17:51
	> Эпидемии ауторан-вирусов были возможны потому, что подавляющее большинство юзеров постоянно > сидели под учетками админа. Это не ограничение архитектуры ОС, это индикатор > уровня среднестатистического пользователя. Да вот видите ли - под ограниченными учетками виндовый софт ломался чуть менее чем весь. > Сиди эти же люди под Linux под рутом А вот там софт изначально приучен к тому что права птичьи - и не ломается от этого. Чем они и отличаются. Так что в теории равны. На практике некоторые равнее.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	89. "В Fedora 40 планируют включить изоляцию системных сервисов"	+1 +/–
	Сообщение от Аноним (89), 21-Ноя-23, 12:47
	Чушь. Вся "безопасность" Пинды на авторитетных обещаниях^W подписях держится. Даже настройки программ отдельно от бинарников начали хранить только с Висты. И сейчас многие под себя гадят из-под админа. И правила для фаерволла программы тоже с собой носят под честное слово. А уж autorun.exe, коли тут вспомнили, прописывающие себя в 500 мест реестра, и по сей день гуляют между офисами на флешках.
	Ответить \| Правка \| К родителю #80 \| Наверх \| Cообщить модератору


	102. "В Fedora 40 планируют включить изоляцию системных сервисов"	+1 +/–
	Сообщение от User (??), 21-Ноя-23, 14:11
	Ну, можетида - но она там определенно _есть_ и определенно "держится" - в отличие от, ниасиливших ни нормальный acl на файлы, ни возможность дать доступ к сети конкретной программе, ни... да ничего в общем ниасиливших "неуловимых Джо".
	Ответить \| Правка \| Наверх \| Cообщить модератору


	136. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от Аноним (136), 22-Ноя-23, 16:33
	Кому нужно открыли для себя opensnitch. Открыли и тут же закрыли. Потому что application firewall - бесполезная игрушка в отсутствии других форм изоляции процессов (ФС, памяти). И, что характерно, в Линуксе такие решения есть, и они сразу фундаментальные (user namespaces, eBPF и т.п.). Конструкторы, из которых в прямых руках, звездолёты строят. А что лично ты там "ниасилил", никого не волнует.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	152. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от User (??), 23-Ноя-23, 12:00
	> Кому нужно открыли для себя opensnitch. Открыли и тут же закрыли. Потому > что application firewall - бесполезная игрушка в отсутствии других форм изоляции > процессов (ФС, памяти). И, что характерно, в Линуксе такие решения есть, > и они сразу фундаментальные (user namespaces, eBPF и т.п.). Конструкторы, из > которых в прямых руках, звездолёты строят. > А что лично ты там "ниасилил", никого не волнует. Ну, да - как-то вот так оно все и выглядит. Мы тут рассуждаем, как в космос правильно летать надо, а портки перед дефекацией сымать - не барское дело; свое не пахнет, а это вот - не иначе как корпорасы из лютой ненависти наклали.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	157. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от Аноним (-), 23-Ноя-23, 21:07
	> Ну, можетида - но она там определенно _есть_ и определенно "держится" - > в отличие от, ниасиливших ни нормальный acl на файлы, ни возможность > дать доступ к сети конкретной программе, ни... да ничего в общем > ниасиливших "неуловимых Джо". На фоне этих поделий мои конфиги тоже смотрятся просто звездолетами. С одной стороны - никакого факин микроменеджмента - вбил координаты назначения и варпнулся туда. С другой это все сильно проще, быстрее, предсказуемее. А силовые щиты еще и не такой threat level отфутболивают. Пока вы там трахались с микроменеджментом, рискуя неверно понять эффективный набор прав, и молясь чтобы хаксоры не нашли обходной путь - я за 10% времени от этого нарулил куда более радикальную изоляцию под совсем другие допущения, где не то что мышь, блоха не проскочит. ...а если можно получить результат лучше и быстрее, надлежит признать вон то страданием фигней. Цель же не супер-абстракции нагородить, а достичь результатов. Как то - чтбы удобно было легитимному админу, а неудобно - интрудерам. В вон тех системах обычно все наоборот получается, #$%ться с настройкой дольше чем хаксору обходить. И зачем это в таком виде надо?! В результате на маздае пользователь зажат между молотом и наковальней и ему с обоих сторон достается, и от вендора и от хаксоров. А чтоб хорошо, удобно, безопасно, с респектом приваси, и вообще - да вот сейчас. Достаточно EULA почитать чтобы все понять.
	Ответить \| Правка \| К родителю #102 \| Наверх \| Cообщить модератору


	160. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от User (??), 23-Ноя-23, 21:36
	> На фоне этих поделий мои конфиги тоже смотрятся просто звездолетами. С одной стороны - никакого > факин микроменеджмента - вбил координаты назначения и варпнулся туда. С другой это все сильно проще, быстрее, предсказуемее. А силовые щиты еще и не такой threat level отфутболивают. > Пока вы там трахались с микроменеджментом, рискуя неверно понять эффективный набор прав, > и молясь чтобы хаксоры не нашли обходной путь - я за > 10% времени от этого нарулил куда более радикальную изоляцию под совсем > другие допущения, где не то что мышь, блоха не проскочит. И все это - не привлекая внимания санитаров. Неуловимого Джо - опять не поймали - шах-и-мат, скептики!
	Ответить \| Правка \| Наверх \| Cообщить модератору


	162. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от Аноним (-), 24-Ноя-23, 06:02
	> И все это - не привлекая внимания санитаров. Неуловимого Джо - опять > не поймали - шах-и-мат, скептики! Я так то еще до кучи умею Enterprise Admin быть. Поэтому имел возможность сравнить как мне оно. ...и пришел к выводу что можно сделать мои системы намного секурнее с в 20 раз меньше трахом. Что и заимплементил. И ощущения вот реально - как будто я из прогнившего фордфокусв в звездолет пересел.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	165. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от User (??), 24-Ноя-23, 09:39
	>> И все это - не привлекая внимания санитаров. Неуловимого Джо - опять >> не поймали - шах-и-мат, скептики! > Я так то еще до кучи умею Enterprise Admin быть. Поэтому имел > возможность сравнить как мне оно. > ...и пришел к выводу что можно сделать мои системы намного секурнее с > в 20 раз меньше трахом. Что и заимплементил. И ощущения вот > реально - как будто я из прогнившего фордфокусв в звездолет пересел. Да не интересен твой локалхост примерно никому, узбагойся. Сделаешь ну если не ERP или там SCADA\MES какой - так хотя бы файлопомойку с правами доступа, корпоративный портал в 20% возможностей шарика или там почтовый сервер, умеющий в календари, интеграцию с сервером каталогов и отображение статусов - будешь интересен, но ты ж не сделаешь, тыр-дыр-прайс-админ. Предполагаю - что и стандартную охапку грабель-и-костылей на бубернетовской изоленте не соберешь, на этапе выбора дистрибутива и конпеляния ведра застрянешь.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	45. "В Fedora 40 планируют включить изоляцию системных сервисов"	+2 +/–
	Сообщение от leap42 (ok), 21-Ноя-23, 05:24
	systemd позволяет переопределить любой unit файл: просто скопируйте стандартные и отключите изоляцию в них ну или бубунту возьмите, там попроще отношение к безопасности
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	105. "В Fedora 40 планируют включить изоляцию системных сервисов"	+1 +/–
	Сообщение от Минона (ok), 21-Ноя-23, 15:10
	Бубунта движется в направлении Snap OS.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	144. Скрыто модератором	+/–
	Сообщение от Аноним (-), 23-Ноя-23, 06:22
	> Бубунта движется в направлении Snap OS. Никак не влияет на systemd и его настройки. А вот как ветеран-юниксы аналоги вон того делают - это да, вопрос.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	69. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от Аноним (69), 21-Ноя-23, 07:33
	Если это какой-то вид иронии, то звучит ещё глупее.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	73. "В Fedora 40 планируют включить изоляцию системных сервисов"	–2 +/–
	Сообщение от Ну я все же доем... (?), 21-Ноя-23, 08:08
	не ирония я правда не понимаю, это забота о пользователях или "забота о пользователях"
	Ответить \| Правка \| Наверх \| Cообщить модератору


	75. "В Fedora 40 планируют включить изоляцию системных сервисов"	+5 +/–
	Сообщение от Аноним (75), 21-Ноя-23, 08:52
	У меня такое же ощущение. Уже 11 лет на всех моих ПК - Linux. Раньше он был офигенен. Ты указываешь, что нужно делать, Linux делает. Да, бывало приходилось подзаморочиться, но всё же. Теперь здесь начинает происходить то же г..., что и в Windows, когда "система знает, как тебе будет лучше" или слишком ограничивает тебя, чтобы что-то сделать нестандартное. Один пример (самый близкий по времени): мне понадобилось в Ubuntu добавить 'options rotate timeout:1' в resolv.conf. Раньше - добавил ручками и норм. Теперь мой любимый и обожаемый Поттеринг в своей поделке systemd-resolved не предусмотрел возможности добавления дополнительных options в resolv.conf (да действительно, кому это нужно!). Руками добавлять бесполезно - файл генерируется его поделкой "на лету". В результате чего пришлось устраивать марафон гуглежа и извращений. Выпилил systemd-resolved, поставил на его место dnsmasq и настроил, как хотел. Серьёзно!? И вот ЭТО Поттеринговское неконфигурируемое г... теперь основа для построения дистрибутива!? К чему эта простыня? Я свалил с Windows (кроме всего прочего) когда понял, что система слишком много на себя берёт и не позволяет много чего. А ОС для меня - инструмент, а не объект со своей волей. Теперь мой любимый Linux медленно, но верно начинает делать то же самое (((
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	78. "В Fedora 40 планируют включить изоляцию системных сервисов"	+/–
	Сообщение от Аноним (78), 21-Ноя-23, 09:40
	Ставь слачельничек. И на работе тоже ставь слачельничек.
	Ответить \| Правка \| Наверх \| Cообщить модератору