|
|
3.10, Vkni (ok), 18:52, 03/09/2012 [^] [^^] [^^^] [ответить]
| +5 +/– |
> а оно было тогда с граф интерфейсом? :)
40 лет назад оно было БЕЗ граф. интерфейса! Но сейчас с ним!
Неумолима поступь прогресса! :-)
| |
|
4.102, WinPooh (?), 12:36, 04/09/2012 [^] [^^] [^^^] [ответить]
| +2 +/– |
"Чем новая система лучше старой?" - "У новой цветное руководство!" (с) TRON-2010
| |
|
|
2.68, Аноним (-), 01:03, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
Btw... Xen == "микроядро". Domain'ы и OS в них == "процессы-сервера". Вот так при помощи нехитрых инструментов можно из буханки^W того что есть сделать троллейбус^W нечто с дизайном на который так дро^W любители микроядер.
| |
|
1.4, Bolek (ok), 18:10, 03/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
эх, видюшка моя не протестирована.. надо будет попробовать систему
| |
|
2.107, Vkni (ok), 13:24, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
Ну если в таком виде, то да. А вообще, на аналогичной системе, под названием СВМ (клон VM/370) мои родители работали на ЕСке.
| |
|
1.11, Аноним (-), 19:02, 03/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Как-то подозрительно это всё. В протоколе X11 нет никаких разграничений доступа, любое приложение имеет полный доступ к GUI (может захватывать изображение и посылать события ввода, например).
Насколько я понял по скриншоту, все приложения выполняются в одних иксах.
| |
|
2.12, Mirraz (ok), 19:05, 03/09/2012 [^] [^^] [^^^] [ответить]
| –1 +/– |
Сам только что хотел сказать то же самое.
Простенький X11-кейлоггер (которому и root-права не нужны) в руки и вперёд.
| |
|
3.13, angra (ok), 19:19, 03/09/2012 [^] [^^] [^^^] [ответить]
| +1 +/– |
Вы владеете тайным кунг-фу. Зачем вам qubes, вперед к взлому хостеров из предоставленных ими виртуалок. А дальше глядишь научитесь взламывать машины тех, кто подключился по ssh, там ведь тоже, о боже мой, полный контроль над терминалом.
| |
3.47, Mr. Cake (?), 22:02, 03/09/2012 [^] [^^] [^^^] [ответить]
| +5 +/– |
Статью не читай @ Пиши ерунду
>>Для организации вывода в каждом виртуальном окружении для приложений запускается отдельный X-сервер, упрощённый оконный менеджер и видеодрайвер-заглушка, транслирующий вывод в управляющее окружение в композитном режиме. | |
3.55, Аноним (-), 23:13, 03/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
Для организации вывода в каждом виртуальном окружении для приложений запускается отдельный X-сервер
| |
|
2.14, Аноним (-), 19:20, 03/09/2012 [^] [^^] [^^^] [ответить]
| +3 +/– |
> Как-то подозрительно это всё. В протоколе X11 нет никаких разграничений доступа, любое
> приложение имеет полный доступ к GUI (может захватывать изображение и посылать
> события ввода, например).
> Насколько я понял по скриншоту, все приложения выполняются в одних иксах.
Нет, там на каждую виртуальную машину свой отдельный X-свервер, а на десктопе окна рисуются через что-то подобное VNC.
| |
|
3.16, anonymous_peer (ok), 19:32, 03/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> Нет, там на каждую виртуальную машину свой отдельный X-свервер, а на десктопе
> окна рисуются через что-то подобное VNC.
Ух, ты, хочу так на домашнем компе сделать, чтобы из-под разных пользователей запускать приложения.
| |
|
4.70, Аноним (-), 01:08, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> Ух, ты, хочу так на домашнем компе сделать, чтобы из-под разных пользователей
> запускать приложения.
Так сделайте. Только вот отдельный пользователь - сильно менее ядреная защита чем отдельная виртуалка.
| |
4.119, Аскар Сафин (?), 14:59, 08/09/2012 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Ух, ты, хочу так на домашнем компе сделать, чтобы из-под разных пользователей
> запускать приложения.
Так запросто.
1. Набери в иксах команду "xhost +" (чтобы временно разрешить всем запускать приложения в иксах, в том числе кому угодно в сети)
2. Залогинься под каким-нибудь пользователем, отличным от текущего (можно залогиниться там же, в иксах, с помощью команды "sudo login -f имяюзера", можно в консоли)
3. Набери под этим новым юзером команду "DISPLAY=:0 cmd", где вместо :0 поставь дисплей (обычно это :0), а вместо "cmd" - нужное GUI-приложение
4. Готово! Только теперь нужно обязательно набрать в исконных иксах "xhost -", а то тебя по сети сломают
Если чё, пиши на e-mail
| |
|
5.120, Michael Shigorin (ok), 15:57, 08/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> 1. Набери в иксах команду "xhost +" (чтобы временно разрешить всем запускать
> приложения в иксах, в том числе кому угодно в сети)
Тогда уж xhost localhost, а лучше MIT-куку скопировать.
> 4. Готово! Только теперь нужно обязательно набрать в исконных иксах "xhost -"
Соответственно xhost -localhost.
Либо ssh -Y user@localhost app.
| |
|
6.121, arisu (ok), 16:37, 08/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> а лучше MIT-куку скопировать
ну, предполагалось же как можно проще, а не «как правильно».
| |
|
|
|
3.18, Аноним (-), 19:49, 03/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> Нет, там на каждую виртуальную машину свой отдельный X-свервер, а на десктопе окна рисуются через что-то подобное VNC.
Т.е. воспроизведение видео жутко тормозит, а об OpenGL можно вообще забыть?
| |
|
4.23, Нанобот (?), 20:34, 03/09/2012 [^] [^^] [^^^] [ответить]
| +2 +/– |
ну так это ж система для параноиков, а не для геймеров и любителей смотреть видео
| |
4.84, ВКПб (?), 08:23, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
>> Нет, там на каждую виртуальную машину свой отдельный X-свервер, а на десктопе окна рисуются через что-то подобное VNC.
> Т.е. воспроизведение видео жутко тормозит, а об OpenGL можно вообще забыть?
IOMMU + Radeon или VT-d + Intel в руки и можешь даже в крузиз гонять.
| |
|
|
2.15, Аноним (-), 19:25, 03/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
Там по сути только оконный менеджер один на всех, всё остальное в кажной виртуальной машине своё. Из-за этого и 4 Гб ОЗУ требует для работы.
| |
|
3.28, Аноним (-), 20:54, 03/09/2012 [^] [^^] [^^^] [ответить]
| –1 +/– |
много ОЗУ оно требует из-за xen'а. Если бы это был котя бы kvm, потребление стало бы на порядки ниже.
| |
|
4.33, Аноним (-), 21:18, 03/09/2012 [^] [^^] [^^^] [ответить] | +2 +/– | Читайте http qubes-os org files doc arch-spec-0 3 pdf почему выбрали Xen, а не... большой текст свёрнут, показать | |
|
5.36, Mirraz (ok), 21:24, 03/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
Там же можно почитать про GUI: Глава 5.3. Qubes GUI architecture
| |
5.73, Аноним (-), 02:00, 04/09/2012 [^] [^^] [^^^] [ответить] | –1 +/– | XEN это тоже ядро как и линкс Dom0 это просто привелегированный, паравиртаулизи... большой текст свёрнут, показать | |
|
6.77, Аноним (-), 07:36, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> XEN это тоже ядро как и линкс
> Dom0 это просто привелегированный, паравиртаулизированный
> Это можно сделать и в KVM. У меня в основной системе нет
> еще раз, в KVM можно реализвать такой же Dom0 (гость в
ты абсолютно не понимаешь, то такое xen, зачем он такой, какой есть, как он работает.
[сообщение отредактировано модератором]
| |
6.95, Аноним (-), 10:09, 04/09/2012 [^] [^^] [^^^] [ответить] | +/– | Вы берётесь рассуждать не понимая что такое Xen Для начала http xen org files... большой текст свёрнут, показать | |
|
7.104, Аноним (-), 12:56, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
А теперь попробуйте описать чем CPU scheduling, memory pratitioning, controling execution of virtual machines отличается от того, чем занимается KVM хост? Да, KVM хост может работать как полноценная ОС, но если установить только qemu и его зависимости, получится "basic abstraction layer".
> It has no knowledge of . . . external storage devices, video, or any other common
> I/O functions found on a computing system.
Это всё отключается в make menuconfig. :) Для работоспособности девайсов, пробрасывайте их в гостей.
| |
|
|
|
4.52, MVK (??), 22:55, 03/09/2012 [^] [^^] [^^^] [ответить]
| +2 +/– |
> много ОЗУ оно требует из-за xen'а. Если бы это был котя бы
> kvm, потребление стало бы на порядки ниже.
- на "порядки", ха-ха, наверно путаете с Virtuoso/OpenVZ, да и там от силы один порядок набежит. Кроме того актуальные версии Xen используют общие страницы памяти для виртуалок, что позволяет получить экономию ОП на одинаковых виртуалках. Да, и вроде для KVM требуется поддержка виртуализации в процессоре?
| |
|
5.74, Аноним (-), 02:04, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> Кроме того актуальные версии Xen используют общие
> страницы памяти для виртуалок, что позволяет получить экономию ОП на одинаковых
> виртуалках.
В KVM это появилось раньше (KSM, transparent huge tables).
> Да, и вроде для KVM требуется поддержка виртуализации в процессоре?
Qubes требует не только виртуализацию, но и iommu.
| |
|
|
|
|
1.22, Аноним (-), 20:34, 03/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Надеюсь, Qubes Manager попадёт в апстрим проекта KDE, чтобы подобную систему можно было собрать, например, на базе Gentoo.
| |
|
2.96, an. (?), 10:49, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
Надеюсь, как раз не попадет или в худшем случае, будет опционален и по-умолчанию выключен - большинству людей он не нужен, а значит в апстриме тоже (высказанное выше, естественно, имхо).
| |
|
1.26, Аноним (-), 20:50, 03/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
думал, что до такого идиотизма не доживу. Интересно, рутковская знает о существовании контейнеров
| |
|
2.30, Аноним (-), 21:08, 03/09/2012 [^] [^^] [^^^] [ответить]
| +1 +/– |
> думал, что до такого идиотизма не доживу. Интересно, рутковская знает о существовании
> контейнеров
Контейнеры работают поверх одного ядра, поэтому не защищены от ошибок и дыр в ядре, что сводит на нет их эффективность. В Xen в каждом VM своё ядро и полная изоляция, вплоть до отдельных VM для сетевых и блочных драйверов.
| |
|
|
4.34, Аноним (-), 21:20, 03/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> А в гипервизоре, конечно, дырок нет.
Размер кода гипервизора примерно 0.001% от кода ядра.
| |
|
|
6.44, Аноним (-), 21:54, 03/09/2012 [^] [^^] [^^^] [ответить]
| +4 +/– |
> и он, конечно же, крутится не ядром.
В том то и дело, что НЕТ !
| |
|
|
8.60, Аноним (-), 00:00, 04/09/2012 [^] [^^] [^^^] [ответить] | +1 +/– | Сами учите, даже подскажу где - http qubes-os org files doc arch-spec-0 3 pdf ... текст свёрнут, показать | |
|
|
6.85, ВКПб (?), 08:25, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> и он, конечно же, крутится не ядром.
Xen до ядра запускается. Из-за этого куча проблем с драйверами выскакивает.
| |
|
5.103, Аноним (-), 12:46, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
А на сколько порядков сложнее писать код для гипервизора, чем для ядра ОС?
| |
|
|
3.117, qux (ok), 19:12, 05/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> В Xen в каждом VM своё ядро и полная изоляция, вплоть до отдельных VM для сетевых и блочных драйверов.
Кто-то ведь все равно должен иметь всю функциональность вместе, для работы пользователя.
| |
|
|
|
2.35, Аноним (-), 21:23, 03/09/2012 [^] [^^] [^^^] [ответить]
| +1 +/– |
> чем эта херомантия лучше злобно настроенного strict policy selinux?
тем же чем selinux лучше стандартных прав доступа.
| |
2.38, Аноним (-), 21:30, 03/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> чем эта херомантия лучше злобно настроенного strict policy selinux?
Сюрприз, но selinux ничем не помогает против уязвимостей и ошибок, он лишь не даёт сделать больше чем нужно защищаему процессу для работы. SELinux не защитит от экплуатации уязвимости и не поможет недопустить начать рассылать спам или читать файлы пользователей, если атакованный процесс в штатном режиме мог отправлять сетевые пакеты или имел доступ к ФС.
| |
|
3.39, Mirraz (ok), 21:35, 03/09/2012 [^] [^^] [^^^] [ответить]
| +2 +/– |
Сюрприз, но Qubes OS ничем не помогает против уязвимостей и ошибок, он лишь не даёт сделать больше чем нужно защищаему процессу для работы. Qubes OS не защитит от экплуатации уязвимости и не поможет недопустить начать рассылать спам или читать файлы пользователей, если атакованный процесс в штатном режиме мог отправлять сетевые пакеты или имел доступ к ФС.
| |
|
4.46, Аноним (-), 22:00, 03/09/2012 [^] [^^] [^^^] [ответить]
| +1 +/– |
Если сломают защищённый SELinux Firefox то получат доступ ко всем файлам пользователя и всем данным, с которыми пользователь работает из этого браузера.
Если сломают Firefox в Qubes то получат доступ только к данным текущей помойки, доступа к не связанным с браузерной сессией файлам пользователя не будет, не будет доступа к приватным данным (работа с банком производится в другом VM), не будет возможности запустить троянский процесс для мониторинга за пользователем (мониторить можно только браузерную помойку в текущем VM).
| |
|
5.51, Mirraz (ok), 22:55, 03/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
>Если сломают защищённый SELinux Firefox то получат доступ ко всем файлам пользователя
нет
>и всем данным, с которыми пользователь работает из этого браузера
как и Qubes
>мониторить можно только браузерную помойку
как и для SELinux
| |
|
6.56, Аноним (-), 23:37, 03/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
>>Если сломают защищённый SELinux Firefox то получат доступ ко всем файлам пользователя
> нет
вы не правы.
>>и всем данным, с которыми пользователь работает из этого браузера
> как и Qubes
нет.
>>мониторить можно только браузерную помойку
> как и для SELinux
нет.
| |
6.61, Аноним (-), 00:07, 04/09/2012 [^] [^^] [^^^] [ответить] | +/– | SELinux выступает в роли фильтра, то что разрешено - остаётся открытым и доступн... большой текст свёрнут, показать | |
|
|
6.62, Аноним (-), 00:10, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> точно так же ff можно запустить просто под другим пользователем
В Android примерно так и делается для изоляции приложений в сочетании sandbox-изоляцией системных вызовов, что вполне хорошо работает.
http://source.android.com/tech/security/ - очень подробно описано что сделано в Android для защиты.
| |
|
|
|
3.40, Аноним (-), 21:35, 03/09/2012 [^] [^^] [^^^] [ответить]
| +1 +/– |
От всего этого изоляция помогает примерно так же, как и SE - всё зависит от правильно выбраной схеме политик/изоляции. Здесь уже встаёт вопрос удобства настройки. SE настраивать явно сложнее, но и виртуализация на XEN слишком топорна и тупа для такой задачи. Да и навряд ли были учтены все варианты выхода из вируатлки.
[сообщение отредактировано модератором]
| |
|
|
|
6.115, Аноним (-), 22:10, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> Где и что там сказано про selinux?
Там аргументировано сказано почему выбрана виртуализация и Xen, а не контейнеры и разные виды изоляции отдельных процессов.
| |
|
|
|
|
|
1.45, Аноним (-), 21:58, 03/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
То же самое можно реализовать через, например, ESXi. Поставил Windows для игр, Ubuntu - для работы и развлечений, Gentoo Hardened в ro-режиме - для конфиденциальных операций в Live режиме, без сохранения изменений. Переключаешься на лету, всё работает... Слишком переусложнённые Qubes получились, если что-то случится в одном из Dom, особенно Dom0 - забудьте про свои накопленные данные (они зашифрованы) и нормальную работу на ближайшее время.
| |
|
2.50, Аноним (-), 22:49, 03/09/2012 [^] [^^] [^^^] [ответить]
| +3 +/– |
Сейчас немного погонял сие поделие на тестовом стенде: AMD Athlon II X2 255, 4 ГБ DDR3 1600 МГц, NVidia GeForce GT 630. Работать невозможно. Вынул видеокарту, использовал встроенное в материнку видео AMD/ATI - ничего не изменилось, всё так же плохо. Как можно было такое 3 года готовить? Виртуализация съела лучшее время жизни Джоанны...
И ещё: знаменитая "blue pill" - вовсе не её идея, до неё об этом упоминали не раз, например:
http://dl.acm.org/citation.cfm?id=1130383
| |
|
|
4.97, Аноним (-), 11:24, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
Тогда зачем упоминать AMD IOMMU? Эта технология специфична для платформ AMD, Intel там никаким боком не влезет. Или предлагаете видеокарту от Intel в древний PCI-слот втыкать?
| |
|
|
2.64, Гентушник (ok), 00:21, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> То же самое можно реализовать через, например, ESXi
Вы наверное щутки шутите. Qubes - ОС для параноиков, а вы проприетарный ESXi в пример привели.
> если что-то случится в одном из Dom, особенно Dom0
С ESXi случится ничего не может?
| |
|
3.65, Аноним (-), 00:49, 04/09/2012 [^] [^^] [^^^] [ответить]
| +1 +/– |
Параноикам никто не запрещает самим развернуть инфраструктуру Xen и перечисленные выше ОС для своих нужд, переключаясь между ними на лету. А вот доверять некоей Рутковской с её готовыми сомнительными поделиями параноикам не стоит. Либо все исходники просмотреть, вдруг где какая закладочка just for fun оставлена...
| |
|
|
1.53, анноним (?), 23:01, 03/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
По сути ничего нового.
Поменяли код ядра линукс, которому не доверяем, на собственный. Сравнение размера линукса с размером гипервизора не корректно. Ко второму нужно добавить собственно qubes. Хотя расклад явно не изменит. :D
Очень удивлюсь, если оно будет удобно (приемлемо) в использовании.
| |
1.63, Аноним (-), 00:11, 04/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
единственное что сделано хорошо в этой самодеятельности это картинки к новости. Давно не видел настолько хорошо оформленного концепта. Остальное (т.е. сам концепт и реализация), конечно же, гогно.
| |
1.66, Andrew Kolchoogin (?), 00:54, 04/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Сайт Qubes испытал на себе Slashdot-эффект. :)))
О юзабельности: юзабельна ещё с Beta 2. Работает совершенно шикарно, правда, конечно, за всё надо платить -- ОЗУ кушает немеряно.
| |
1.71, Аноним (-), 01:11, 04/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Сделали бы не на основе Федоры, а на основе Gentoo Hardened - вот тогда была бы тема.
А этим параною не прикроешь :F
| |
1.75, dalco (ok), 06:20, 04/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| +7 +/– |
Мдя, на каждое новое поколение железа программеры отвечают несколькими дополнительными слоями абстракции и виртуализации.
В результате, то, что раньше прекрасно считалось на счетах, теперь и на суперкомпьютере тормозит :)
| |
|
2.80, Аноним (-), 07:47, 04/09/2012 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Мдя, на каждое новое поколение железа программеры отвечают несколькими дополнительными
> слоями абстракции и виртуализации.
> В результате, то, что раньше прекрасно считалось на счетах, теперь и на
> суперкомпьютере тормозит :)
прув (про "тормозит") или gtfo
| |
|
3.113, Michael Shigorin (ok), 17:32, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
>> В результате, то, что раньше прекрасно считалось на счетах, теперь и на
>> суперкомпьютере тормозит :)
> прув (про "тормозит") или gtfo
Ещё как может тормозить, если совсем не параллелится и сидит на одном ядре.
Схожие грабли у горе-погромистов и в датацентре: http://lwn.net/Articles/441790/
| |
|
|
1.93, Engineer (??), 09:59, 04/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Сгласен с dalco, зачем дополнительные слои абстракций, виртуализаций, вообще-то следить за приложениями и за тем чтобы они не совались куда не положено - это работа нормальной ОС. И вместо того чтобы олавливать баги и дыры в ОС, приедется еще ксен полировать, который по сложности примерно как ОС.
| |
|
2.110, анноним (?), 13:44, 04/09/2012 [^] [^^] [^^^] [ответить]
| –1 +/– |
>ксен полировать, который по сложности примерно как ОС.
вызывающе неверная информация.
| |
|
1.98, arisu (ok), 11:57, 04/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
> Йоанна
фэйспалм с размаху. опеннет не перестаёт радовать перлами «пиривота».
| |
|
|
3.101, arisu (ok), 12:16, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> Польский — твой нативный язык?
а что, так сложно найти, как правильно передавать это имя?
и, кстати, да: увы, я польский знаю. тяжёлое детство, журналы bajtek…
| |
|
|
5.111, arisu (ok), 13:53, 04/09/2012 [^] [^^] [^^^] [ответить]
| +/– |
> И как же верно?
смотря откуда брать. если с английского — то Джоанна. если не с английского — то, например, Иоанна (как Хмелевская). или Яна (но это уже спорно).
| |
|
|
|
|
3.112, arisu (ok), 13:53, 04/09/2012 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Это вы опозорились, они из Польши, Joanna читается как Йоанна
а «Paris», видимо, следует писать как «Парис».
| |
|
|
1.99, AS (??), 12:13, 04/09/2012 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
я все же так и не понял.. проще запускаем XP in VirtualBox, делаем шо надо, откатываем снапшот не ?? а тут 4 Гб подай 64bit..
| |
|