Исходное сообщение
"Уязвимость в гипервизоре VMM, развиваемом проектом OpenBSD" Отправлено Аноним, 26-Фев-20 16:43
>> Доказано что любая реализация DAC и MAC в микроядерных OS >Где можно ознакомиться с соответствующими доказательствами? Мы когда-то посовещались и Я так решил. https://www.opennet.ru/openforum/vsluhforumID3/100354.html#51 https://www.opennet.ru/openforum/vsluhforumID3/100354.html#23 https://www.opennet.ru/openforum/vsluhforumID3/100354.html#48 https://www.opennet.ru/openforum/vsluhforumID3/103368.html#28 ACL и MAC модели для микроядер неприемлемы из-за тормозов в реализации более 10 раз. Это проблема решения не имеет и хакеры GNU Hurd это пока признают. Долго искали решения и вопрос с производительностью ACL и MAC отложили. Тесты сравнения производительности ACL в Hurd и Linux были здесь. Проиграш микроядра по сравнению с монолитом 10-100 раз. Хакеры Haiku отказались от безопасности ACL и MAC в пользу производительности. seL4 первая реализация микроядра, которая дает хоть какую-то гарантию безопасности без потери производительности в сравнении с монолитом. Безопасность основана на рандомизации. ACL и MAC в ней нет. Сам подумай, при каждомм выходе-входе в микроядро надо делать все проверки ACL и MAC! Монолитное ядро делает в контексте ядра только одну проверку и реализует сразу очень большие возможности: драйвера, протоколы, шифрование, .... > namespaces, capabilities и cgroups capabilities я выбрасывать нигде не говорил! Говорил что поддержка capabilities, как вы ее предлагаете, очень дорога. Говорил, что программисты включают установку прав на log, run в бинарный сервис, а надо в инит скрипт. Также показал правильный путь использования capabilities - RSBAC от grsecurity. Ничего писать не надо они capabilities контролируют правилами RSBAC сразу для всех прог. Отключение cgroups прибивает systemd намертво и навсегда. Даже elogind не шевелится. consolekit можно собрать без cgroups и он будет жить. Отключение namespaces убивает некоторую изоляцию. Вы не хотите настроить простую DAC, спорите о том, что можно выделять память одновременно в режиме для записи и изменения, вы действительно думаете что в этом случае вам поможет изоляция namespaces? > Ну тут даже не знаю, что сказать. Видимо, до таких высот мы еще не доросли, да. Но тогда не доросли и все остальные. Ибо почему то, о ужас, … Многие понимают, знают как и могут, но АНБ, ФСБ, *Б этого не надо. Чем меньше у вас безопасности тем им легче исполнять свои обязанности....