The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Первый релиз безопасного браузера BitBox, разработанного по ..."
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от opennews on 15-Май-11, 09:34 
Немецкая компания Sirrix (http://www.sirrix.de/content/pages/home.htm) представила продукт под именем BitBox (http://www.sirrix.de/content/pages/57064.htm) (browser in a box - браузер в коробке), разработанный по заказу правительства Германии и представляющий собой безопасную версию браузера Firefox 4, которая работает в изолированном окружении и не может навредить или привести к утечке информации из операционной системы.


Интересно, что в качестве способа изоляции в BitBox используется не какая-либо легковесная технология виртуализации, а самый настоящий VirtualBox, внутри которого запускается урезанная версия дистрибутива Debian 6 с браузером Firefox вместо рабочего стола. Каждый запуск BitBox происходит "с чистого листа", возвращая виртуальную машину к изначальному состоянию. Для сохранения состояния, настроек браузера, а также полученных из сети файлов используется разделяемый с основной системой каталог, для доступа к которому необходимо войти в систему под другой учетной запис...

URL: http://www.pcworld.com/businesscenter/article/227838/free_br...
Новость: http://www.opennet.ru/opennews/art.shtml?num=30559

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


2. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +18 +/
Сообщение от Аноним (??) on 15-Май-11, 09:36 
Только мне это напомнило "русские распилы"? За ВиртуалБокс с Дебианом и Огнелисом наверняка миллионы ушли, не иначе. Хотя с ходу это сделает любой вменяемый школьник.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +4 +/
Сообщение от Анон on 15-Май-11, 09:41 
Тссс. Ты что контору палишь. Сейчас модно хаять только своё правительство. А в цветущем западе всё по-честному.
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

6. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +6 +/
Сообщение от Аноним (??) on 15-Май-11, 09:57 
«Что ты смотришь на сучок в глазе брата твоего, а бревна в твоем глазе не чувствуешь... Лицемер! вынь прежде бревно из твоего глаза, и тогда увидишь, как вынуть сучок из глаза брата твоего»— w:Евангелие от Матфея. Гл. 7:3—5.

п.с. Вот как вынем коррупционное бревно из своей страны, так сразу за другие примемся, ога? ;)

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

59. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от Анон on 15-Май-11, 18:39 
Вот, яркое подтверждение моих слов выше. Никто даже не знает сколько было выделено денег на этот "принципиально новый браузер", но некоторые уже принялись сопоставлять масштабы, априори утверждая, что у нас пилят куда больше.
Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

63. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от Аноним (??) on 15-Май-11, 20:15 
>Вот, яркое подтверждение моих слов выше.

Вовсе нет. Прочитайте еще раз.

Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

64. "Первый релиз безопасного браузера BitBox, разработанного по ..."  –2 +/
Сообщение от Анон on 15-Май-11, 20:37 
Вовсе да, прочитайте ещё раз.
Ответить | Правка | ^ к родителю #63 | Наверх | Cообщить модератору

55. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +4 +/
Сообщение от anonymous (??) on 15-Май-11, 17:56 
>Тссс. Ты что контору палишь. Сейчас модно хаять только своё правительство. А в цветущем западе всё по-честному.

откуда же вы такие беретесь, а? как будто это - повод для оправдания, "у них тоже не лучше!"

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

111. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +2 +/
Сообщение от Клыкастый on 16-Май-11, 17:51 
да оттуда же, откуда и эти "в-этой-стране-всё-херово-а-вот-на-западе"
Ответить | Правка | ^ к родителю #55 | Наверх | Cообщить модератору

5. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +3 +/
Сообщение от Аноним (??) on 15-Май-11, 09:49 
В целом, все сделано правильно, с виртуалкой можно получить неплохую защиту. Но нахрена VBox с Дебиан? Я боюсь, сколько же оно оперативы скушает вкупе с браузером и при этом наверняка будет тормозить? Я не эксперт по этому вопросу, но наверняка можно было некую легковесную песочницу поднять и там Firefox крутить. А то данное решение напоминает копание грядок бульдозером.
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

8. "Первый релиз безопасного браузера BitBox, разработанного по ..."  –2 +/
Сообщение от Аноним (??) on 15-Май-11, 10:00 
>  Я не
> эксперт по этому вопросу, но наверняка можно было некую легковесную песочницу

И это называется, это назыываааееетсяяя.... Ххххррррромиууууммм! :D

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

32. "Первый релиз безопасного браузера BitBox, разработанного по ..."  –7 +/
Сообщение от Толстый (ok) on 15-Май-11, 14:13 
Как всегда быдло заминусовало человека, который прав. Код рендеринга страницы, который больше всего подвержен уязвимостям как раз и работает в песочнице.
Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

35. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +3 +/
Сообщение от анон on 15-Май-11, 15:06 
> Как всегда быдло заминусовало человека, который прав.

А некто с ником "Толстый", как всегда, с пеной у рта кричит глупости и кидается какашками :-)

>Код рендеринга страницы, который больше всего подвержен уязвимостям как раз и работает в песочнице.

Ну и толку, если из этой песочницы можно свалить на раз-два?

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

42. "Первый релиз безопасного браузера BitBox, разработанного по ..."  –2 +/
Сообщение от szh (ok) on 15-Май-11, 15:37 
в хромиуме нельзя
Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

60. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +1 +/
Сообщение от Андрей (??) on 15-Май-11, 18:50 
Уже можно...
Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

68. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от szh (ok) on 15-Май-11, 22:31 
какие твои доказательста ?
У них флеш насколько я знаю не до конца в песочнице.
Ответить | Правка | ^ к родителю #60 | Наверх | Cообщить модератору

65. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от Аноним (??) on 15-Май-11, 20:54 
> А некто с ником "Толстый", как всегда, с пеной у рта кричит
> глупости и кидается какашками :-)

А что еще вы ожидали от такого ника? С таким ником только толстый троллинг и можно было ожидать. Как вы яхту назовете...

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

34. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от анон on 15-Май-11, 15:04 
> И это называется, это назыываааееетсяяя.... Ххххррррромиууууммм! :D

Хром(иум) - прекрасный пример, иллюстрирующий песочницу, из которой очень легко выйти. Свовсем недавно было, и наверняка будет ещё не раз.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

58. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +1 +/
Сообщение от undefined on 15-Май-11, 18:16 
Это был флэш, хромИУМ не подвержен, но да, это демонстрирует что песочница не неуязвима. Это не первая уязвимость песочницы, хотя может и первая позволяющая запустить произвольную программу вне её.

Надо сказать что VirtualBox тоже не неуязвим, и большинство уязвимостей, кажется, в механизме разделяемых реальной/виртуальной машиной папок.

Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

66. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от Аноним (??) on 15-Май-11, 20:57 
> Хром(иум) - прекрасный пример, иллюстрирующий песочницу, из которой очень легко выйти.

Ну на счет очень - вы загибаете. В линухе для хромиума создается натуральный такой контейнер, с своим нэймспейсом процессов, загончиком в ФС и прочая. Чтобы его разломать - надо сломать LXC. Теоретически это конечно возможно, а практически - дайте чтоли примеры сплойтов на это дело?

Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

67. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от коксюзер on 15-Май-11, 21:44 
> прочая. Чтобы его разломать - надо сломать LXC. Теоретически это конечно

Не LXC, а ядро, примеров чему масса.

Ответить | Правка | ^ к родителю #66 | Наверх | Cообщить модератору

69. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от szh (ok) on 15-Май-11, 22:49 
> Не LXC, а ядро, примеров чему масса.

в пустом чруте с урезанным до 4х списком разрешенных syscalls эта масса НЕ подойдет.

A largely unknown kernel feature, seccomp, allows processes to call a very small subset of system calls—just read(), write(), sigreturn(), and exit()—aborting a process that attempts to call any other. That is the starting point for the Chromium sandbox.

http://code.google.com/p/seccompsandbox/wiki/overview

Ответить | Правка | ^ к родителю #67 | Наверх | Cообщить модератору

70. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от коксюзер on 15-Май-11, 23:13 
> в пустом чруте с урезанным до 4х списком разрешенных syscalls эта масса
> НЕ подойдет.
> http://code.google.com/p/seccompsandbox/wiki/overview

Вы немного путаете. seccompsandbox и setuid-sandbox вещи разные:
http://code.google.com/p/setuid-sandbox/

Ответить | Правка | ^ к родителю #69 | Наверх | Cообщить модератору

89. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от szh (ok) on 16-Май-11, 13:18 
гугление привело на ссылку chrome://about/sandbox/

  SUID Sandbox    Yes
  PID namespaces    Yes
  Network namespaces    Yes
  Seccomp sandbox    No

Ответить | Правка | ^ к родителю #70 | Наверх | Cообщить модератору

76. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от AHAHAC (ok) on 16-Май-11, 01:44 
Т.е. самый плохой - write(), они и оставили.
Ответить | Правка | ^ к родителю #69 | Наверх | Cообщить модератору

78. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от коксюзер on 16-Май-11, 02:49 
> Т.е. самый плохой - write(), они и оставили.

После включения SECCOMP новые файл-дескрипторы создавать нельзя, так что всё нормально.

Ответить | Правка | ^ к родителю #76 | Наверх | Cообщить модератору

12. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от sdog (ok) on 15-Май-11, 10:40 
мы готовы выслушать Ваши предложения.
Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

15. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от szh (ok) on 15-Май-11, 11:42 
> Только мне это напомнило "русские распилы"?

Пока не озвучена цена - нет. Пока не озвучено во что обходится содержание программиста на госдолжности с налогами и медстраховками и т п - нет.

> Хотя с ходу это сделает любой вменяемый школьник.

Безопасность правительства школьникам не поручают. Платят в сто раз больше профессионалам.

> За ВиртуалБокс с Дебианом и Огнелисом наверняка миллионы ушли

сказал один анонимус.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

33. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +2 +/
Сообщение от анон on 15-Май-11, 15:02 
>Пока не озвучена цена - нет.

Неужели ещё есть наивные люди, верящие, что на реальную разработку ушло не менее 3% выделенных под проект средств?

>Безопасность правительства школьникам не поручают. Платят в сто раз больше профессионалам.

Ага, тока квалификация этих "профессиоаналов" зачастую уступает квалификации среднего школьника.

>сказал один анонимус.

Это типа аргумент такой, да?

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

37. "Первый релиз безопасного браузера BitBox, разработанного по ..."  –1 +/
Сообщение от szh (ok) on 15-Май-11, 15:20 
> Это типа аргумент такой, да?

это намек на отсутствие аргументов кроме веры в 3%.

Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

39. "Первый релиз безопасного браузера BitBox, разработанного по ..."  –1 +/
Сообщение от анон on 15-Май-11, 15:23 
>это намек на отсутствие аргументов кроме веры в 3%.

Ух ты! Вы так прямо и честно намекаете на отсутствие у вас аргументов?

Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

112. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от szh (ok) on 16-Май-11, 21:18 
я вам прямо говорю об отсутствии у вас аргументов
Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

82. "Первый релиз безопасного браузера BitBox, разработанного..."  +/
Сообщение от anonymous (??) on 16-Май-11, 07:12 
> Безопасность правительства школьникам не поручают. Платят в сто раз больше профессионалам.

причём иногда за то, что может сделать даже школьник.

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

10. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +2 +/
Сообщение от Аноним (??) on 15-Май-11, 10:06 
Я вот, что подумал. Если мы создали одно защищенное приложение, то зачем останавливаться на нем одном?! Правильно?
Тада: http://www.opennet.ru/opennews/art.shtml?num=26140 -- имхо, уж лучше сабджа.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

93. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от brother anon on 16-Май-11, 14:55 
имхо, г-жа Рутковска "изобрела" микроядро с квадратными колёсами
Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

115. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от Sergey722 (ok) on 17-Май-11, 10:09 
она по крайней мере что-то изобрела (не согласен на счёт ядра с квадратными колёсами);
а поставить Debian в виртуалке - это, вообще, ни о чём;
Ответить | Правка | ^ к родителю #93 | Наверх | Cообщить модератору

11. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +4 +/
Сообщение от Аноним (??) on 15-Май-11, 10:22 
следующим шагом будут аппаратные браузеры: портативная железка с вшитым в неё дистрибутивом линукс и установленным браузером + программы для удаленного доступа к этому делу.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

13. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +2 +/
Сообщение от Аноним (??) on 15-Май-11, 10:48 
Это linutop. Или chromebook. Выбирайте, что больше нравится.
Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

14. "На базе Firefox по заказу правительства Германии создан безо..."  +4 +/
Сообщение от АнонимЯ on 15-Май-11, 11:13 
1гб дистр? изящно, ничего не скажешь )
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

16. "На базе Firefox по заказу правительства Германии создан безо..."  –1 +/
Сообщение от Vladjmir email(ok) on 15-Май-11, 11:51 
А они не могли просто посадить Firefox в chroot?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

19. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от аннаним on 15-Май-11, 12:16 
Google иначе делает - тестирует на FreeBSD новую песочницу под названием Capsicum, что даст ей совсем нормальный Sandbox ). А Германцы да - красавцы, я думал только русские способны на такие дела
Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

23. "На базе Firefox по заказу правительства Германии создан безо..."  –1 +/
Сообщение от Aquarius (ok) on 15-Май-11, 12:41 
давно существуют давно известные способы "побега" из chroot.
пруфы приводить не буду - за меня это прекрасно делает гугл
Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

26. "На базе Firefox по заказу правительства Германии создан безо..."  –2 +/
Сообщение от проверка on 15-Май-11, 13:06 
А пруфы вы и не приведете, тк на сегодняшний день способы неизвестны. Хотя бывали случаи с ../../../../../ и тд. Капсикум - не совсем chroot. А теоретические "способы" побегов и для *box* сработают
Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

36. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от анон on 15-Май-11, 15:10 
> А пруфы вы и не приведете, тк на сегодняшний день способы неизвестны.

Вы хотя бы man chroot почитайте, прежде чем делать такие "авторитетные" заявления.
Не говоря уж о том, чтобы действительно погуглить.

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

38. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от szh (ok) on 15-Май-11, 15:22 
без рутовых прав с закрытыми дескрипторами верхних директорий при старте из чрута не сбежать.

браузеру рутовые права не нужны.

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

41. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от коксюзер on 15-Май-11, 15:34 
> без рутовых прав с закрытыми дескрипторами верхних директорий при старте из чрута
> не сбежать.
> браузеру рутовые права не нужны.

Ну конечно же не сбежать. В ядре же уязвимостей не бывает, как и в локальных службах, доступных по IP.

Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

45. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от szh (ok) on 15-Май-11, 15:39 
но chroot тут уже не при чем
Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

47. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от коксюзер on 15-Май-11, 15:55 
> но chroot тут уже не при чем

Это зависит от точки зрения. Можно привязать к запорожцу лист брони 10х10 см, но это не защитит пассажиров от пуль. При том сам лист формально пуленепробиваемый.

Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

83. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 16-Май-11, 07:13 
> Ну конечно же не сбежать. В ядре же уязвимостей не бывает, как
> и в локальных службах, доступных по IP.

истинно так! только VirtualBox совершенно неуязвим!

Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

48. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от проверка on 15-Май-11, 16:01 
вы вместо того чтобы говорить вот так: "вы хотя бы ..." напишите конкретно как сбежать из chroot. VirtualBox по вашему - это не софт? Его взломать нельзя и выбраться из него? просто чуть сложнее. Можно например так - в chroot запустить qemu, в нем запустить VirtualBox и в нем уже Linux с firefox. Надежность выше, но почему нельзя сломать и это?
Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

87. "На базе Firefox по заказу правительства Германии создан безо..."  +2 +/
Сообщение от name (??) on 16-Май-11, 13:00 
Внимание вопрос! Почему не работает звук во флэш?
Ответить | Правка | ^ к родителю #48 | Наверх | Cообщить модератору

88. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 16-Май-11, 13:02 
> Внимание вопрос! Почему не работает звук во флэш?

а тут что, филиал техподдержки адоба?

Ответить | Правка | ^ к родителю #87 | Наверх | Cообщить модератору

50. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от проверка on 15-Май-11, 16:04 
> прежде чем делать такие "авторитетные" заявления

смысла в таких фразах нет. Если что-то знаете - покажите, поделитесь  инфой как сделать и неверящие возьмут вашу точку зрения. понятно что все считаю себя умнее других

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

74. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от Michael Shigorin email(ok) on 16-Май-11, 01:36 
Вы действительно глупость сказали просто, при этом не в форме предположения, а сразу утверждением.  А сколько именно лет надо было читать багтрак и код, чтоб это быренько сообразить -- не знаю.

Сферические высказывания вида "софт -- значта, в принципе, взломать можна" неинтересны.  Вообще.  В отличие от предметно освещённых поверхностей и векторов атаки, а также работающих proof of concept exploit.

Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

51. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от hi on 15-Май-11, 16:10 
http://man.he.net/?topic=chroot§ion=all

что там читать?

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

53. "chroot breakout"  +1 +/
Сообщение от gluk47 (ok) on 15-Май-11, 17:16 
http://www.bpfh.net/simes/computing/chroot-break.htm
В linux 2.6.35-28 отлично работает, не хуже чем в остальных версиях linux последние 12 лет.

Ну разумеется, если есть права рута, что отдельная тема. Ваш пост не про неё.

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

56. "chroot breakout"  +/
Сообщение от hi on 15-Май-11, 18:12 
ну с рутом-то все понятно - я скажу больше - рут даже систему перезагрузить может, убивать процессы и в память ядра вмешиваться. Интересует побег обычного смертного.
Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

57. "chroot breakout"  +/
Сообщение от gluk47 (ok) on 15-Май-11, 18:14 
> ну с рутом-то все понятно - я скажу больше - рут даже
> систему перезагрузить может, убивать процессы и в память ядра вмешиваться. Интересует
> побег обычного смертного.

:) Разумно. Слишком буквально прочёл.

Ответить | Правка | ^ к родителю #56 | Наверх | Cообщить модератору

62. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от balex (??) on 15-Май-11, 20:08 
>> давно существуют давно известные способы "побега" из chroot

Как бы и способов решения "проблемы" существуют несколько. От патчей на libc до перехватов syscall на chroot() в песочнице. Собственно "класику" - SELinux и т.п. никто не отменял. Способы для достаточно опытных линуксоидов но, собственно, и сам chroot не для "вованов".

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

73. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от Michael Shigorin email(ok) on 16-Май-11, 01:31 
> давно известные способы "побега" из chroot.

рутом.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

77. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от pavlinux (ok) on 16-Май-11, 02:08 
Как получить рута это вторая часть.
Ответить | Правка | ^ к родителю #73 | Наверх | Cообщить модератору

116. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от vle (ok) on 17-Май-11, 18:37 
>> давно известные способы "побега" из chroot.
> рутом.

И что характерно, эти способы "работают"
насколько мне известно только под Линуксом.

Ответить | Правка | ^ к родителю #73 | Наверх | Cообщить модератору

117. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от Michael Shigorin email(ok) on 17-Май-11, 20:56 
> И что характерно, эти способы "работают"
> насколько мне известно только под Линуксом.

А ты серьёзно не знаешь, что chroot(2) в *NIX не дизайнился как средство защиты?

HISTORY
   The chroot() function call appeared in 4.2BSD. Working directory handling was
   changed in NetBSD 1.4 to prevent one way a process could use a second chroot()
   call to a different directory to "escape" from the restricted subtree.
   The fchroot() function appeared in NetBSD 1.4.

Ответить | Правка | ^ к родителю #116 | Наверх | Cообщить модератору

119. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от коксюзер on 18-Май-11, 03:01 
> А ты серьёзно не знаешь, что chroot(2) в *NIX не дизайнился как
> средство защиты?

Зато используется как средство защиты.

Ответить | Правка | ^ к родителю #117 | Наверх | Cообщить модератору

127. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от vle (ok) on 18-Май-11, 19:17 
>> И что характерно, эти способы "работают"
>> насколько мне известно только под Линуксом.
> А ты серьёзно не знаешь, что chroot(2) в *NIX не дизайнился как
> средство защиты?

Я серьезно знаю, что во многих системах, отличных от Линукса
chroot может использоваться как способ защиты ФАЙЛОВОЙ СИСТЕМЫ.
И баги в ДНК этому не помешали. Включая упомянотую тобой NetBSD.
Там, т.е. здесь, сбежать из чрута даже root-ом НЕЛЬЗЯ!

Ответить | Правка | ^ к родителю #117 | Наверх | Cообщить модератору

118. "На базе Firefox по заказу правительства Германии создан безо..."  +1 +/
Сообщение от коксюзер on 18-Май-11, 02:59 
>>> давно известные способы "побега" из chroot.
>> рутом.
> И что характерно, эти способы "работают"
> насколько мне известно только под Линуксом.

ptrace(2) на процесс вне чрута с последующим выполнением кода в его контексте. Root может садиться на любые процессы, обычные юзеры - только на свои. Актуально, например, при взломе ворекров почтового (Dovecot), веб- (апач+mod_chroot или peruser MPM) или ftp-сервера (ProFTPd, многие другие), запущенных в чруте под uid реального пользователя, другие процессы которого работают вне чрута (например, cron-задачи или ftp-воркеры без чрутования). Работает везде, где нет нестандартных ограничений на использование ptrace(2).

fchdir(2) на открытый дескриптор директории вне чрута. Работает в основном в линуксе из-за поддержки абстрактного пространства имён для юникс-сокетов. В остальных ОС требуется создание файла сокета внутри чрута, что возможно крайне редко по недосмотру админа. Как заставить внешний процесс передать дескриптор - вопрос отдельный. Например, взломать одну из служб либо использовать рабочие реквизиты другого пользователя (смысл в получении доступа к файлам пользователя-владельца чрутованного процесса, лежащим вне чрута).

Ответить | Правка | ^ к родителю #116 | Наверх | Cообщить модератору

120. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 18-Май-11, 04:20 
(задумчиво) а что, есть какие-то альтернативно развитые программы, которые используют чрут как защиту (ну, они уже альтернативно развиты тут, ну да ладно), и при этом не уходят в ограниченого пользователя?

разве что fchdir победить чуть сложнее. но тут другая сказка: если уже шмякнули запускалку — то зачем из-под чрута, собственно, заморачиваться?

кстати, имперсонация должна и от fchdir защищать. а если не защищает — то это ядерный баг, который необходимо репортить и фиксить.

Ответить | Правка | ^ к родителю #118 | Наверх | Cообщить модератору

123. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от коксюзер on 18-Май-11, 07:33 
> (задумчиво) а что, есть какие-то альтернативно развитые программы, которые используют
> чрут как защиту (ну, они уже альтернативно развиты тут, ну да
> ладно), и при этом не уходят в ограниченого пользователя?

Естественно уходят. Чрут без сброса привилегий вообще не имеет смысла. Просто это не отменяет некоторых случаев и условий, при которых побег из чрута с помощью извне имеет смысл. См. соседний коммент: http://www.opennet.ru/openforum/vsluhforumID3/77123.html#122

> разве что fchdir победить чуть сложнее. но тут другая сказка: если уже
> шмякнули запускалку — то зачем из-под чрута, собственно, заморачиваться?

Не понял, какую запускалку. Впрочем, ответ в соседнем комменте.

> кстати, имперсонация должна и от fchdir защищать. а если не защищает —
> то это ядерный баг, который необходимо репортить и фиксить.

Имперсонация не должна. Кстати, в линуксе personality значит совсем другое. А вот чрутование должно. Но разработчики ОС слишком далеки от этой мирской суеты, от corner case'ов, insignificant impact'ов и прочих security circus'ов. Поэтому, если кому надо, те идут и пользуются Grsecurity.

Ответить | Правка | ^ к родителю #120 | Наверх | Cообщить модератору

124. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 18-Май-11, 12:04 
> Имперсонация не должна. Кстати, в линуксе personality значит совсем другое.

в данном случае я использовал термин «имперсонация» в более широком смысле, как «представиться другим пользователем».

> А вот чрутование должно.

я бы сказал, что всё с точностью до наоборот. всё-таки чрут — не механизм защиты. а вот пользователи и их права — очень даже механизм. поэтому попытка сделать fchdir, используя чужой fd, должна проходить полную проверку прав. и если в системе не стоит «r-x для всех» на калалогах (а зачем бы?), то всё должно успешно обламываться. мне — честно — лень проверять, но если не обламывается, то это ядрёна вошь.

> Но разработчики ОС слишком далеки от этой мирской суеты,
> от corner case'ов, insignificant impact'ов и прочих security circus'ов. Поэтому, если
> кому надо, те идут и пользуются Grsecurity.

и это правильно. ну не механизм защиты чрут, и всё тут. и не задумывался таким, и зачем пытаться надеть ужа на ежа — не ясно.

и процитирую из другого камента:
> открываем корневую директорию и получаем дескриптор, открываем на прослушку
> юникс-сокет с «абстрактным» именем и идём стучаться васей на сокет. Стучимся,
> получаем дескриптор, делаем fchdir на дескриптор, идём в ./home/vasya и воруем
> файлы.

э-э-э — как? какой, извиняюсь, билгейц позволяет кому попало ходить где попало? я даже на домашней технике общедоступными имею только bin'ы, lib'ы и doc'и. стандартная система прав никсов, может, и не столь удобна, как ACL, но это же не причина её использовать «на отвали».

Ответить | Правка | ^ к родителю #123 | Наверх | Cообщить модератору

133. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от коксюзер on 19-Май-11, 05:28 
>> А вот чрутование должно.
> я бы сказал, что всё с точностью до наоборот. всё-таки чрут —

Нет, именно так. Проверять владельца файла, на который указывает дескриптор - это дорого и сломает текущую модель привилегий, при которой процессы сперва открывают привилегированные файлы (ресурсы), а затем меняют свои credentials.

> и это правильно. ну не механизм защиты чрут, и всё тут. и
> не задумывался таким, и зачем пытаться надеть ужа на ежа —
> не ясно.

Неправильно. Стабильность ПО держится на приемлемом уровне, функциональность растёт согласно требованиям времени, производительность тоже. И только безопасность находится на уровне конца 90-ых. И это при том, что уровень и оснащённость злоумышленников растёт.

Почему так происходит? Потому что безопасность сложно измерить - опытные взломщики не оставляют следов, а вирусы пока остаются прерогативой мелкомягкой экосистемы. Зато навешать пользователям лапши на уши (как на сайте FreeBSD, например) - это запросто. "Линукс безопасен, в нём нет вирусов!"

> э-э-э — как? какой, извиняюсь, билгейц позволяет кому попало ходить где попало?

В ./home/vasya идёт процесс юзера vasya, который мы вытащили из чрута. Всё правильно.


Ответить | Правка | ^ к родителю #124 | Наверх | Cообщить модератору

138. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 19-Май-11, 11:36 
> это дорого и сломает текущую модель привилегий, при которой процессы сперва открывают
> привилегированные файлы (ресурсы), а затем меняют свои credentials.

а я не сказал, что все операции проверять надо. но смену текущего каталога по дескриптору — однозначно. и будет это не дороже, чем обычный chdir.

> Неправильно. Стабильность ПО держится на приемлемом уровне, функциональность растёт согласно
> требованиям времени, производительность тоже. И только безопасность находится на уровне
> конца 90-ых. И это при том, что уровень и оснащённость злоумышленников
> растёт.

значит, пора придумывать нормальные механизмы защиты. ну чего к чруту привязались-то? который, кстати сказать, и не лучше, и не удобней контейнеров, например.

> «Линукс безопасен, в нём нет вирусов!»

таки ведь и нет. три с половиной пруф-оф-концепта, которых никто in the wild не видел.

> В ./home/vasya идёт процесс юзера vasya, который мы вытащили из чрута. Всё
> правильно.

а ЧТО «процесс юзера вася» делает в чруте, почему он остался васиным? O_O какой балмер проектировал это всё?

Ответить | Правка | ^ к родителю #133 | Наверх | Cообщить модератору

142. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от коксюзер on 19-Май-11, 12:23 
> а я не сказал, что все операции проверять надо. но смену текущего
> каталога по дескриптору — однозначно. и будет это не дороже, чем
> обычный chdir.

В любом случае, модель привилегий ломается. И не понятно, кстати, как и ради чего. У корневой директории владелец root:root, права 755, процесс любого пользователя может в неё перейти. По какой логике должна работать проверка "на уровне пользователей и их прав", чтобы запретить побег из чрута на дескриптору /, и при этом не проверять, доступна ли директория по пути в чруте?

> значит, пора придумывать нормальные механизмы защиты. ну чего к чруту привязались-то? который,
> кстати сказать, и не лучше, и не удобней контейнеров, например.

Чрут - это всего лишь один из ограничивающих факторов. Один из! От него не отказываться нужно, а дополнять, чем компетентные люди как раз и занимаются. И в итоге получается как раз контейнер, который не требует настройки и не страдает от ошибок в конфигурации. Нет файлов в чруте, значит, нет - белый список, однозначнее некуда.

>> «Линукс безопасен, в нём нет вирусов!»
> таки ведь и нет. три с половиной пруф-оф-концепта, которых никто in the
> wild не видел.

Вирусов нет. Но не потому, что безопасен, а потому, что с его долей присутствии на ПК это нерентабельно.

> а ЧТО «процесс юзера вася» делает в чруте, почему он остался васиным?
> O_O какой балмер проектировал это всё?

Перечитайте внимательнее мой коммент, там всё есть.

Ответить | Правка | ^ к родителю #138 | Наверх | Cообщить модератору

143. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 19-Май-11, 12:42 
> В любом случае, модель привилегий ломается.

O_O

> По какой логике должна работать проверка
> «на уровне пользователей и их прав», чтобы запретить побег из чрута
> на дескриптору /, и при этом не проверять, доступна ли директория
> по пути в чруте?

и то, и другое. и проверка на выход из загончика, и проверка на наличие прав на каталог. потому как я не вижу фундаментальной разницы между chdir и fchdir, разница только в нюансах передачи имени каталога. соответственно, и проверки должны быть одинаковые.

и на любой fd после смены юзера, кстати. я не считаю правильным, что после смены юзера открытые файлы остаются доступными без проверок. да, придётся немного переделать программы — передать конфиги и прочее во владение ограниченого юзера. оно так даже лучше будет.

а оверхэд мизерный — всего лишь флажок «проверку прошёл», который скидывается при смене *uid, и проверяется одним сравнением при операциях с fd. ну, ясно, думаю.

> него не отказываться нужно, а дополнять, чем компетентные люди как раз
> и занимаются. И в итоге получается как раз контейнер, который не
> требует настройки и не страдает от ошибок в конфигурации. Нет файлов
> в чруте, значит, нет — белый список, однозначнее некуда.

а по-моему, lxc получше будет.

> Вирусов нет. Но не потому, что безопасен, а потому, что с его
> долей присутствии на ПК это нерентабельно.

вообще-то именно потому, что безопасен. дом монтируется с noexec, в системные места писать нельзя. сплойты, конечно, не исключены, но сложны и закрываются апдейтами. и так далее. пингвинус именно что безопаснее, чем винда.

хотя тупость прокладки между креслом и клавиатурой это не исключает, конечно. и именно поэтому я против «линукса на десктопе». большинству юзеров нужен не универсальный комп, а спецдивайс, который умеет те три с половиной задачи, которые юзеру нужны.

Ответить | Правка | ^ к родителю #142 | Наверх | Cообщить модератору

157. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от коксюзер on 20-Май-11, 05:18 
> и то, и другое. и проверка на выход из загончика, и проверка
> на наличие прав на каталог. потому как я не вижу фундаментальной
> разницы между chdir и fchdir, разница только в нюансах передачи имени
> каталога. соответственно, и проверки должны быть одинаковые.

Проверка на наличие прав и сейчас производится для chdir и fchdir почти одинаково, с небольшой разницей в моменте проверки прав на родительские директории в пути.

Например, если отобрать у other users права на чтение-поиск в /, то и fchdir на её дескриптор (допустим, его открыли до смены прав на /) провалится с EACCES. Но такая проверка никак не запрещает побег из chroot. А значит, нужно добавить проверку на доступность директории в chroot-окружении, как уже сделано в Grsecurity и NetBSD. Если вы предлагаете дополнительные проверки, то какие, и в каких конкретных ситуациях они будут полезны?

> и на любой fd после смены юзера, кстати. я не считаю правильным,

Ну вот это и разрушит модель привилегий, сильно ограничив применимость chroot и вообще сброса привилегий root до обычного пользователя. Непривилегированные процессы не смогут обращаться к ресурсу, который ранее требовал root-привилегий только при открытии и до начала обработки недоверенных данных, а теперь стал требовать их всегда => больше кода станет работать от рута, либо привилегии доступа к ресурсам придётся кардинально *снизить*.

> что после смены юзера открытые файлы остаются доступными без проверок. да,
> придётся немного переделать программы — передать конфиги и прочее во владение
> ограниченого юзера. оно так даже лучше будет.

Я не вижу в этих переделках смысла и пользы. Только вред и адское бремя на плечи разработчиков и пользователей. Ради чего именно? Можете привести конкретные примеры?

> а оверхэд мизерный — всего лишь флажок «проверку прошёл», который скидывается
> при смене *uid, и проверяется одним сравнением при операциях с fd.
> ну, ясно, думаю.

Оверхед огромный, потому как структура-дескриптор не находится во владении какого-либо процесса. Все обращаются к ней по указателям. И при каждом read, write, lseek, recv, send и т.д. будет проходить проверка. Это вообще за гранью добра и зла, выражаясь мягко.

> а по-моему, lxc получше будет.

Дело ваше. :)

> вообще-то именно потому, что безопасен. дом монтируется с noexec, в системные места
> писать нельзя. сплойты, конечно, не исключены, но сложны и закрываются апдейтами.
> и так далее. пингвинус именно что безопаснее, чем винда.

Ха. В "системные места" и в винде нельзя писать, начиная с первых версий NT. /home не монтируется с noexec ни в одном из популярных дистрибутивов, но даже если бы, это не дало бы практически ничего. Сложность написания эксплойтов под линукс гораздо ниже, чем для висты и семёрки, из-за менее эффективных механизмов защиты от эксплуатации. Апдейтами закрываются только публично известные уязвимости с задержкой в несколько дней, а то и недель (почитайте oss-security и Full-Disclosure - вас ждёт неприятный сюрприз). "И так далее" - это дырявое ядро, сложность написания эксплойтов под которое с появлением фреймворков приблизилась к тривиальной, а также отсутствие сколько-нибудь эффективной инфраструктуры для реактивной борьбы с известными угрозами (беспечность и наивность пользователя - взломщику в помощь). Сложность поиска уязвимостей также значительно ниже, чем в висте и семёрке. Единственное, в чём линукс впереди - это охват и автоматизация обновлений, но с ростом популярности и потребности в приложениях под Wine это достоинство начинает теряться.

Ответить | Правка | ^ к родителю #143 | Наверх | Cообщить модератору

121. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 18-Май-11, 04:23 
таким образом выходит, что — в принципе — сбежать «наружу» можно на уже скопрометированной «наружной» системе. а зачем?
Ответить | Правка | ^ к родителю #118 | Наверх | Cообщить модератору

122. "На базе Firefox по заказу правительства Германии создан..."  +1 +/
Сообщение от коксюзер on 18-Май-11, 07:20 
> таким образом выходит, что — в принципе — сбежать «наружу» можно
> на уже скопрометированной «наружной» системе. а зачем?

В некоторых случаях есть смысл. Например...

Мы украли у юзера petya реквизиты доступа к серверу по ssh. Нас интересуют файлы юзера vasya, которые лежат в /home/vasya. Также мы знаем, что vasya забирает почту с этого сервера по IMAP и пренебрегает защищённой аутентификацией. Через ARP/DNS-спуфинг или прослушку мы крадём у него пароль на почту. Затем мы открываем IMAP-сессию с почтовым сервером, называемся васей, эксплуатируем непубличную уязвимость в процессе почтового сервера... И обнаруживаем, что скомпрометированный процесс посажен в чрут где-нибудь в /var/mail, и доступа к /home/petya у нас нет. Что делаем?

Вариант первый: мы в линуксе. Заходим на сервер по ssh от юзера petya, открываем корневую директорию и получаем дескриптор, открываем на прослушку юникс-сокет с "абстрактным" именем и идём стучаться васей на сокет. Стучимся, получаем дескриптор, делаем fchdir на дескриптор, идём в ./home/vasya и воруем файлы.

Вариант второй: мы в BSD. Абстрактных сокетов нет, а создать петей файл сокета в chroot-окружении мы не можем - если оно ему и доступно, то только для чтения...

Вариант второй/А: Доступно для чтения? Смотрим на чрут глазами васиного процесса и видим ящик в модном формате maildir. Отлично! Создаём васиным процессом файл сокета в maildir-директории, открываем доступ для пети (o+x на директорию, o+rw на файл сокета) и ждём запрос. Петей открываем дескриптор /, стучимся к васе на сокет, передаём дескриптор, вася fchdir(fd), вася chdir("./home/vasya"), васины файлы у нас.

Вариант второй/Б: ящик в формате mbox или директория chroot-окружения пете не доступна даже на чтение. Мы не можем создать файл сокета или добраться до него. Начинаем выжидать, пока юзер vasya запустит на сервере какой-нибудь процесс вне чрута. Дождались: вася зашёл на сервер по ssh, или крон запустил одну из васиных задач, или MTA запустил LDA с правами васи, но не в чруте (как оно часто и бывает - это важно). Мы садимся на внешний васин процесс через ptrace и аккуратно внедряем в него код, который тихо ворует нам васины файлы. Профит.

Важно, что ptrace из чрута на процесс того же пользователя за пределами чрута разрешён в рамках стандартной модели привилегий, и нам не нужно искать и эксплуатировать уязвимости в ядре или во внешних процессах. Более того, с ptrace без нестандартных ограничений нам не нужен даже петя.

Кстати, в Grsecurity реализован запрет на побег из чрута по дескриптору, на ptrace/kill процессов за пределами чрута, а также на ptrace процессов, которые являются чужими потомками.

Другой пример. Васины файлы нам не нужны, и мы можем зайти на сервер петей по ssh с краденными реквизитами. Зачем нам вытаскивать скомпрометированный васин процесс из чрута? Варианты:
1. вася в группе, которой разрешён доступ sudo в каком-нибудь Owl, и мы хотим получить рута через уязвимость в sudo. ;)
2. Мы хотим, чтобы васин процесс (а вернее его fork+execve с чистым окружением, чтобы не палить вектор проникновения) провернул тёмные делишки и в случае шухера сделал крайним васю - пусть админ подумает, что вася пропинал свои реквизиты для ssh, хотя это был петя, и его реквизиты до сих пор у нас. ;)

Ответить | Правка | ^ к родителю #121 | Наверх | Cообщить модератору

125. "На базе Firefox по заказу правительства Германии создан..."  –1 +/
Сообщение от anonymous (??) on 18-Май-11, 12:09 
в общем-то сценарии вполне вероятные. поведение ptrace, кстати, с недавних пор можно регулировать, емнип (что-то я такое читал про допиливание флага в ядро — вот не помню, правда, майнлайн это или бубунтопатчи).

и вот потому chroot — не механизм защиты.

нет, альтернативу «с ходу» не выдам, увы.

Ответить | Правка | ^ к родителю #122 | Наверх | Cообщить модератору

134. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от коксюзер on 19-Май-11, 05:32 
> в общем-то сценарии вполне вероятные. поведение ptrace, кстати, с недавних пор можно
> регулировать, емнип (что-то я такое читал про допиливание флага в ядро
> — вот не помню, правда, майнлайн это или бубунтопатчи).

Можно как минимум через LSM регулировать. Наверняка какие-нибудь AppArmor и SELinux это умеют.

> и вот потому chroot — не механизм защиты.

В нормальных дистрибутивах - механизм.

> нет, альтернативу «с ходу» не выдам, увы.=

MAC же. При дложном качестве и защите кода реализации.

Ответить | Правка | ^ к родителю #125 | Наверх | Cообщить модератору

139. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 19-Май-11, 11:38 
> Можно как минимум через LSM регулировать. Наверняка какие-нибудь AppArmor и SELinux это
> умеют.

ненене, без доплнительных костылей.

>> и вот потому chroot — не механизм защиты.
> В нормальных дистрибутивах — механизм.

ох… «и вот потому мотороллер — не мотоцикл.» "в нормальных дистрибутивах — мотоцикл!"

>> нет, альтернативу «с ходу» не выдам, увы.=
> MAC же. При дложном качестве и защите кода реализации.

(блюёт)

Ответить | Правка | ^ к родителю #134 | Наверх | Cообщить модератору

140. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от коксюзер on 19-Май-11, 12:03 
> ох… «и вот потому мотороллер — не мотоцикл.» "в нормальных дистрибутивах
> — мотоцикл!"

Ложная аналогия. В ядрах Alpine и Hardened Gentoo реализован наиболее полный спектр защитных механизмов в дополнение к стандартным ограничениям chroot, что делает его действительно защитным механизмом (не без защиты ядра, разумеется). И fchdir на дескриптор вне чрута запрещён, и ptrace ограничен, и запрет на доступ к "внешним" процессам есть, и даже у рута в чруте ревокнуты capabilities, годные для побега или компрометации системы. Получается, ребята взяли чертёж мотороллера, перекроили его и по итоговому сделали уже мотоцикл.

>> MAC же. При дложном качестве и защите кода реализации.
> (блюёт)

А что делать? MAC полезен, и не только для этого. Например, недавняя уязвимость в коде LD_AUDIT в glibc и подобные ей напрочь закрываются, если setuid-экзешнику закрыт доступ к выполнению кода библиотек не из белого списка. И это один пример из многих.

Ответить | Правка | ^ к родителю #139 | Наверх | Cообщить модератору

141. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 19-Май-11, 12:09 
> Получается, ребята взяли чертёж
> мотороллера, перекроили его и по итоговому сделали уже мотоцикл.

вот именно, что переделали. а не попытались утверждать, что мотороллер == мотоцикл.

> А что делать? MAC полезен, и не только для этого. Например, недавняя
> уязвимость в коде LD_AUDIT в glibc и подобные ей напрочь закрываются,
> если setuid-экзешнику закрыт доступ к выполнению кода библиотек не из белого
> списка. И это один пример из многих.

я не сказал, что он бесполезен: я сказал, что он мне не нравится. но опять же: поскольку лично у меня идей нет, то закапывать его я не предлагаю.

мне, впрочем, вообще жизнь не нравится. если прикинуть, сколько усилий тратится на всякое «security» — штуку, в принципе, бесполезную… человечество или криво сдизайнено, или тяжело больно.

Ответить | Правка | ^ к родителю #140 | Наверх | Cообщить модератору

145. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от vle (ok) on 19-Май-11, 14:01 
>> Получается, ребята взяли чертёж
>> мотороллера, перекроили его и по итоговому сделали уже мотоцикл.
> вот именно, что переделали. а не попытались утверждать,
> что мотороллер == мотоцикл.

СУ-27 однозначно круче автомата Калашникова!!!
В АК всего-то три с половиной детали,
а в СУ-27 их миллионы! Да и что умеет АК?
Он всего-лишь стреляет пулями!
Ну, приклад еще. Тоже мне, деятели! ;-)

Короче, в NetBSD, например, мотороллер == мотоцикл.
И она не единственная в своем роде.

Ответить | Правка | ^ к родителю #141 | Наверх | Cообщить модератору

146. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 19-Май-11, 14:17 
> Короче, в NetBSD, например, мотороллер == мотоцикл.
> И она не единственная в своем роде.

молодцы. только линукс -- не бсд. если бы он был бсд, то и назывался бы бсд.

Ответить | Правка | ^ к родителю #145 | Наверх | Cообщить модератору

148. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 19-Май-11, 14:40 
есть куда менее увесистое средство lxc.
Ответить | Правка | Наверх | Cообщить модератору

149. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от vle (ok) on 19-Май-11, 14:49 
> есть куда менее увесистое средство lxc.

Линуксу 20 лет от роду. Когда появился lxc?
Ну и кроме того, по сравнению с chroot-ом
это все равно корова.

Ответить | Правка | ^ к родителю #148 | Наверх | Cообщить модератору

151. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 19-Май-11, 15:21 
> Линуксу 20 лет от роду. Когда появился lxc?

какая разница? есть? хорошо.

> Ну и кроме того, по сравнению с chroot-ом
> это все равно корова.

а теперь развёрнуто, а то это утверждение я не понял.

Ответить | Правка | ^ к родителю #149 | Наверх | Cообщить модератору

152. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от vle (ok) on 19-Май-11, 16:06 
>> Линуксу 20 лет от роду. Когда появился lxc?
> какая разница? есть? хорошо.

потребность в изоляции процессов появилась сегодня?
вчера? позавчера?

>> Ну и кроме того, по сравнению с chroot-ом
>> это все равно корова.
> а теперь развёрнуто, а то это утверждение я не понял.

Меньше кода -- меньше багов, в том числе дыр в безопасности.
Не говоря уже о трудозатратах на разработку и поддержку кода.

А вообще, ролики, велисипед, мопед, мотоцикл,
легковая авто, грузовик -- нужны.
Не вижу смысла в отказе от велосипеда или даже от роликов,
если в наличии имеется грузовик и мотоцикл.

Ответить | Правка | ^ к родителю #151 | Наверх | Cообщить модератору

153. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 19-Май-11, 16:12 
>>> Линуксу 20 лет от роду. Когда появился lxc?
>> какая разница? есть? хорошо.
> потребность в изоляции процессов появилась сегодня?
> вчера? позавчера?

ещё раз: *сейчас* оно есть? есть. в чём проблема? у тебя по службе задача слетать в прошлое и там что-то настроить? так возьми с собой в прошлое ядро с lxc.

> Меньше кода — меньше багов, в том числе дыр в безопасности.
> Не говоря уже о трудозатратах на разработку и поддержку кода.

предлагаю вообще ОС выкинуть. а то там стооооолько кода…

> А вообще, ролики, велисипед, мопед, мотоцикл,
> легковая авто, грузовик — нужны.
> Не вижу смысла в отказе от велосипеда или даже от роликов,
> если в наличии имеется грузовик и мотоцикл.

а кто сказал «выкинуть»? сказано: «не перевози десятитонные грузы на роликах, возьми грузовик.»

Ответить | Правка | ^ к родителю #152 | Наверх | Cообщить модератору

154. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от vle (ok) on 19-Май-11, 16:20 
> предлагаю вообще ОС выкинуть. а то там стооооолько кода…

ПО - это как раз тот случай, когда, чем меньше объем, тем лучше,
при сохранении НУЖНОГО функционала конечно.

> а кто сказал «выкинуть»? сказано: «не перевози десятитонные грузы на роликах,
> возьми грузовик.»

Нет. Сказано "если хочешь довезти две тачки навоза на свой огород,
возьми белаз, он предназначен для перевозок". А носилки просто
выбросили "за ненадобностью", оставив только грузовики разных
калибров и грузоподъемностью.

Ответить | Правка | ^ к родителю #153 | Наверх | Cообщить модератору

155. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 19-Май-11, 16:50 
>> предлагаю вообще ОС выкинуть. а то там стооооолько кода…
> ПО — это как раз тот случай, когда, чем меньше объем, тем
> лучше,
> при сохранении НУЖНОГО функционала конечно.

ну так я и говорю: ОС не нужна. лучше каждую программу делать в стиле «сам себе ОС», а то многие программы ведь не используют кучу кода из ОС, зачем он нужен?

> Нет. Сказано "если хочешь довезти две тачки навоза на свой огород,
> возьми белаз, он предназначен для перевозок". А носилки просто
> выбросили «за ненадобностью», оставив только грузовики разных
> калибров и грузоподъемностью.

где? можно мне ссылку на коммит, которым выкинули поддержку chroot?

Ответить | Правка | ^ к родителю #154 | Наверх | Cообщить модератору

156. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от Michael Shigorin email(ok) on 20-Май-11, 01:27 
> предлагаю вообще ОС выкинуть.

Вообще-то Лёша по существу говорит, но будто не учитывает, что функциональность ovz/lxc немножко шире и притом тоже полезна.  ovz-шники, кстати, ещё и код аудитят да дырки патчат нередко.

В частности, namespaces повышают "транспортабельность" контейнеров: если он всё равно со своим IP должен быть, то на каком бы физическом хосте с подобной конфигурацией сети ни работал -- будет просто работать.  Чрут может быть вынужден знать слишком много о системе, на которой живёт.  И файрвол в нём отдельно не построишь -- то есть система о чруте тоже должна знать довольно много.

Вот и выходит, что чрут позволяет решить схожую задачу, но только в варианте tight coupling -- а контейнеры позволяют (помимо прочего) сделать loose coupling.

2 vle: присмотрись внимательно к сети в своём VPS. :)

Ответить | Правка | ^ к родителю #153 | Наверх | Cообщить модератору

159. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от vle (ok) on 20-Май-11, 13:03 
>> предлагаю вообще ОС выкинуть.
> Вообще-то Лёша по существу говорит, но будто не учитывает,
> что функциональность ovz/lxc немножко шире и притом тоже
> полезна.  ovz-шники, кстати, ещё и код аудитят
> да дырки патчат нередко.

Миша, я не из детского сада, да? Я прекрасно понимаю
разницу между vserver/openvz и chroot-ом.
И по поводу СУ-27 я уже высказался. Это очень, очень!,
клевый самолет.

Но когда я говорю "много кода - плохо", я знаю, о чем я говорю.
Я уже много лет пользуюсь vserver в комплектации Debian.
Мягко говоря, есть к нему претензии.
Что до OpenVZ, похоже, что единственным вендором, который
его поддерживает, является AltLinux, переходить на который мне,
во-первых, не очень то хочется, а во вторых это мало реально
в моих условиях. При этом, я повторюсь, в МОЕМ случае chroot-а
было бы достаточно, особенно с тех пор как в Линуксе появился
read only mount --bind ("mount -t null -o ro" в BSD был всегда).

Ответить | Правка | ^ к родителю #156 | Наверх | Cообщить модератору

160. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от Michael Shigorin email(ok) on 20-Май-11, 22:40 
> Что до OpenVZ, похоже, что единственным вендором, который
> его поддерживает, является AltLinux

Ещё как минимум Owl, причём насколько знаю -- в проекте Openwall его аудитили и после этого стали класть в дистрибутив.

Также см. Proxmox (специальный дистрибутив для HN под виртуализацию).

Сами ovz-шники поддерживают редхат (многие на центосе и пользуются).

В Debian, Gentoo есть vzctl как минимум -- про поддерживаемое ядро не знаю.

Ответить | Правка | ^ к родителю #159 | Наверх | Cообщить модератору

158. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от коксюзер on 20-Май-11, 05:27 
> ещё раз: *сейчас* оно есть? есть. в чём проблема? у тебя по
> службе задача слетать в прошлое и там что-то настроить? так возьми
> с собой в прошлое ядро с lxc.

Даже в настоящем от ядра с LXC в плане замены chroot толку мало, потому что неймспейсы включаются в момент clone(2), а чрут работает уже после, поэтому сложность модификации приложений относительно высока. Непереносимость LXC тоже энтузиазма не доставляет.

Ответить | Правка | ^ к родителю #153 | Наверх | Cообщить модератору

128. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от vle (ok) on 18-Май-11, 19:23 
>>>> давно известные способы "побега" из chroot.
>>> рутом.
>> И что характерно, эти способы "работают"
>> насколько мне известно только под Линуксом.
> ptrace(2) на процесс вне чрута с последующим выполнением кода в его контексте.
> Root может садиться на любые процессы,

NetBSD ptrace(2):
...
Third, if a process has its root directory set with chroot(2),
it may not trace another process
unless that process's root directory is at or below the
tracing process's root.

> fchdir(2) на открытый дескриптор директории вне чрута.
> Работает в основном в линуксе

В NetBSD эта дыра не работает. Не скажу за ВСЕХ других.

Ответить | Правка | ^ к родителю #118 | Наверх | Cообщить модератору

129. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 18-Май-11, 19:27 
> NetBSD ptrace(2):
> …
> Third, if a process has its root directory set with chroot(2),
> it may not trace another process
> unless that process's root directory is at or below the
> tracing process's root.

хороший кандидат на ядрёный патч, кстати.

Ответить | Правка | ^ к родителю #128 | Наверх | Cообщить модератору

130. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от vle (ok) on 18-Май-11, 19:49 
>> NetBSD ptrace(2):
>> …
>> Third, if a process has its root directory set with chroot(2),
>> it may not trace another process
>> unless that process's root directory is at or below the
>> tracing process's root.
> хороший кандидат на ядрёный патч, кстати.

Горадо проще объявить chroot "не средством защиты"
и забыть о проблеме, как это сделали в Линуксе.
А теперь рождаются натуральные уроды в полный рост,
в которых каждая отдельная программа просит для
своей безопасности аж целой отдельной виртуальной машины.
По сути ведь изоляции browser-а на уровне FS для задачи хватает!
С такими темпами скоро grep будем в виртуальной машине запускать.
Все ради безопасности!

Ответить | Правка | ^ к родителю #129 | Наверх | Cообщить модератору

131. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 18-Май-11, 19:52 
> Горадо проще объявить chroot «не средством защиты»
> и забыть о проблеме, как это сделали в Линуксе.

или вот возмущаться, что «всё не так», но патчей не делать принципиально. возражение «а мне пофигу, я на бсд» — не аргумент: тогда какое тебе дело до пингвинуса вообще?

Ответить | Правка | ^ к родителю #130 | Наверх | Cообщить модератору

132. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от vle (ok) on 18-Май-11, 20:01 
>> Горадо проще объявить chroot «не средством защиты»
>> и забыть о проблеме, как это сделали в Линуксе.
> или вот возмущаться, что «всё не так», но патчей не делать принципиально.
> возражение «а мне пофигу, я на бсд» — не аргумент: тогда
> какое тебе дело до пингвинуса вообще?

Патчи были даны примерно в 2007-м году. По крайней мере
на часть проблем. Alan Cox их отбросил, ссылаясь на стандарт
и "chroot - не средство защиты, и никогда им не был".

Есть простая задача -- изоляция процесса, даже рутового,
внутри подкаталога общей большой файловой системы.
Задача несложная, скажем так. И самым простым
решением для  нее мог бы быть chroot.
Вместо этого в Линуксе предлагаются средства гораздо более
увесистые: openvz, vserver, kvm, zen.
На мой взгляд, сложность решения абсолютно не
соответствует поставленной задаче.

Ответить | Правка | ^ к родителю #131 | Наверх | Cообщить модератору

135. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от коксюзер on 19-Май-11, 05:38 
> NetBSD ptrace(2):
> ...
> Third, if a process has its root directory set with chroot(2),
> it may not trace another process
> unless that process's root directory is at or below the
> tracing process's root.

Это аналог chroot_findtask в Grsecurity. Рад за NetBSD-шников, молодцы.

>> fchdir(2) на открытый дескриптор директории вне чрута.
> В NetBSD эта дыра не работает. Не скажу за ВСЕХ других.

А как проверяли?
Код на python для рута:
import os; fd = open("/", os.O_RDONLY, os.O_DIRECTORY); os.chroot("/tmp"); os.chdir("/"); os.fchdir(fd); print os.listdir(".")

Ответить | Правка | ^ к родителю #128 | Наверх | Cообщить модератору

136. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от коксюзер on 19-Май-11, 05:55 
> А как проверяли?
> Код на python для рута:
> import os; fd = open("/", os.O_RDONLY, os.O_DIRECTORY); os.chroot("/tmp"); os.chdir("/");
> os.fchdir(fd); print os.listdir(".")

os.open, разумеется.

Ответить | Правка | ^ к родителю #135 | Наверх | Cообщить модератору

137. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от коксюзер on 19-Май-11, 11:05 
Ну ё-моё. Рабочий код:
import os; fd = os.open("/", os.O_RDONLY|os.O_DIRECTORY); os.chroot("/tmp"); os.chdir("/"); os.fchdir(fd); print os.listdir(".")
Ответить | Правка | ^ к родителю #135 | Наверх | Cообщить модератору

144. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от vle (ok) on 19-Май-11, 13:39 
> Ну ё-моё. Рабочий код:
> import os; fd = os.open("/", os.O_RDONLY|os.O_DIRECTORY); os.chroot("/tmp"); os.chdir("/");
> os.fchdir(fd); print os.listdir(".")

NetBSD fchdir(2):
     ...
     fchdir() will fail and the current working directory will be unchanged if
     one or more of the following are true:
     ...
     [EPERM]            The argument fd references a directory which is not at
                        or below the current process's root directory.

Ответить | Правка | ^ к родителю #137 | Наверх | Cообщить модератору

150. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от vle (ok) on 19-Май-11, 15:11 
>      [EPERM]      
>      The argument fd references a directory
> which is not at or below the current process's root directory.

В догонку.

asrock# cat bug.c
#include <sys/types.h>
#include <sys/stat.h>
#include <fcntl.h>
#include <stdio.h>

int main ()
{
        int ret;
        int fd = open ("/", O_RDONLY);

        if (fd == -1){
                perror ("open(2) failed");
                return 1;
        }

        if (chroot ("/chroot") == -1){
                perror ("chroot(2) failed");
                return 1;
        }

        if (chdir ("/") == -1){
                perror ("chdir(2) failed");
                return 1;
        }

        if (fchdir (fd) == -1){
                perror ("fchdir(2) failed");
                return 1;
        }

        ret = system ("ls .");
        if (ret == -1){
                perror ("system(3) failed");
                return 1;
        }

        return ret;
}
asrock# cc bug.c  
asrock# ./a.out    
fchdir(2) failed: Operation not permitted
asrock# uname -srm
NetBSD 5.1 amd64
asrock#


O_DIRECTORY в BSD нет.

Ответить | Правка | ^ к родителю #144 | Наверх | Cообщить модератору

17. "На базе Firefox по заказу правительства Германии создан безо..."  +1 +/
Сообщение от Аноним (??) on 15-Май-11, 11:57 
Ну ето узкоспециализированая браузера будет, что тут скажеш, интересно вот где имено они собираюца его использовать.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

18. "На базе Firefox по заказу правительства Германии создан безо..."  +1 +/
Сообщение от Vladjmir email(ok) on 15-Май-11, 12:05 
В органах? Боятся, чтобы лиса не стащила секретные документы...
Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

24. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от Aquarius (ok) on 15-Май-11, 12:45 
так-то, безопасный браузер нужен везде, где нежен браузер
Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

20. "На базе Firefox по заказу правительства Германии создан безо..."  +1 +/
Сообщение от анонимный аналитик (ok) on 15-Май-11, 12:17 
еще бы VirtualBox в изолированном окружении запускать, чтоб наверняка..
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

85. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 16-Май-11, 07:16 
> еще бы VirtualBox в изолированном окружении запускать, чтоб наверняка..

VirtualBox запускать в qemu, который запущен в VirtualBox, который запущен... а в самом низу бош.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

21. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от АнонимМ email on 15-Май-11, 12:18 
Я думаю, это надо для работы в интернете с компов, которые сертифицированы для работ с сов. секретными  материалами. У нас тупо с таких компов запрещён инет, только интранет, но это жутко не удобно - такой браузер будет намного удобнее.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

44. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от коксюзер on 15-Май-11, 15:38 
> Я думаю, это надо для работы в интернете с компов, которые сертифицированы

У нас сертифицируют что попало. Ту же XP или линукс с дырявым ядром и отсутствием современной защиты пользовательских процессов.

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

22. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от Аноним (??) on 15-Май-11, 12:23 
Я в нашей гос. конторе делал.
Ещё одна машина + KVM switch.
Получилось бесплатно - списанная машина вполне потянула, кстати тоже Debian.
И ФСТЭК прошли без вопросов.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

46. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от коксюзер on 15-Май-11, 15:40 
> Я в нашей гос. конторе делал.
> Ещё одна машина + KVM switch.
> Получилось бесплатно - списанная машина вполне потянула, кстати тоже Debian.
> И ФСТЭК прошли без вопросов.

Приятно удивили, спасибо.

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

25. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +/
Сообщение от Square (ok) on 15-Май-11, 13:01 

> В дополнение к бесплатной версии продукта предусмотрен платный корпоративный вариант BitBox, выход в интернет в котором осуществляется с помощью зашифрованного туннеля.

Тоесть выйти в инет можно будет только через их прокси до которого- шифрованный туннель.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

27. "Первый релиз безопасного браузера BitBox, разработанного по ..."  +1 +/
Сообщение от проверка on 15-Май-11, 13:12 
"Для сохранения состояния, настроек браузера, а также полученных из сети файлов используется разделяемый с основной системой каталог, для доступа к которому необходимо войти в систему под другой учетной запись"

- а не проще в Интернете броузерить под _другой_ учетной записью, запущенной например в XNest.. Вообще зачем госправительству по Инету ходить

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

28. "На базе Firefox по заказу правительства Германии создан безо..."  +3 +/
Сообщение от umbr email(ok) on 15-Май-11, 13:49 
"Ну а теперь, со всем этим, мы попробуем взлететь..." (с)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

43. "На базе Firefox по заказу правительства Германии создан безо..."  –1 +/
Сообщение от NoName on 15-Май-11, 15:38 
ого! читаю, и глазам поверить не могу! вроде не первое апреля :D остаётся одно, похоже это эмигрантам из россии доверили ;) да и затрат, думаю, мнооого миллионов евро ;P раз уж это всё весит целый гиг, вместо максимум мегабайт 150. кошмар :( P.S. ну а что ж ещё остаётся-то? когда в правительство выбираются отнюдь не умелые руководить люди, а всякие симпатичные основной массе населения певцы и прочии популисты, обещающие сделать не лучше, чище, уютнее и прогрессивнее весь наш мир на благо всего человечества, а мнимой(инфляция всё равно съест больше) прибавки несколько копеек в карман каждому избирателю под лозунгом наподобии такого: "теперь вы все будете богатыми". к чему же мир катится-то :'(
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

72. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от А (??) on 15-Май-11, 23:37 
>ого! читаю, и глазам поверить не могу!

Да можно приготовить данное за полчаса. Ну еще плугины для VBox и тестирование, автомонтирование)) И думаю наверное за 1 рабочий день сделали. А на второй уже показали руководству..

Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

71. "На базе Firefox по заказу правительства Германии создан безо..."  –3 +/
Сообщение от А (??) on 15-Май-11, 23:36 
Запросто может быть 1 Гб. В SuseStudio пустая сборка 64 Битной версии с X и с WindoMaker (IDE) + Firefox заняло 978 MB uncompressed. Т.е. его с трудом можно залить на 1 гб флэшку. Другое дело, если образ сжат например в iso.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

75. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от Michael Shigorin email(ok) on 16-Май-11, 01:41 
> Т.е. его с трудом можно залить на 1 гб флэшку.

http://ftp.linux.kiev.ua/pub/Linux/ALT/people/mike/iso/altli... -- ~300M (это ничего особенного для снижения объёма не делал)

> Другое дело, если образ сжат например в iso.

Что-то не припоминаю сжатия в iso9660...

Ответить | Правка | ^ к родителю #71 | Наверх | Cообщить модератору

81. "На базе Firefox по заказу правительства Германии создан..."  +/
Сообщение от anonymous (??) on 16-Май-11, 07:09 
> Для сохранения состояния, настроек браузера, а также полученных из сети файлов используется разделяемый с основной системой каталог
> Загрузка файлов в виртуальную машину не предусмотрена.

только мне показалось, что это взаимоисключающие параграфы?

кстати. кому продать виртуалящик с предустановленой системой, браузером и ещё (ВНИМАНИЕ, ИННОВАЦИЯ!) с установленым IM? дорого. налетайте, количество ограничено.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

86. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от Карбофос (ok) on 16-Май-11, 09:55 
они бы там еще Firefox через Wine запускали...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

90. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от hydr0gen email on 16-Май-11, 13:37 
А че вы удивляетесь? Я продавал уборку в серверной и установку систем резервного питания (из 2х UPS) за 1.5 миллиона рублей.

Заказчик был: Администрация Санкт-Петербурга. Причем, наруки получил только 300 000, остальное осело в этой самой администрации :-)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

91. "На базе Firefox по заказу правительства Германии создан безо..."  +1 +/
Сообщение от Vitaly_loki (ok) on 16-Май-11, 14:02 
> А че вы удивляетесь? Я продавал уборку в серверной и установку систем
> резервного питания (из 2х UPS) за 1.5 миллиона рублей.
> Заказчик был: Администрация Санкт-Петербурга. Причем, наруки получил только 300 000, остальное
> осело в этой самой администрации :-)

На руки получил 300 000, а налог платить с полутора лямов?

Ответить | Правка | ^ к родителю #90 | Наверх | Cообщить модератору

92. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от hydr0gen email on 16-Май-11, 14:08 
Какой налог, вы чего? В конверте 300к и все!

Это к слову о выгодном сотрудничестве.
Тебе звонят спрашивают сколько, ты "плюнув в полотолок" говоришь СТОЛЬКО. В итоге, ты получаешь СТОЛЬКО, а человек тебе предложивший n*n + СТОЛЬКО

Ответить | Правка | ^ к родителю #91 | Наверх | Cообщить модератору

113. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от lucentcode (ok) on 17-Май-11, 00:49 
Ну  и лохотрон. Слышал. что распилы и откаты в Германии переживают второе рождение. Но что-бы настолько... Безопасный браузер... Да я таких  могу им налепить и из Chrome, и даже из Осла:) А ещё безопасную ОС(в виртуалке, конечно). И по настоящему безопасный Skype(не могущий украсть файлы с паролями, которые он очень любит читать...).
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

126. "На базе Firefox по заказу правительства Германии создан безо..."  +1 +/
Сообщение от cobold (ok) on 18-Май-11, 15:34 
Поверьте, всё намного проще - в Германии чиновники ответственные за госзаказы в большинстве своём  слишком тупы чтобы пилить, и слишком некомпетентны чтобы оценить реальную стоимость проекта и качество исполнения. Просто сливают бюджет подрядчику, сами с этого ничего не имеют (разве что политические дивиденды, читай "начальник похвалит"). Довелось, поработал с такими.
Ответить | Правка | ^ к родителю #113 | Наверх | Cообщить модератору

114. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от Odity email on 17-Май-11, 09:00 
:))))) вот это новость так новость. Я смеялся очень долго. Я что то не понимаю в этой жизни или сейчас так модно называть "СЕКРЕТНАЯ РАЗРАБОТКА". А в итоге один чел скачал пару софтин и совместил их настройками....И ЗА ЭТО...хотя, народ....соль в том, что, цитирую:"В какую цену правительству Германии обошлась "разработка" браузера не сообщается." А маркетинговый ход в том, что денег было затрачено на ящик пива и у день его распития. ВСЕ! А конкуренты пусть ломают головы и тратят ПО НАСТОЯЩЕМУ деньги на аналоги :)))
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

161. "На базе Firefox по заказу правительства Германии создан безо..."  +/
Сообщение от ProstoME on 22-Май-11, 04:26 
Сколько денег то потратило государство на эту чудо разработку?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
Слёрм
Inferno Solutions
Hosting by Ihor
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2019 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру