Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Для ядра Linux предложена реализация белого списка исполняем..., opennews (??), 30-Май-17, (0) [смотреть все] Чем SELinux и AppArmor не угодили , user (??), 22:34 , 30-Май-17, (1) +8 // Вопрос в другом зачем ядро вообще что-то должно знать о ПО Этот монолитный кусо, fsdgsdfsagsdfasdf (?), 22:38 , 30-Май-17, (4) +10 // SELinux и AppArmor реализованы на уровне ядра, а эта приблуда вроде как альтер, Меломан1 (?), 07:56 , 31-Май-17, (58) –1 Ядро это самое ПО загружает и исполняет Так что избирательный фильтр для этой ф, Аноним (-), 08:09 , 31-Май-17, (60) +1 Вы статью-то читали Ядро по прежнему ничего о ПО знать и не будет Обработка бе, Очередной аноним (?), 08:18 , 31-Май-17, (61) +3 // ды лол же маленькими хуками в ядре -- тут не обойтись смотри 1 ядро будет спра, X3asd (ok), 11:35 , 31-Май-17, (74) +1 надо так делать1 ядро создаёт процесс из требуемого файла в остановленном состо, Аноним (-), 12:16 , 31-Май-17, (76) +1 присоединюсь к вопросу, mixaly4 (?), 01:50 , 31-Май-17, (32) +1 Не идёт с панкейками под смузи , Аноним (-), 09:19 , 31-Май-17, (67) +1 Ну вот, теперь руткиты ставить будет сложнее, какая жалость upd применяется не, freehck (ok), 22:36 , 30-Май-17, (2) –2 // Это был сарказм Руткиты и сплойты очень нужны, когда речь идет о своем телефоне, Аноним (-), 15:58 , 04-Июн-17, (111) –1 Всё гениальное просто , Аноним (-), 22:38 , 30-Май-17, (3) –3 А если зловредный скрипт на баше Баш-то наверняка будет в белом списке , Аноним (-), 22:44 , 30-Май-17, (5) +2 // Там таких а если - сотнями будет, Crazy Alex (ok), 22:57 , 30-Май-17, (7) +18 // Авторы уже тычут лицом в эти a если - что будет если демона прибьет OOM killer, Аноним (-), 23:30 , 30-Май-17, (15) // OOM - можно запретить для определённых процессов, Аноним (-), 00:26 , 31-Май-17, (24) demontools перезапустит , Аноним (-), 12:03 , 31-Май-17, (75) А ООМ опять убьёт Кто победит - утюг или холодильник , Аноним (-), 12:26 , 31-Май-17, (77) Чубейс Так как в результате этого процесса электроэнергия все же будет потребля, Аноним (-), 14:22 , 31-Май-17, (84) Насколько я понимаю, shebang обрабатывается ядром, а именно binfmt_misc , Аноним (-), 23:36 , 30-Май-17, (18) // bin sh myscript, Crazy Alex (ok), 00:30 , 31-Май-17, (25) +3 code echo basename 0 echo securing your data rm -rf 124 bash code , Аноним84701 (ok), 00:41 , 31-Май-17, (30) +8 Или на любом другом разрешенном интерпретируемом или JIT-компилируемом языке Во, Аноним (-), 05:01 , 31-Май-17, (39) // Да и обычный динамически слинкованный ELF через ld so запустить никто не мешает , Аноним (-), 22:35 , 31-Май-17, (99) Осталось сделать подписывание скриптов и других исполняемых файлов сертификатом , Это я (?), 06:29 , 31-Май-17, (41) –1 // кто то подумал а в виндовс это еще 10 лет назад было , ыы (?), 07:10 , 31-Май-17, (43) –1 // Дык, и я о том же Это надо для критически важных объектов инфраструктуры , Это я (?), 07:22 , 31-Май-17, (48) Нет, нет что вы Кто то подумал а в виндовс - ещё 20 лет назад запускалось толь, Аноним (-), 20:39 , 05-Июн-17, (113) –1 Я довольно далек от линукса и тем более от SELinux, AppArmor , командной строки, Очередной аноним (?), 08:50 , 31-Май-17, (63) –2 // а если забыл reboot - неалё - командировка в Сургут поднимать сервак админис, pavlinux (ok), 17:31 , 31-Май-17, (87) +1 Для таких задач обычно kvm используют Оно ведь может много из-за чего упасть и , bircoph (ok), 00:03 , 01-Июн-17, (101) –2 а если уборщицы выдернет шнур представлен механизм, который делает то что делае, ыы (?), 07:20 , 31-Май-17, (47) –7 // проблемы , XX1asd (?), 08:51 , 31-Май-17, (64) +4 // поведай же нам скорее о своих страданиях , XX1asd (?), 08:59 , 31-Май-17, (65) +4 Добавят этот скрипт в чёрный список, затем второй, третий А после добавят эври, враыв (?), 16:40 , 31-Май-17, (85) видел эту идею еще в бородатые годы Антивирусники создавали свои хэши и провер, Аноним (-), 22:45 , 30-Май-17, (6) // Что ты предлагаешь , Аноним (-), 03:18 , 31-Май-17, (37) –1 Нужно этот модуль интегрировать с AIDE http aide sourceforge net , чтобы баз, Аноним (-), 23:06 , 30-Май-17, (10) +2 // Так то хэши Цирк и школьники студенты , IB (?), 23:21 , 30-Май-17, (13) // эм путь точно нужен usr lib postgresql 9 4 bin pg_dump usr lib postgresql 9 6 , ъ (?), 18:27 , 31-Май-17, (95) А, о очень удобной особенности хакеру - коллизии хэша, не слышали , Аноним (-), 20:44 , 05-Июн-17, (114) Хм, а нужно ли Есть TPM модуль, если речь идет о промышленном применении Хотя н, username (??), 23:08 , 30-Май-17, (11) –1 // TPM сам Untrasted для некоторых применений, увы , Это я (?), 07:39 , 31-Май-17, (56) +3 // Обоснуй, интересно узнать для каких В линуксах уже есть 1 механизм для запуска , username (??), 10:27 , 31-Май-17, (71) –2 // С точки зрения доверия оборудованию и наличия в нем закладок В отличии от софт, Это я (?), 11:07 , 31-Май-17, (72) +2 А ничего что сам процессор это черный ящик иностранного производства да еще и с , Аноним (-), 18:11 , 31-Май-17, (93) Это повод плодить новые дыры , Это я (?), 08:35 , 02-Июн-17, (109) –1 И что этот TPM сделает Убедится, что загрузилось правильное ядро А дальше , Аноним (-), 13:29 , 31-Май-17, (78) +1 Во время обновления обновится приложение которое перегенирует хэши и как их тогд, Аноним (-), 23:17 , 30-Май-17, (12) +1 // Glibc же обновляется как-то, хотя в зависимостях у каждой первой проги, а вообще, cmp (ok), 07:20 , 31-Май-17, (46) // Давно пора реализовать возможность обновления аналогично solaris live upgrade Ж, Это я (?), 07:26 , 31-Май-17, (50) // NixOS , Аноним (-), 09:14 , 31-Май-17, (66) Увы, это экзотика , Это я (?), 09:24 , 31-Май-17, (68) –1 И чем же хорош solaris live upgrade , fi (ok), 13:54 , 31-Май-17, (82) Минимальное время простоя при установке патчей и возможность быстро откатиться в, Это я (?), 08:33 , 02-Июн-17, (108) –1 Чур меня, чур Только не это , Аноним (-), 18:12 , 31-Май-17, (94) Выглядит как полная хpeнь Аффтару уже задают неприятные вопросы https lkml or, Аноним (-), 23:26 , 30-Май-17, (14) +6 // 171 Один дурак может задать вопросы, на которые и сто мудрецов не ответят 187, Это я (?), 07:35 , 31-Май-17, (54) –3 // Это называется Упреждающий удар, чтоб мудрецов не назвали тупыми , pavlinux (ok), 17:45 , 31-Май-17, (89) +1 Который из PS ставлю, что не примут , Аноним (-), 23:36 , 30-Май-17, (16) +2 // Разумеется Это далеко не первый заход на подобную глупость, где-то даже был под, Crazy Alex (ok), 00:32 , 31-Май-17, (27) +2 // software restriction policies, applocker давно есть и даже работает У SANS в 20, Это я (?), 07:17 , 31-Май-17, (44) –1 Любму, кто хоть раз пытался настроить вещь вроде tomoyo с его глобальной полити, Аноним (-), 00:58 , 31-Май-17, (31) +2 // Так среда в продакшн и должна быть урезана и статична, не , Онаним (?), 02:17 , 31-Май-17, (34) // Скажи это всяким девопсам, с приложениями на рубях gem , питоне virtualenv , п, Аноним (-), 02:34 , 31-Май-17, (35) +8 Проблема в том, что достаточно мало инструментов, которые при необходимости повы, Это я (?), 07:32 , 31-Май-17, (52) +1 А кто говорил, что это надо пихать прям везде У таких решений есть своя ниша, н, Это я (?), 07:19 , 31-Май-17, (45) –2 // Ну допустим, вот работает она вся такая защищенная система и приходит юзер и пыт, cmp (ok), 07:35 , 31-Май-17, (53)   // Ну допустим, вот работает она вся такая защищенная система и приходит юзер и пы, Это я (?), 07:38 , 31-Май-17, (55) –1   Дык монтируй систему на ro и noexec все что на rw и зачем чета пихать в ядро там, cmp (ok), 07:44 , 31-Май-17, (57) +1   Еще есть задача - не заразить съемные носители, не похерить на нем все документы, Это я (?), 07:59 , 31-Май-17, (59) –1   В основном это касается спец объектов Специфическая штука Да ты не рыбак, теб, XX1asd (?), 09:42 , 31-Май-17, (69)   Когда учился в ВУЗе, тоже многие вещи казались бреднями параноиков, а теперь нор, Это я (?), 11:14 , 31-Май-17, (73)   нет большое количество дурацкой защиты -- хуже чем маленькое количество хорошей, X3asd (ok), 20:38 , 31-Май-17, (97)   lib ld-linux so 2 your noexec directory malicious_bin, Аноним (-), 14:19 , 31-Май-17, (83)   chmod -x -- lib ld- so , X3asd (ok), 20:40 , 31-Май-17, (98)   И всё равно rm -rf надёжнее , Аноним (-), 22:38 , 31-Май-17, (100) –1   Действительно Нахрен быстрые обновления безопасности и дыры в попавшем в белый , Отражение луны (ok), 02:14 , 31-Май-17, (33) Помнится уже было что-то на тему подписанных приложений Не совпала подпись - не, d000 (?), 03:29 , 31-Май-17, (38) // Код не смотреть, доки не читать, комент писать WhiteEgret Linux Security, pavlinux (ok), 18:07 , 31-Май-17, (92) Джва года ждал Только почему в ядро , Это я (?), 06:27 , 31-Май-17, (40) –1 // Вот именно, нужно глубже, сразу в БИОС а, стоп Ведь уже uefi, EuPhobos (ok), 07:08 , 31-Май-17, (42) // Sapienti sat, а остальным - бесполезно , Это я (?), 07:30 , 31-Май-17, (51) –1 Это чтобы сисадмина не могли уволить , qsdg (ok), 09:55 , 31-Май-17, (70) для этого есть докер , ALex_hha (ok), 13:34 , 31-Май-17, (79) на сколько легко прострелить ногу - забыть включить нужное приложение и получить, Аноним (-), 13:41 , 31-Май-17, (80) // Как, вы еще не шифруете диски , pavlinux (ok), 17:55 , 31-Май-17, (90) Чото непонятно чем это лучше аппармора , Аноним (-), 17:05 , 31-Май-17, (86) Расходимся посаны code static int we_driver_open struct inode inode, struct, pavlinux (ok), 18:04 , 31-Май-17, (91) +1 // Лол we -- это аббревиатура, а не местоимение Не сразу понял, но как понял, так, Ordu (ok), 18:34 , 31-Май-17, (96) Представляю секс с попыткой восстановления такой системы в случае посыпавшегося, anonim (ok), 20:11 , 01-Июн-17, (104) +1 С учетом того, что это сделал Тойота, то она сделала это для себя А конкретно п, Аноним (-), 21:03 , 01-Июн-17, (105) // Тойота, тошиба какая разница , Аноним (-), 23:41 , 01-Июн-17, (106) +2 // Заметил уже после поста Смысл про автомобили не изменился Тем более, авторы в , Аноним (-), 01:18 , 02-Июн-17, (107) –1 // , Аноним (-), 20:55 , 05-Июн-17, (115) Не говоря уже про аппаратные backdoors, начиная с AMT и заканчивая - Продемонст, Аноним (-), 21:18 , 05-Июн-17, (116) Ну, просто вирусы обзаведутся хаком WEUA , KroTozeR (ok), 23:15 , 02-Июн-17, (110) Я конечо идиот, но объясните мне, что помешает приложениям из белого списка вып, Просто идиот (?), 21:50 , 04-Июн-17, (112) –1 SELinux по-умолчанию разрешает выполнение программ и скриптов БЕЗ ПРАВИЛ, о кото, Аноним (-), 02:24 , 07-Июн-17, (117) 1,2,3,5,6,10,11,12,14,16,31,33,38,40,70,79,80,86,91,104,105,110,112,117

Сообщения

[Сортировка по времени | RSS]

	53. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от cmp (ok), 31-Май-17, 07:35
	> А кто говорил, что это надо пихать прям везде? У таких решений > есть своя ниша, например - автономные ПК, на которых обрабатывают информацию > достаточной степени конфиденциальности. Ну допустим, вот работает она вся такая защищенная система и приходит юзер и пытается запустить свою прогу, noexec должен слать его лесом с его флешкой, домашней директорией и всякими временными папками. А если хватанула система переполнение буфера и код интегрировался в уже прошедший проверку образ бинарника в памяти, что мешает ему внести изменения в белый список, так же как и внести изменения в фс. То есть эта хрень добавляет еще одну проверку, которая обходится точно так же как и предыдущая, и в чем смысл.
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Это я (?), 31-Май-17, 07:38
	"Ну допустим, вот работает она вся такая защищенная система и приходит юзер и пытается запустить свою прогу, noexec должен слать его лесом с его флешкой, домашней директорией и всякими временными папками. " Тут как раз в том и задача, чтоб не дать юзеру никак запустить его прогу - только разрешенный софт. Это не нужно домохозяйкам.
	Ответить | Правка | Наверх | Cообщить модератору

	57. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от cmp (ok), 31-Май-17, 07:44
	> "Ну допустим, вот работает она вся такая защищенная система и приходит юзер > и пытается запустить свою прогу, noexec должен слать его лесом с > его флешкой, домашней директорией и всякими временными папками. " > Тут как раз в том и задача, чтоб не дать юзеру никак > запустить его прогу - только разрешенный софт. Это не нужно домохозяйкам. Дык монтируй систему на ro и noexec все что на rw и зачем чета пихать в ядро там и так есть все что надо.
	Ответить | Правка | Наверх | Cообщить модератору

	59. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Это я (?), 31-Май-17, 07:59
	Еще есть задача - не заразить съемные носители, не похерить на нем все документы и т.п. В основном это касается спец.объектов. Специфическая штука. "Да ты не рыбак, тебе не понять" (с) анекдот. Ну и потом, при построении системы защиты рекомендуется  применять сразу несколько видов на случай если один или более - откажут (ошибка в реализации, настройке, переполнение буфера и т.п.).
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от XX1asd (?), 31-Май-17, 09:42
	> Еще есть задача - не заразить съемные носители, не похерить на нем все документы и т.п. В основном это касается спец.объектов. Специфическая штука. "Да ты не рыбак, тебе не понять" ой! ды всё понятно! нужно сделать херьню, которая не добавляет толком ни какой защиты, но для неквалифицированного обывателя выглядет будто защита.. ..затем этот программно-аппаратный комплекс продавать за огромные тыщи (государствам? на деньги налогоплательщиков?), рассказывая байки про "пуленепробиваемость".. (на практике же эта пуленепробиваемость будет​ обеспечиваться принципом "неуловимого джо" или ещё чём-то.. ну уж точно не этой прослойкой :-))
	Ответить | Правка | Наверх | Cообщить модератору

	73. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Это я (?), 31-Май-17, 11:14
	Когда учился в ВУЗе, тоже многие вещи казались бреднями параноиков, а теперь норма, что тебя могут прослушать, и по колебаниям листьев цветка в горшке на окне и чуть ли не на отключенный телефон могут позвонить (немного утрирую). В том что касается безопасности, мелочей не бывает - потом отвечать приходится. Так что пусть уж лучше будет "Неуловимый Джо", чем его не будет, когда понадобится.
	Ответить | Правка | Наверх | Cообщить модератору

	97. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от X3asd (ok), 31-Май-17, 20:38
	> Так что пусть уж лучше будет "Неуловимый Джо", чем его не будет, когда понадобится. нет. большое количество дурацкой защиты -- хуже чем маленькое количество хорошей защиты. потому-что в этом вопросе -- количество не переходит в качество. чем больше гоовнокода -- тем больше шансов что дыры так и останутся авторами НЕнайденными (найденными -- злоумышленником) и НЕисправленными. а очередная прослойка которая вроде как выглядет как установленная *последовательно* -- в случайный момент может оказаться *параллельным* способом обойти защиту. *маленькое* количетсво защиты беспорное лушчее решение -- так как способно проходить более тщательный контроль качества -- а также уменьшает количество гипотетических комбинаций всевозможных ситуаций.
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от Аноним (-), 31-Май-17, 14:19
	> Дык монтируй систему на ro и noexec все что на rw /lib/ld-linux.so.2 /your/noexec/directory/malicious_bin
	Ответить | Правка | К родителю #57 | Наверх | Cообщить модератору

	98. "Для ядра Linux предложена реализация белого списка исполняем..."	+/–
	Сообщение от X3asd (ok), 31-Май-17, 20:40
	>> Дык монтируй систему на ro и noexec все что на rw > /lib/ld-linux.so.2 /your/noexec/directory/malicious_bin chmod -x -- /lib/ld-*.so*
	Ответить | Правка | Наверх | Cообщить модератору

	100. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Аноним (-), 31-Май-17, 22:38
	>>> Дык монтируй систему на ro и noexec все что на rw >> /lib/ld-linux.so.2 /your/noexec/directory/malicious_bin > chmod -x -- /lib/ld-*.so* И всё равно rm -rf /* надёжнее.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема