forum.opennet.ru

"В Systemd реализована поддержка изоляции системных вызовов д..."

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Присылайте удачные настройки в раздел примеров файлов конфигурации на WIKI.opennet.ru.

. "В Systemd реализована поддержка изоляции системных вызовов д..."	+5 +/–
Сообщение от Аноним (-), 17-Июл-12, 23:13
> Я на 99% уверен, что там отдельная утилита. systemd - это не > один монолитный бинарник. В арче вон systemd частично используется, но init > остался старый. Да, в основе systemd лежит модульная архитектура, и все, что выходит за рамки задач init, оформлено отдельными бинарниками (причем systemd можно собрать практически без всего, неотключаемы только udevd и journald). Но к данному случаю это не относится. Поддержка seccomp входит в настройку окружения запускаемых процессов служб, т.е. должна быть реализована именно в init. Конечно, можно наплодить бинарников, которые будут устанавливать по одной настройке и execать друг друга по цепочке, но это чистый оверхед и бред сивой кобылы. Подобных настроек в systemd - несколько десятков, вызывать 20 бинарников по цепочке задолбаешься.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

В Systemd реализована поддержка изоляции системных вызовов д..., opennews, 17-Июл-12, 21:52 [смотреть все]

Может кто-нибудь обьяснит мне, тупому, зачем это надо , Сергей, 17-Июл-12, 22:07 (2) //
- Чтобы ограничить возможности в случае успешной атаки на приложение , Аноним, 17-Июл-12, 22:18 (5)
- У злоумышленника будет меньше прав и возможностей при атаке и использовании уязв, Anonplus, 17-Июл-12, 23:20 (21)
- Чтобы редхату не баги в софте искать а политики писать Тупиковый путь для майнс, mma, 18-Июл-12, 12:12 (64)
Ну допустим, штука полезная, но почему нельзя было оформить эту фичу в виде отде, Аноним, 17-Июл-12, 22:12 (4) //
- Надо протолкнуть systemd RedHat крайне не заинтересован в альтернативах , anonymous, 17-Июл-12, 22:26 (7) //
  - Конечно Давеча Инго Молнар говорил, что разработчикам ядра надо равняться на од, Аноним, 17-Июл-12, 23:08 (15) //
    - Ты это говоришь так, будто в ядре специально держат костыли для всех инитов , anonymous, 18-Июл-12, 00:13 (33)
  - Именно так Причем надо принимать во внимание несколько моментов - Нынешний в у, Игорь, 18-Июл-12, 02:19 (42) //
    - Теория заговора Форкайте и наслаждайтесь, кто не даёт-то Мандрива, Слес и ещё, SCIF, 18-Июл-12, 05:36 (49)
      - твои форки никому не нужны ты просто не будешь успевать за апстримом и их новым, Аноним, 18-Июл-12, 07:18 (51)
      - давайте дополним RedHat не брезгует делать vendor lock Но делает это более элег, Аноним, 18-Июл-12, 08:07 (52)
        
        Можно чуть по-подробнее В идеале ссылки на почитать , Viliar, 18-Июл-12, 10:52 (61)
        
        Думаю, не дождётесь - , Crazy Alex, 18-Июл-12, 15:01 (67)
        
        Я думаю, прежде чем мы продолжим обсуждение, Вы предоставите пруфлинки на тему з, gns, 18-Июл-12, 19:53 (81)
        
        я думаю вас не затруднит зайти в RHN и посмотреть на бинарные пакеты с драйверам, Аноним, 19-Июл-12, 10:06 (91)
        
        Если драйвера GPLные, то есть Если проприетарные, то нет Это не совсем то, что , gns, 19-Июл-12, 11:14 (93)
        
        Уважаемые зажравшиеся москвичи Прошу понять одну вещь Вокруг вас расположено о, Аноним, 18-Июл-12, 23:57 (85)
        
        Какие именно драйверы, вы о чем Исходный код _всех_ драйверов, что идут в ядре R, Stax, 18-Июл-12, 17:35 (78)
        
        через 2 месяца после того как выложен исходник вы определитесь - или их нету, ил, Аноним, 19-Июл-12, 10:08 (92)
      - Из перечисленного она более-менее интересна разве что для SLES А в редхате и впр, Michael Shigorin, 19-Июл-12, 03:02 (87)
        
        Чем, что в монстра протащили очередную галочку Попадет-ли это чудо в RHEL и в ка, myhand, 19-Июл-12, 12:36 (95)
        
        Ещё одной юзерспейсной ручкой к полезному ядерному механизму, хотя место действи, Michael Shigorin, 19-Июл-12, 12:53 (96)
      - Это не теория заговора, а практика борьбы за рынокСистемд не надо форкать Он то, Игорь, 19-Июл-12, 08:16 (89)
        
        после 15-ти работы и трех сертификатов соответствия не суметь установить sysvi, agent_007, 19-Июл-12, 09:49 (90)
        
        Слушай, Агент, а ты уверен что ты 007 А то по ходу и по стилю тоже канешь на, jOKer, 19-Июл-12, 16:04 (97)
        
        ну и что мешать он не будет , agent_007, 19-Июл-12, 16:13 (98)
        
        А не приходило в голову что если две системы конкурирует, и одну нельзя удалить,, jOKer, 19-Июл-12, 16:17 (99)
        
        systemd нельзя удалить не потому, что он реально нужен, а из-за неправильной сбо, agent_007, 19-Июл-12, 16:34 (100)
        
        gt оверквотинг удален На самом деле это совсем не так Во-первых багрепорты не, jOKer, 19-Июл-12, 16:53 (101)
        
        на самом деле всё ровно так и есть багрепорты как следует из названия , это со, agent_007, 19-Июл-12, 17:24 (102)
        Это чистая теория А на практике типичная ситуация так Я, в багрепорте на тре, jOKer, 19-Июл-12, 17:51 (103)
        
        IMHO лучше бы тогда отпилить systemd-base какой с dir lib systemd system PS r, Michael Shigorin, 19-Июл-12, 18:24 (105)
        
        лучше, конечно распилить на -base, -libs и, собственно, сам systemd но тогда с, agent_007, 20-Июл-12, 09:11 (107)
        Думал добавить, но не нашёлся с формулировкой кроме rpm -qa -- спасибо О д, Michael Shigorin, 20-Июл-12, 11:42 (108)
        
        Кто вам такое сказал А если acpid service будет всеми проигнорирован потому чт, qux, 22-Июл-12, 16:14 (110)
        
        вы имеете какое-нибудь представление о том, как формируются зависимости rpm паке, agent_007_, 22-Июл-12, 16:38 (111)
        Какое-нибудь имею Если я захочу положить в пакет случайный каталог с какими-то , qux, 22-Июл-12, 16:50 (112)
        случайный каталог - на здоровье каталог, который предоставляется пакетом system, agent_007_, 22-Июл-12, 18:27 (113)
        Интересно, не знал Но даже в таком случае не нужно резать все пакеты на два к , qux, 22-Июл-12, 19:11 (115)
        не можно, а нужно и здесь это уже обсудили и даже обсудили почему было предло, agent_007, 23-Июл-12, 09:03 (117)
        Например, http git altlinux org gears r rpm git p rpm git a blob f scripts fil, Michael Shigorin, 22-Июл-12, 18:35 (114)
        Да, спасибо, уже ткнули Хотя имхо все равно всё не так печально, выше описал , qux, 22-Июл-12, 19:13 (116)
        
        Достаточно http lists altlinux org pipermail community 2005-May 353112 html , Michael Shigorin, 19-Июл-12, 18:22 (104)
- Я на 99 уверен, что там отдельная утилита systemd - это не один монолитный бин, Аноним, 17-Июл-12, 22:32 (8) //
  - Да, в основе systemd лежит модульная архитектура, и все, что выходит за рамки за , Аноним, 17-Июл-12, 23:13 (16) //
    - Ну-ну Как и rlimits и еще куча всякого добра А вот в sysv init ради исполь, myhand, 17-Июл-12, 23:27 (24)
      - Ага В sysvinit это делается через задницу Достаточно сравнить работу админа, пе, Аноним, 17-Июл-12, 23:37 (28)
        
        Для начала непосредственно в sysvinit это не делается Не поверите, все точно , myhand, 18-Июл-12, 00:02 (32)
        Это где такое В Debian если контрольная сумма чего-то в etc не совпадает с так, www2, 18-Июл-12, 05:59 (50)
        
        хых, да и в rpm тоже самое Если программеры не дураки, то все инит скрипты марк, анонимаус, 18-Июл-12, 15:56 (69)
    - Устаревшая информация По ссылке Леннарт и Ко отклонили патч, позволяющий собрат, anonymous, 17-Июл-12, 23:31 (27)
      - Вы, наверное, по аглицки не разумеете, и потому ссылками наугад кидаетесь udev м, Аноним, 17-Июл-12, 23:41 (29)
        
        Нельзя , anonymous, 17-Июл-12, 23:52 (31)
        
        Можно же Смотри udev-186 ebuild, anoser_anon, 19-Июл-12, 06:19 (88)
- Ну так оформляйте, делов-то , develop7, 17-Июл-12, 22:50 (10) //
  - ага, написать фактически замену systemd и только , myhand, 18-Июл-12, 16:19 (70)
    - Ну вкрутите в sysvinit тогда , develop7, 18-Июл-12, 17:34 (77)
      - Вкрутить как сделано в данном примере, кстати - плохая инженерная практика , myhand, 18-Июл-12, 18:01 (79)
- Потому что там ограничения на уровне целых сервисов, а не бинариков Вполне логи, h31, 17-Июл-12, 22:52 (11)
- эм секомп фильтры существуют отдельно надо используй где угодно, новость о том ч, кевин, 17-Июл-12, 23:00 (12)
- Можно Но этого пока никто не сделал Впрочем, наличие встроенной поддержки secco, Аноним, 17-Июл-12, 23:06 (14) //
  - теперь попытаемся подумать Если apache запускается из systemd - все есть, а есл, Аноним, 18-Июл-12, 08:13 (53) //
    - Глупенький Ты хоть раз попробуй руками запустить Защита это далеко не самое стр, Аноним, 18-Июл-12, 09:49 (58)
    - Ты даже в несвоей винде службы руками не запускаеш, Аноним, 18-Июл-12, 09:52 (59)
- Она и не имеет никакого отношения к systemd , filosofem, 17-Июл-12, 23:17 (19) //
  - Тем не менее, пока она поддерживается только в systemd , Аноним, 17-Июл-12, 23:23 (23) //
    - Ну так правильно, редхат, ынтерпрайз, безопасность, selinux, теперь вот это А б, Аноним, 17-Июл-12, 23:29 (26)
    - Для галочки поддержка есть Срач на эту тему начать можно Полезность без поддер, masha, 18-Июл-12, 00:27 (36)
    - 1 Это не поддержка, а деревянная запускалка В чем ее смысл если есть SELinux и, filosofem, 18-Июл-12, 00:56 (40)
- Уже есть Те же АппАрмор и СЕЛинукс Но т у сабжу уровень пониже, этим он лучше , openclocker, 18-Июл-12, 09:12 (56)
Вообще насчет технологий безопасности в systemd можно почитать http 0pointer d, Аноним, 17-Июл-12, 23:16 (18) //
- без сомнений и, к сожалению, без иронии - второе вы почитайте, что тут ретрогра, свищ, 18-Июл-12, 00:31 (37) //
  - any feature that is sold with and systemd can use this fox Xyz , is a misfe, myhand, 18-Июл-12, 16:24 (71)
- Просто оно не так сильно нужно, как некоторые тут кричат При этом требует неких, Crazy Alex, 18-Июл-12, 05:25 (48)
Кто бы что ни говорил про Поттеринга, а штука-то годная и нужная , Anonplus, 17-Июл-12, 23:22 (22) //
- без всякого зазрения утверждаю, поттеринг - замечательный инженер, свищ, 18-Июл-12, 00:39 (38) //
  - Как инженер - не очень, но идеи у него правильные , Аноним, 18-Июл-12, 09:20 (57) //
    - В чем Вот скажите-ка мне, кто мешает вам, таким красивым и умным, имея сорцы яд, Аноним, 18-Июл-12, 17:08 (74)
Это просто прекрасно , iZEN, 17-Июл-12, 23:41 (30) //
- У тебя ж геморроя нет Это же прекрасно , Аноним, 18-Июл-12, 17:08 (75)
Timeo Danaos et dona ferentesЭто не говоря уже о склонности к комбайностроению и, jOKer, 18-Июл-12, 04:24 (47)
Я вот чего не пойму В общем виде seccomp filter разработан для прикладных прогр, Anoynymous, 18-Июл-12, 10:25 (60) //
- Ну, очевидный ответ - потому что прикладные програмисты не торопятся использоват, Crazy Alex, 18-Июл-12, 12:38 (65) //
  - Так вот надо менять стиль написания программ, а не тянуть вещь, предназначенную , Kibab, 20-Июл-12, 12:25 (109)
- Зато вброс годный Каменты читал 95 фанбоев как обычно не поняли о чем речь и , filosofem, 18-Июл-12, 14:45 (66) //
  - Кстати, подумалось - селинуксообразный стиль для seccomp внешнее конфигурирован, Crazy Alex, 18-Июл-12, 15:08 (68) //
    - Об чем и спич В Юниксах это существовало сто лет назад И кто изобретатель вело, Аноним, 18-Июл-12, 21:36 (84)
Итак, Леннарт извратился и затащил фичу, которая изначально проектировалась для , Kibab, 19-Июл-12, 01:09 (86)
Помнится, в те старые добрые времена , когда SELinux была волне, ходили такие р, vi, 19-Июл-12, 19:08 (106)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру