Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Для ядра Linux предложена реализация белого списка исполняем..., opennews (??), 30-Май-17, (0) [смотреть все] Чем SELinux и AppArmor не угодили , user (??), 22:34 , 30-Май-17, (1) +8   // Вопрос в другом зачем ядро вообще что-то должно знать о ПО Этот монолитный кусо, fsdgsdfsagsdfasdf (?), 22:38 , 30-Май-17, (4) +10   // SELinux и AppArmor реализованы на уровне ядра, а эта приблуда вроде как альтер, Меломан1 (?), 07:56 , 31-Май-17, (58) –1   Ядро это самое ПО загружает и исполняет Так что избирательный фильтр для этой ф, Аноним (-), 08:09 , 31-Май-17, (60) +1   Вы статью-то читали Ядро по прежнему ничего о ПО знать и не будет Обработка бе, Очередной аноним (?), 08:18 , 31-Май-17, (61) +3   // ды лол же маленькими хуками в ядре -- тут не обойтись смотри 1 ядро будет спра, X3asd (ok), 11:35 , 31-Май-17, (74) +1   надо так делать1 ядро создаёт процесс из требуемого файла в остановленном состо, Аноним (-), 12:16 , 31-Май-17, (76) +1   присоединюсь к вопросу, mixaly4 (?), 01:50 , 31-Май-17, (32) +1   Не идёт с панкейками под смузи , Аноним (-), 09:19 , 31-Май-17, (67) +1   Ну вот, теперь руткиты ставить будет сложнее, какая жалость upd применяется не, freehck (ok), 22:36 , 30-Май-17, (2) –2 // Это был сарказм Руткиты и сплойты очень нужны, когда речь идет о своем телефоне, Аноним (-), 15:58 , 04-Июн-17, (111) –1 Всё гениальное просто , Аноним (-), 22:38 , 30-Май-17, (3) –3 А если зловредный скрипт на баше Баш-то наверняка будет в белом списке , Аноним (-), 22:44 , 30-Май-17, (5) +2 // Там таких а если - сотнями будет, Crazy Alex (ok), 22:57 , 30-Май-17, (7) +18 // Авторы уже тычут лицом в эти a если - что будет если демона прибьет OOM killer, Аноним (-), 23:30 , 30-Май-17, (15) // OOM - можно запретить для определённых процессов, Аноним (-), 00:26 , 31-Май-17, (24) demontools перезапустит , Аноним (-), 12:03 , 31-Май-17, (75) А ООМ опять убьёт Кто победит - утюг или холодильник , Аноним (-), 12:26 , 31-Май-17, (77) Чубейс Так как в результате этого процесса электроэнергия все же будет потребля, Аноним (-), 14:22 , 31-Май-17, (84) Насколько я понимаю, shebang обрабатывается ядром, а именно binfmt_misc , Аноним (-), 23:36 , 30-Май-17, (18) // bin sh myscript, Crazy Alex (ok), 00:30 , 31-Май-17, (25) +3 code echo basename 0 echo securing your data rm -rf 124 bash code , Аноним84701 (ok), 00:41 , 31-Май-17, (30) +8 Или на любом другом разрешенном интерпретируемом или JIT-компилируемом языке Во, Аноним (-), 05:01 , 31-Май-17, (39) // Да и обычный динамически слинкованный ELF через ld so запустить никто не мешает , Аноним (-), 22:35 , 31-Май-17, (99) Осталось сделать подписывание скриптов и других исполняемых файлов сертификатом , Это я (?), 06:29 , 31-Май-17, (41) –1 // кто то подумал а в виндовс это еще 10 лет назад было , ыы (?), 07:10 , 31-Май-17, (43) –1 // Дык, и я о том же Это надо для критически важных объектов инфраструктуры , Это я (?), 07:22 , 31-Май-17, (48) Нет, нет что вы Кто то подумал а в виндовс - ещё 20 лет назад запускалось толь, Аноним (-), 20:39 , 05-Июн-17, (113) –1 Я довольно далек от линукса и тем более от SELinux, AppArmor , командной строки, Очередной аноним (?), 08:50 , 31-Май-17, (63) –2 // а если забыл reboot - неалё - командировка в Сургут поднимать сервак админис, pavlinux (ok), 17:31 , 31-Май-17, (87) +1 Для таких задач обычно kvm используют Оно ведь может много из-за чего упасть и , bircoph (ok), 00:03 , 01-Июн-17, (101) –2 а если уборщицы выдернет шнур представлен механизм, который делает то что делае, ыы (?), 07:20 , 31-Май-17, (47) –7 // проблемы , XX1asd (?), 08:51 , 31-Май-17, (64) +4 // поведай же нам скорее о своих страданиях , XX1asd (?), 08:59 , 31-Май-17, (65) +4 Добавят этот скрипт в чёрный список, затем второй, третий А после добавят эври, враыв (?), 16:40 , 31-Май-17, (85) видел эту идею еще в бородатые годы Антивирусники создавали свои хэши и провер, Аноним (-), 22:45 , 30-Май-17, (6) // Что ты предлагаешь , Аноним (-), 03:18 , 31-Май-17, (37) –1 Нужно этот модуль интегрировать с AIDE http aide sourceforge net , чтобы баз, Аноним (-), 23:06 , 30-Май-17, (10) +2 // Так то хэши Цирк и школьники студенты , IB (?), 23:21 , 30-Май-17, (13) // эм путь точно нужен usr lib postgresql 9 4 bin pg_dump usr lib postgresql 9 6 , ъ (?), 18:27 , 31-Май-17, (95) А, о очень удобной особенности хакеру - коллизии хэша, не слышали , Аноним (-), 20:44 , 05-Июн-17, (114) Хм, а нужно ли Есть TPM модуль, если речь идет о промышленном применении Хотя н, username (??), 23:08 , 30-Май-17, (11) –1 // TPM сам Untrasted для некоторых применений, увы , Это я (?), 07:39 , 31-Май-17, (56) +3 // Обоснуй, интересно узнать для каких В линуксах уже есть 1 механизм для запуска , username (??), 10:27 , 31-Май-17, (71) –2 // С точки зрения доверия оборудованию и наличия в нем закладок В отличии от софт, Это я (?), 11:07 , 31-Май-17, (72) +2 А ничего что сам процессор это черный ящик иностранного производства да еще и с , Аноним (-), 18:11 , 31-Май-17, (93) Это повод плодить новые дыры , Это я (?), 08:35 , 02-Июн-17, (109) –1 И что этот TPM сделает Убедится, что загрузилось правильное ядро А дальше , Аноним (-), 13:29 , 31-Май-17, (78) +1 Во время обновления обновится приложение которое перегенирует хэши и как их тогд, Аноним (-), 23:17 , 30-Май-17, (12) +1 // Glibc же обновляется как-то, хотя в зависимостях у каждой первой проги, а вообще, cmp (ok), 07:20 , 31-Май-17, (46) // Давно пора реализовать возможность обновления аналогично solaris live upgrade Ж, Это я (?), 07:26 , 31-Май-17, (50) // NixOS , Аноним (-), 09:14 , 31-Май-17, (66) Увы, это экзотика , Это я (?), 09:24 , 31-Май-17, (68) –1 И чем же хорош solaris live upgrade , fi (ok), 13:54 , 31-Май-17, (82) Минимальное время простоя при установке патчей и возможность быстро откатиться в, Это я (?), 08:33 , 02-Июн-17, (108) –1 Чур меня, чур Только не это , Аноним (-), 18:12 , 31-Май-17, (94) Выглядит как полная хpeнь Аффтару уже задают неприятные вопросы https lkml or, Аноним (-), 23:26 , 30-Май-17, (14) +6 // 171 Один дурак может задать вопросы, на которые и сто мудрецов не ответят 187, Это я (?), 07:35 , 31-Май-17, (54) –3 // Это называется Упреждающий удар, чтоб мудрецов не назвали тупыми , pavlinux (ok), 17:45 , 31-Май-17, (89) +1 Который из PS ставлю, что не примут , Аноним (-), 23:36 , 30-Май-17, (16) +2 // Разумеется Это далеко не первый заход на подобную глупость, где-то даже был под, Crazy Alex (ok), 00:32 , 31-Май-17, (27) +2 // software restriction policies, applocker давно есть и даже работает У SANS в 20, Это я (?), 07:17 , 31-Май-17, (44) –1 Любму, кто хоть раз пытался настроить вещь вроде tomoyo с его глобальной полити, Аноним (-), 00:58 , 31-Май-17, (31) +2 // Так среда в продакшн и должна быть урезана и статична, не , Онаним (?), 02:17 , 31-Май-17, (34) // Скажи это всяким девопсам, с приложениями на рубях gem , питоне virtualenv , п, Аноним (-), 02:34 , 31-Май-17, (35) +8 Проблема в том, что достаточно мало инструментов, которые при необходимости повы, Это я (?), 07:32 , 31-Май-17, (52) +1 А кто говорил, что это надо пихать прям везде У таких решений есть своя ниша, н, Это я (?), 07:19 , 31-Май-17, (45) –2 // Ну допустим, вот работает она вся такая защищенная система и приходит юзер и пыт, cmp (ok), 07:35 , 31-Май-17, (53) // Ну допустим, вот работает она вся такая защищенная система и приходит юзер и пы, Это я (?), 07:38 , 31-Май-17, (55) –1 Дык монтируй систему на ro и noexec все что на rw и зачем чета пихать в ядро там, cmp (ok), 07:44 , 31-Май-17, (57) +1 Еще есть задача - не заразить съемные носители, не похерить на нем все документы, Это я (?), 07:59 , 31-Май-17, (59) –1 В основном это касается спец объектов Специфическая штука Да ты не рыбак, теб, XX1asd (?), 09:42 , 31-Май-17, (69) Когда учился в ВУЗе, тоже многие вещи казались бреднями параноиков, а теперь нор, Это я (?), 11:14 , 31-Май-17, (73) нет большое количество дурацкой защиты -- хуже чем маленькое количество хорошей, X3asd (ok), 20:38 , 31-Май-17, (97) lib ld-linux so 2 your noexec directory malicious_bin, Аноним (-), 14:19 , 31-Май-17, (83) chmod -x -- lib ld- so , X3asd (ok), 20:40 , 31-Май-17, (98) И всё равно rm -rf надёжнее , Аноним (-), 22:38 , 31-Май-17, (100) –1 Действительно Нахрен быстрые обновления безопасности и дыры в попавшем в белый , Отражение луны (ok), 02:14 , 31-Май-17, (33) Помнится уже было что-то на тему подписанных приложений Не совпала подпись - не, d000 (?), 03:29 , 31-Май-17, (38) // Код не смотреть, доки не читать, комент писать WhiteEgret Linux Security, pavlinux (ok), 18:07 , 31-Май-17, (92) Джва года ждал Только почему в ядро , Это я (?), 06:27 , 31-Май-17, (40) –1 // Вот именно, нужно глубже, сразу в БИОС а, стоп Ведь уже uefi, EuPhobos (ok), 07:08 , 31-Май-17, (42) // Sapienti sat, а остальным - бесполезно , Это я (?), 07:30 , 31-Май-17, (51) –1 Это чтобы сисадмина не могли уволить , qsdg (ok), 09:55 , 31-Май-17, (70) для этого есть докер , ALex_hha (ok), 13:34 , 31-Май-17, (79) на сколько легко прострелить ногу - забыть включить нужное приложение и получить, Аноним (-), 13:41 , 31-Май-17, (80) // Как, вы еще не шифруете диски , pavlinux (ok), 17:55 , 31-Май-17, (90) Чото непонятно чем это лучше аппармора , Аноним (-), 17:05 , 31-Май-17, (86) Расходимся посаны code static int we_driver_open struct inode inode, struct, pavlinux (ok), 18:04 , 31-Май-17, (91) +1 // Лол we -- это аббревиатура, а не местоимение Не сразу понял, но как понял, так, Ordu (ok), 18:34 , 31-Май-17, (96) Представляю секс с попыткой восстановления такой системы в случае посыпавшегося, anonim (ok), 20:11 , 01-Июн-17, (104) +1 С учетом того, что это сделал Тойота, то она сделала это для себя А конкретно п, Аноним (-), 21:03 , 01-Июн-17, (105) // Тойота, тошиба какая разница , Аноним (-), 23:41 , 01-Июн-17, (106) +2 // Заметил уже после поста Смысл про автомобили не изменился Тем более, авторы в , Аноним (-), 01:18 , 02-Июн-17, (107) –1 // , Аноним (-), 20:55 , 05-Июн-17, (115) Не говоря уже про аппаратные backdoors, начиная с AMT и заканчивая - Продемонст, Аноним (-), 21:18 , 05-Июн-17, (116) Ну, просто вирусы обзаведутся хаком WEUA , KroTozeR (ok), 23:15 , 02-Июн-17, (110) Я конечо идиот, но объясните мне, что помешает приложениям из белого списка вып, Просто идиот (?), 21:50 , 04-Июн-17, (112) –1 SELinux по-умолчанию разрешает выполнение программ и скриптов БЕЗ ПРАВИЛ, о кото, Аноним (-), 02:24 , 07-Июн-17, (117) 1,2,3,5,6,10,11,12,14,16,31,33,38,40,70,79,80,86,91,104,105,110,112,117

Сообщения

[Сортировка по времени | RSS]

1. "Для ядра Linux предложена реализация белого списка исполняем..."	+8 +/–
Сообщение от user (??), 30-Май-17, 22:34
Чем SELinux и AppArmor не угодили?
Ответить | Правка | Наверх | Cообщить модератору

	4. "Для ядра Linux предложена реализация белого списка исполняем..."	+10 +/–
	Сообщение от fsdgsdfsagsdfasdf (?), 30-Май-17, 22:38
	Вопрос в другом: зачем ядро вообще что-то должно знать о ПО? Этот монолитный кусок и без того драйвера с собой таскает, так еще и окружение припаять хотят.
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Для ядра Linux предложена реализация белого списка исполняем..."	–1 +/–
	Сообщение от Меломан1 (?), 31-Май-17, 07:56
	SELinux и AppArmor реализованы на уровне ядра, а эта "приблуда" вроде как альтернатива этим системам принудительного контроля доступа. Если "приблуду" в ядро не запихать, то как будет systemd выполняться? Если бы WhiteEgret был полноценной заменой selinux и отслеживал/блокировал скрипты (bash, java), изменения в конфигах, то часть дистрибутивов выпускалось с таким ядром. Но это просто "костыль" и в ванильном ядре ему делать нечего.
	Ответить | Правка | Наверх | Cообщить модератору

	60. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от Аноним (-), 31-Май-17, 08:09
	Ядро это самое ПО загружает и исполняет. Так что избирательный фильтр для этой функции вполне логично в нём смотрится, тем более мы говорим про ядро, в которое даже сетевой фильтр запихали. Другое дело что существует SELinux, который умеет и это и многое другое. Видимо кто-то ниасилил.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	61. "Для ядра Linux предложена реализация белого списка исполняем..."	+3 +/–
	Сообщение от Очередной аноним (?), 31-Май-17, 08:18
	> Вопрос в другом: зачем ядро вообще что-то должно знать о ПО? Вы статью-то читали? Ядро по прежнему ничего о ПО знать и не будет: "Обработка белого списка дозволенных программ выполняется в пользовательском окружении при помощи процесса WEUA..." О ПО будет знать процесс WEUA, который ядру и будет подсказывать "пускать/не пускать". А в ядре всего лишь несколько хуков на системных вызовах и обращение к пользовательскому процессу WEUA. Т.е. в ядре никаких списков и хэшей для данной подсистемы храниться и обрабатываться не будет.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	74. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от X3asd (ok), 31-Май-17, 11:35
	> О ПО будет знать процесс WEUA, который ядру и будет подсказывать "пускать/не пускать". А в ядре всего лишь несколько хуков на системных вызовах и обращение к пользовательскому процессу WEUA. Т.е. в ядре никаких списков и хэшей для данной подсистемы храниться и обрабатываться не будет. ды лол же!! маленькими хуками в ядре -- тут не обойтись! смотри: 1. ядро будет спрашивать у демона -- "тукую-то программ можно запустить?" 2. демон поглядел свои настройки, проверил программу, затем говорит "да! можно я всё проверил" 3. затем ядро хочет запустить то что ей разрешили -- НО УЖЕ ПОНЯТИЯ НЕ ИМЕЕТ -- действительно ли это тот же самый файловый объект который как раз проходил проверки, и про который мы спрашивали изначально! ведь уже прошло некоторое количество времени и файлы могли поменяться.. вопрос -- "что именно ядру разрешили запускать?" ответ -- "не понятно"
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от Аноним (-), 31-Май-17, 12:16
	надо так делать 1. ядро создаёт процесс из требуемого файла в остановленном состоянии. 2. тут тёрки с демоном 3.a - демон сказал что нельзя - ядро херачит область памяти созданного процесса и (и это главное) сохраняет эту область в тот файл из пункта 1. 3.б - демон сказал можно - процесс переводится в состояние выполнения Пункт 3.а мне особенно нравится.
	Ответить | Правка | Наверх | Cообщить модератору

	32. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от mixaly4 (?), 31-Май-17, 01:50
	присоединюсь к вопросу
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	67. "Для ядра Linux предложена реализация белого списка исполняем..."	+1 +/–
	Сообщение от Аноним (-), 31-Май-17, 09:19
	Не идёт с панкейками под смузи.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема