> Есть и относительно небольшие имзменения, которые апстрим не принимает в принципе - потому что они ему не нравятся, буквально. Торвальдс, в частности, негативно высказывался в адрес реализации UDEREF для x86 (не x86_64) на базе механизма сегментации памяти.

Это тот, где адресное пространство делится на два куска по полтора гига? Мне та идея тоже не очень нравилась, в наше время полтора гига для одной программы — не так и много.

> Похоже, мне так и не удалось донести мысль... Сообщество уже страдает [...] Представте, что нет Grsecurity, вообще, и аналогов тоже. Но есть плачевная ситуация с безопасностью ядра, есть KSPP (или аналогичная инициатива) с его эрзац-результатами, годными только в качестве основы для лживого пиара, и есть LF, собственно, трубящая в уши пользователей о великих успехах KSPP.

Да, я понимаю. Но как раз эту ситуацию закрытие патчей только ухудшает. Навешивание лапши на уши это не остановит — существующих идей и патчей хватит ещё не на один год портирования и пиара. Но с закрытием патчей противопоставить этому пиару будет уже нечего. Пройдёт пол года, выйдет несколько версий ядра, и патчи устареют. Какими аргументами тогда отвечать на очередной пиар LF? "всё это давно было в grsec"? — "да, _было_, и больше не поддерживается, а наши изменения поддерживаются, продолжают развиваться и совершенствоваться" — ответят LF, и, увы, будут правы. На безрыбье и рак рыба.

>> Но пострадают и Grsecurity, которым это сообщество создавало рекламу.
> Практически никакой рекламы оно не создавало, если уж на чистоту. Хотя гораздо важнее другое. Например, то, что сообщество не помогало разоблачать мифы и лживый пиар, а то и способствовало их укреплению и распространению.

Ну, я знаю о grsecurity благодаря hardened gentoo. Да и если поспрашивать у линуксоидов "а вы знаете про специально модифицированный защищённый линукс, в котором безопасность на первом месте?" отвечают "слышали про такое то ли в генту то ли в арче", если вообще о таком слышали.

> И опять-таки, реклама актуальна лишь в коммерческой плоскости, на которую вы почему-то всё время ставите акцент. При этом недовольство разработчиков grsec по большей части вызвано причинами и обстоятельствами, скорее, этического плана.

Не только в коммерческой плоскости. Я имею ввиду, что эта реклама популяризировала безопасность как таковую. Без него упадёт спрос на "правильную" безопасность в целом, ведь пользователи просто не будут о ней знать.

> Это сообщество до сих пор не в курсе, что PaX и Grsecurity являются первоисточниками большинства механизмов защиты, известных и используемых на сегодняшний день.

А это уже упущение grsec-овцев как маркетологов, которые недостаточно рекламировали свои достижения в сообществе. Ну и упущение сообщества, недостаточно распространившего информацию про grsec.

> Эти люди подозревают проект в шкурности интересов, не отдавая себе отчёт даже в том, что на одном только патентовании и последующей продаже патентов разработчики grsec давно могли и всё ещё могут сколотить себе состояние. А вы предполагаете, что сообщество может быть в курсе, откуда KSPP черпает идеи и код. :) Ах, если бы...

Хотя я больше сужу по своему окружению. Например, до этой новости я про KSPP не знал вообще. Про pax/grsec слышал благодаря gentoo, а про KSPP не знал, не интересовался этой темой.

> В любом случае, к уже сказанному мне по большему счёту добавить нечего.

Да, собственно, всё уже сказано. Спасибо за информацию и за конструктивную беседу!

На случай если нас кто-то ещё читает... TL;DR:

Есть апстрим, он считает, что баги есть баги[1], security-баги это просто баги, которые нужно чинить, так же как и любые другие. И нет причин кардинально менять подход, рисковать стабильностью, удобством обслуживания или производительностью ядра у конечного пользователя для того, чтобы усложнить использование некоторых багов, тем более, что самих багов это в любом случае не исправит. Любые патчи в ядро должны проходить те же этапы, что и все.

И есть pax/grsecurity, осознающие, что для успешной защиты надо исправить все ошибки, а для успешной атаки достаточно одной. Поэтому "killing bugs is nice, but killing bug classes is better", баги безопасности — это особый вид багов, и надо либо помешать либо максимально усложнить их использование для получения доступа в систему, пусть не устранить сами ошибки, но помешать использовать их для взлома системы. За эти годы они создали и продолжают создавать множество[2] сейчас уже общеизвестных и общедоступных систем защиты как для уровня ядра/системы так и на уровне компилятора. Они разработали значительные изменения для защиты ядра. Их подход сильно отличается от подхода апстрима, и в таком виде в апстрим принят не будет. Хотя идеи-то отличные...

Поэтому появился проект KSPP, который пытается хотя бы часть идей из grsec-патчей портировать в ядро. Конечно отдельных идей недостаточно, по-настоящему они работают только в комплексе, и по-отдельности лишь закрывают один из путей, не давая защиты в целом. Но что-то лучше, чем ничего. И KSPP надеятся, что может быть со временем удастся достичь нужного уровня, хотя сами понимают, что их попытки намного слабее работ grsec.

Но так или иначе, KSPP старательно вносят отдельные идеи в ядро. Их спонсирует Linux Foundation, и рекламирует "достижения" KSPP по улучшению безопасности, полностью "забывая"[3][4] сказать, что все эти изменения были взяты из pax/grsec[5], и там они имеют более высокое качество и обеспечивают куда большую безопасность.

Выходит дурацкая ситуация, когда половинчатые незаконченные скопированные решения рекламируются, как огромное достижение, при этом о grsec — реальных авторах этих решений и реальных достижениях полностью умалчивается. Это также вводит в заблуждение сообщество, создавая ощущение ложной безопасности, ложных шагов вперёд, когда по факту это шаг назад по сравнению с тем, что уже достигнуто в grsec, да и местами в других операционках. Такое шапкозакидательство подошло бы для рекламы стирального порошка, но не для освещения вопросов безопасности.

Помочь с ситуацией могло бы сообщество и другие разработчики, в том числе KSPP, но они этого не сделали.

Grsec-овцам надоело смотреть на то, как их работы используют для рекламы чужих успехов по копипасту и впечатления ложной безопасностью, и они перестали выкладывать свои патчи в общий доступ.

Но "мосты не сожжены: патчи как пропали из общего доступа, так могут и вернуться. [...] У сообщества есть шанс. [...] Главная помощь, которую могло и, лично я уверен, всё ещё может (в принципе) оказать сообщество - это поддержка в медийном пространстве и чёткое формулирование спроса на реальную безопасность в линуксе."

Надеюсь, ничего не забыл. Поправьте, если что не так.

[1] http://www.washingtonpost.com/sf/business/2015/11/05/net-of-.../
[2] https://grsecurity.net/rap_faq.php
[3] https://www.linux.com/news/google-developer-kees-cook-detail...
[4] https://lwn.net/Articles/705262/
[5] https://grsecurity.net/~spender/pics/grsecurity_pax-influenc...