Брюс Перенс (Bruce Perens (https://en.wikipedia.org/wiki/Bruce_Perens)), один из авторов определения Open Source, соучредитель организации OSI (Open Source Initiative), создатель пакета BusyBox и один из первых лидеров проекта Debian (в 1996 году сменил на посту Яна Мердока), ntributory-infringement-risk-for-customers/ предоставил (http://perens.com/blog/2017/06/28/warning-grsecurity-potenti... свою экспертную оценку действиям проекта Grsecurity, пытающегося противостоять переносу своих наработок в основное ядро Linux.Напомним, что в апреле проект Grsecurity прекратил публичное распространение своих патчей из-за несогласия с деятельностью проекта KSPP (Kernel Self Protection Project), занимающегося переносом в основное ядро Linux методов защиты, развиваемых Grsecurity.
Мотивы борьбы с переносом Grsecurity в состав ядра достаточно разнообразные, от обхода в финансировании (вместо основного проекта Linux Foundation и Core Infrastructure Initiative выделили грант KSPP) до нежелания загонять себя в жесткие рамки (Grsecurity достаточно вольно рассматривает вопрос соблюдения совместимости и требований к компонентам ядра, ставя на первое место обеспечение защиты) и репутационных рисков (из-за некорректного переноса исправлений, введения ограничений для совместимости и переработок для соблюдения требований ядра реализация перенесённых в основное ядро технологий Grsecurity содержит ошибки и проблемы с безопасностью, которых нет в оригинальных патчах, что создаёт лишь видимость повышения безопасности).Так как для подписчиков патчи продолжают публиковаться под лицензией GPLv2, не исключено, что для поддержания реализации технологий Grsecurity в основном ядре и оперативного устранения ошибок, разработчики KSPP отслеживают текущее состояние патчей Grsecurity. Из-за того, что публичный доступ закрыт, источником утечки кода могут стать платные подписчики Grsecurity, которые имеют доступ к коду - так как код патчей под GPLv2 никто не запрещает им распространять эти патчи. Дошло до того, что представители Grsecurity стали угрожать судебным иском из-за нарушений требований атрибуции (упоминание автора при копировании кода).
В ходе обсуждений был поднят вопрос возможного нарушения прав разработчиков ядра Linux и лицензии GPLv2 из-за наличия дополнительных условий, дающих возможность разорвать договор в случае если клиент передал патчи третьим лицам. Брюс Перенс предупредил, что наложение подобных условий являются явным нарушением лицензии GPLv2, которая не допускает наложение дополнительных ограничений на распространение кода. Так как патчи Grsecurity являются продуктом, производным от ядра Linux, они обязаны поставляться под GPLv2 или совместимой лицензией, не внося дополнительных ограничений.
Более того, поставка под подобными ограничениями патчей из-за лицензионной несовместимости делает невозможным применение подобных патчей для ядра, нарушает авторские права разработчиков ядра Linux и приводит к расторжению лицензии GPLv2 и прекращению всех прав лицензиата, предоставленных ему данной лицензией. Компаниям рекомендовано избегать применения патчей Grsecurity, так как они нарушают условия распространения кода для ядра Linux и создают риск разрыва лицензионного соглашения на ядро.
В свою очередь, Линус Торвальдс в свойственной ему манере эмоционально посоветовал (https://www.spinics.net/lists/kernel/msg2540934.html) &...не связываться с Grsecurity и раскритиковал качество патчей и их подход к разработке, который оправдывает любые нарушения прежнего поведения целесообразностью повышения безопасности.
Дополнение: Сторонники Grsecurity считают, что нарушения лицензии GPL нет, так как ограничение действует на уровне контракта и связано с досрочным прекращением его действия и закрытием доступа к будущим выпускам патчей, но клиент даже после разрыва контракта может продолжать распространение уже полученных патчей без ограничений, а также их могут распространять другие пользователи, в руки которых патчи попали от клиента Grsecurity.URL: http://perens.com/blog/2017/06/28/warning-grsecurity-potenti.../
Новость: http://www.opennet.me/opennews/art.shtml?num=46828
>Из-за того, что публичный доступ закрыт утечка кода происходит через платных подписчиков Grsecurity, которые имеют доступ к коду. Так как код патчей под GPLv2 никто не запрещает им распространять эти патчи.Как же абсурдно продавать свободное ПО. Конечно, в теории можно сделать сервис какой-то и продавать его услуги, но какие в данном случае услуги могут быть? Лучше бы тогда уж финансировали нормально, а из-за этого обиды. И какие-то зашуганные эти разработчики, может тут есть что-то связанное со спецслужбами?
Не абсурдно продовать бинарные сборки, этого GPL не запрещает, абсурдно продавать исходники, которые находятся под GPL, к тому же, являющиеся частью ядра.
Исходники продавать тоже можно, GPL этого не запрещает. Проблема при продаже исходников и бинарников с GPL одна и та же, - исходники можно отдавать третьим лицам бесплатно после покупки. Поэтому создают препятствия с помощью зарегистрированных торговых марок так, чтобы везде в коде использовалась торговая марка. Это усложняет вливание в основной продукт, но ещё приводит к вливанию без торговой марки, что будет невыгодно для того, кто все эти препятствия сделал. Во-первых, они лишаются пиара своей торговой марки, а во-вторых, - усложняет себе будущую синхронизацию с исходным продуктом (два немного отличающихся куска кода с разными названиями функций и переменных - ад при слияниях).
Иходники должны быть полностью возвращены в проект и открыты для всех желающих. Только в случае, если писалось что-то своё, можно не отдавать, но оно должно быть под другой лицензией, совместимой с GPL.
> Иходники должны быть полностью возвращены в проект и открыты для всех желающих.GPL читал? Что не понятно, спрашивай.
Вряд ли этот человек пойдёт читать GPL когда-нибудь вообще. Я читал, т. к. мне приходится с этим работать и в комментариях охотно делюсь своими знаниями с другими людьми. Просьба, чем сходу отписывать отсылки с намёками, просто напишите объяснение, в чём человек неправ. Больше пользы принесёте.
#>>> Иходники должны быть полностью возвращены в проект и открыты для всех желающих.
> Вряд ли этот человек пойдёт читать GPL когда-нибудь вообще. Я читал, т.
> к. мне приходится с этим работать и в комментариях охотно делюсь
> своими знаниями с другими людьми. Просьба, чем сходу отписывать отсылки с
> намёками, просто напишите объяснение, в чём человек неправ. Больше пользы принесёте.Я писал, [U]бесполезно[/U]. Они всё равно _не_читают_ ни Столмана, ни [одну из] GPL.
В GPL <<Нет никакого "всем".>>
http://www.opennet.me/openforum/vsluhforumID3/104784.html#60<<Никакого "обязывает возвращать" в GPL нет.>>
http://www.opennet.me/openforum/vsluhforumID3/93119.html#105
<<Никакого "обязывает возвращать" в GPL нет.>>постойте. Я точно помню скулеж со стороны FSF когда apple отказалось портировать свои наработки по Object-C в новый gcc. Помню как ты и подобные тебе с пеной у рта доказывали что Apple должна портировать и подарить правки сделаные для более ранних (GPL v2) версий gcc.
> <<Никакого "обязывает возвращать" в GPL нет.>>
> постойте. Я точно помню скулеж со стороны FSF когда apple отказалось портировать
> свои наработки по Object-C в новый gcc. Помню как ты
> и подобные тебе с пеной у рта доказывали что Apple должна
> портировать и подарить правки сделаные для более ранних (GPL v2) версий
> gcc.Да. Это был именно случай того самого _не_ обязывает. Ваши радужные червоточинные друзья именно что хотели "вернуть" (но не были обязаны по лицензии -- разговор выше был о ней), но им было сказано -- на наших условиях или мы не обязаны.
Полная взаимность, свифты, цланги и какание радугами.
Я таки расшифрую правильный, но не до конца расписанный, комментарий выше, - GPL подразумевает, что при распространении вместе с бинарниками должен быть предоставлен доступный способ получений исходников, из которых бинарники были собраны. Что с этими исходниками получатель будет делать - его личное дело. В оригинальный проект никто ничего не обязан возвращать.
> Как же абсурдно продавать свободное ПО.Это совершенно не абсурдно и является нормальной практикой. Продавать бинарные сборки совершенно адекватно и предоставлять исходники тем, кто их купил(как того требует GNU GPLv2). А вот уже купившие и легально получившие код могут спокойно его выложить. GNU GPLv2 не обязывает авторов выкладывать код в свободный доступ, а лишь обязывает представить доступ к исходникам тем, кто имеет доступ к бинарникам. При этом в лицензии не сказано в каком виде должны быть предоставлены исходники, так что их можно выдавать хоть на глинянных табличках, а не ссылками для скачки.
> ссылками для скачкиА при чём тут соревнование на ипподроме и какая на него может быть ссылка?
>При этом в лицензии не сказано в каком виде должны быть предоставлены исходники, так что их можно выдавать хоть на глинянных табличках, а не ссылками для скачки.В 4й версии пофиксят.
> В 4й версии пофиксят.А никак не пофиксишь. Лицензия должна быть рассчитана и на тех у кого нет интернета, а следовательно выдавать ссылку на исходники прописывать нельзя.
будут выдавать блюрей-диск/записывать на флешку, делов то
> При этом в лицензии не сказано в каком
> виде должны быть предоставлены исходники, так что их можно выдавать хоть
> на глинянных табличках, а не ссылками для скачки.Сказано:
> a) Accompany it with the complete corresponding machine-readable source code,
> which must be distributed under the terms of Sections 1 and 2 above on a medium customarily
> used for software interchange; or,и глиняные таблички не прокатят.
> и глиняные таблички не прокатят.Да запросто прокатят.
[quote]
Сфотографируйте любой печатный текст камерой смартфона или планшета – и получите его в электронном виде благодаря приложению ABBYY TextGrabber + Translator для Android.
[/quote]
Отсюда: https://www.abbyy.com/ru-ru/textgrabber-translator/android/Кстати, это мысль - создать устройство, которое анализирует белковые молекулы в пробирке и
переводит это в текст.
Исходники распространять в молекулах белка бесплатно, устройство продавать.
> Да запросто прокатят.Они не machine-readable. Кроме того, там есть примечание для таких хитрованов как вы:
medium customarily used for software interchangeГлинянные таблички и молекулы ДНК не часто используются для обмена программным обеспечением. Я наверное не ошибусь, если скажу что не было в истории таких случаев.
Сейчас даже перфолента или дискеты не прокатят. Общепринято меняться через веб-сайт, флешки, карты памяти, компакт-диски. Иногда через жёсткие диски обмениваются.
Скажите это разработчикам PartedMagic или ethOS. Вполне успешно продают. Естественно, никто не запрещает купившим выложить купленное в торренты, что регулярно и происходит.
За что им отдельное спасибо, кстати :) Полюбил я как-то Parted Magic и все тут.
Фишка продажи СПО в том, что всем на шару выкатывается как бы готовый красивый продукт, потом оказывается, что он никуда не годен в реальных применениях и тк обычно баговит... и тут тебе приходится обращаться к поставщику, а там платный саппорт. профит
Могли бы делать кривые патчи, они бы не работали, пожимали бы плечами УМВСР, покпайте у нас и т д
>и тут тебе приходится обращаться к поставщику, а там платный саппортИ чем это отличается от не СПО (кроме того, что СПО может пофиксить твой штат программистов)?
> Могли бы делать кривые патчи, они бы не работалик великому сожалению grsec'овцев - за них это делает KSPP.
итого - пилежка грантов, профанация методик (которые хороши в комплексе, а не поштучно и с ошибками) и "не покупайте, вот же, почти то же самое, на халяву!" Ну, зато GPL-фанаты счастливы, "ждут ебилдов".
> В свою очередь, Линус Торвальдс в свойственной ему манере эмоционально посоветовал не связываться с Grsecurity и раскритиковал качество патчей и их подход к разработке, который оправдывает любые нарушения прежнего поведения целесообразностью повышения безопасности.Не совсем так. Во-первых, по ссылке нет никаких особых эмоций, во-вторых, смысл сообщения, скорее, переводится так: "Не связывайтесь с Grsecurity. Их подход всегда был таким: "неважно, если мы что-то сломаем, мы просто оправдаем это тем, что делаем это ради безопасности." Курам насмех, клоуны. Когда они начали заявлять, что люди используют их, я перестал быть корректным относительно их барахла. Их патчи - абсолютный мусор."
Если их патчи- абсолютный мусор, то зачем он вообще вякает в их сторону? Откажитесь от их патчей и все. закройте проект KSPP. зачем начали проект и выделили под проект деньги?
Але гараж?
Внезапно не Торвальдс решил начать проект и выделять им деньги. Понятно?
> Внезапно не Торвальдс решил начать проект и выделять им деньги. Понятно?Ну тогда ситуация в двойне непонятно- если он такой умный а патчи- такой мусор - то наверное его ядро такое защищенное что эти патчи ванильному ядру не нужны? правда ведь? да? Че он тогда вообще выступает?
> Ну тогда ситуация в двойне непонятно- если он такой умный а патчи-
> такой мусор - то наверное его ядро такое защищенное что эти
> патчи ванильному ядру не нужны? правда ведь? да? Че он тогда
> вообще выступает?Вот про это он и выступает
> Не связывайтесь с Grsecurity
И он совершенно прав.
>Ну тогда ситуация в двойне непонятно-Качают лодку.
Всё как обычно, там где появляется чиновник (фсф и иже с ними) - начинается де**мо: попил, интриги, травля, награждение непричастных, наказание невиновных.
То ли ещё будет!
Вы когда-нибудь программировали?Я к тому, что допустим, у вас есть огромный проект, и некто вызывается улучшить его безопасность. Выясняется, что этому кому-то работоспособность проекта вообще не важна. Поломалось - так поломалось. Как вы назовете такой подход и качество таких патчей? Каким логичным способом можно решить эту проблему?
> Вы когда-нибудь программировали?
> Я к тому, что допустим, у вас есть огромный проект, и некто
> вызывается улучшить его безопасность. Выясняется, что этому кому-то работоспособность
> проекта вообще не важна. Поломалось - так поломалось. Как вы назовете
> такой подход и качество таких патчей? Каким логичным способом можно решить
> эту проблему?Это проблема тех кто ставит эти патчи. Это не повод ХАМИТЬ тем кто делает нужную и важную работу по допиливанию до юзабельного состояния куска мусора который гордо именуется ванильным ядром.
Для понимания проблемы - Вам стоит найти в сети (на Хабре было когдато) перевод интервью с Джобсом, с его аргументами почему в айфонах нет флэша. Джобс, в отличие от Торвальдса во первых не хамил разработчикам, вол вторых - умел решать проблемы.
> Для понимания проблемы - Вам стоит найти в сети (на Хабре было
> когдато) перевод интервью с Джобсом, с его аргументами почему в айфонах
> нет флэша. Джобс, в отличие от Торвальдса во первых не хамил
> разработчикам, вол вторых - умел решать проблемы.Зачем вообще Хабр, если "Thoughts on Flash" легко отыскать на языке оригинала? Оно валяется везде в сети. Это во-первых. А во-вторых, причем тут это письмо? Тем, что можно посмотреть на то, как покойный глава Эппл мог сказать, что продукт - дерьмо, но политкорректно? Джобс тогда этим письмом по сути закончил жизнь флэша, за что, кстати, ему большое спасибо. Но суть-то одна.
Вы меня заинтересовали. Я нагуглил это и прочитал. Сплошные двойные стандарты и "негров линчуют". Тьфу.
> Это проблема тех кто ставит эти патчи. Это не повод ХАМИТЬ тем кто делает нужную и важную работу по допиливанию до юзабельного состояния куска мусора который гордо именуется ванильным ядром.Ага. Но при чем здесь grsec? Они вроде строго обратным занимаются - берут юзабельное ванильное ядро и превращают его в кусок мусора.
Где в тексте новости Торвальдс называет их патчи мусором? Там такого утверждения нет а почему ему приписывают в коментах это утверждение?
Труъ?
По ссылкам сходите.
первоисточник не читай
@
дурацкие вопросы задавай
По-моему с вами что-то не то. Вы не один из Grsecurity?
Как я понял из всей истории раньше они пытались пропихнуть свои патчи, но внезапно их не принимали видно как раз по причине что они не заботились о работоспособности. Однако есть люди которые хотят лицезреть некоторые наработки в ядре они их и адаптируют и перепиливают под ядро что бы оно попало в mainline. А Grsecurity внезапно захотели бабла. А то как это они тут на_х_ерачили патчей на ядро которое под лицензией GPL, а их ещё и распространяют без их ведома. И кому какая разница что те кому это интересно спокойно могут это делать ибо GPL и нечего возникать.
Или вы предлагаете для Grsecurity исключения в соблюдении лицензии делать?
> тем кто делает нужную и важную работу по допиливанию до юзабельного состояния куска мусора который гордо именуется ванильным ядромололо, кернел-онолитеги в тредик спустились с Олимпа. навозного
> Джобс, в отличие от Торвальдса...мёртв.
>> Джобс, в отличие от Торвальдса
> ...мёртв.А что ты сделал для русского хип-хопа?
Никаких особых эмоций?> Не связывайтесь с Grsecurity
> Их подход всегда был таким
> Курам насмех
> клоуны
> я перестал быть корректным относительно их барахла
> Их патчи - абсолютный мусорЭто просто буря эмоций.
> Никаких особых эмоций?
>> Не связывайтесь с Grsecurity
>> Их подход всегда был таким
>> Курам насмех
>> клоуны
>> я перестал быть корректным относительно их барахла
>> Их патчи - абсолютный мусор
> Это просто буря эмоций.Вы среди каких-то нордических личностей работаете?
> Вы среди каких-то нордических личностей работаете?Гм, Линус вообще-то довольно горячий финский парень.
> Это просто буря эмоций.Нет, это Торвальдс. Когда он говорит эмоционально, это выглядит несколько иначе. В данном случае он вполне спокоен.
Аж отдельный проект замутили чтобы тащить код из сабжевого проекта и не помогать ему. Ну не иди0ты ли? Кто тут паразит то?
>Their patches are pure garbage.Ну да конечно, только вот их патчи на 99.9% защищают от всех експлойтов.
Я уж лучше такие патчи буду юзать, чем дырявое ванильное ядро.
Grsecurity делают крайне нужную работу, жаль только, что они решили со всеми посраться.
Используй винду - по твоей логике их закрытое ядро должно быть абсолютно безопасным. Если кто-то делает хорошее дело, но при этом нарушает GPL, то это портит всё дело
Какую то ерунду пишешь, при чем тут закрытое ядро и винда? Мы тут про патчи для ядра линукс.
Для тех у кого есть доступ к этому ядру(патчам) есть и его исходники.
Нарушают GPL, да печально это, но им тоже кушать хочется.
Нарушение лицензии это нисколько не оправдывает.
> Нарушают GPL, да печально это, но им тоже кушать хочется.Они в FOSS состоят? Если нет, то они ССЗБ, потому что это получается они на добровольных началах делают. А GPL прямо запрещает закрывать код.
s/FOSS/FSF/gсамофикс
>>Their patches are pure garbage.
> Ну да конечно, только вот их патчи на 99.9% защищают от всех
> експлойтов.
> Я уж лучше такие патчи буду юзать, чем дырявое ванильное ядро.
> Grsecurity делают крайне нужную работу, жаль только, что они решили со всеми
> посраться.Вы что не помните их эпический фейл, когда после их патча
ядро падало в kernel panic после открытия файла?Нафига вам защита от эксплойтов если ваше ядро начнет падать от создания
процессов и открытия файлов, соскучились по синему экрану смерти?
Это был опасный файл!
А что по вашему доказывает эта одна ошибка ещё и в экспериментальной версии небось?
> Ну да конечно, только вот их патчи на 99.9% защищают от всех експлойтов.Истина. Они защищают от 99% эксплоитов. А ещё с их патчами огромное число программ просто откажутся запускаться. Запустите JVM, запустите Racket. Не получается? А Emacs запустится ли, как думаете? Нет?
Ну и что с такой системой делать?
>> Ну да конечно, только вот их патчи на 99.9% защищают от всех експлойтов.
> Истина. Они защищают от 99% эксплоитов. А ещё с их патчами огромное
> число программ просто откажутся запускаться. Запустите JVM, запустите Racket. Не получается?Эти программы точно так же не запустятся, если посредством SELinux им запретить помечать страницы памяти на запись и исполнение кода (нарушение правила W^X). Значит ли это, что SELinux несовместим с нормальной работой системы? Нет, это значит, что SELinux реализует ограничения, которые для некоторых приложений включать не стоит.
В Grsecurity ситуация обстоит точно также: всем процессам в системе по умолчанию запрещено нарушать правило W^X, из-за которого закономерно не работают приложения, использующие JIT-компиляцию. Но этот запрет можно отключить выборочно, конкретно для этих приложений (выставив флаги ФС через setfattr: setfattr -n user.pax.flags -v m /path/to/the/executable), либо для всей системы. Причём, в последнем случае - как на этапе сборки ядра (собирать без CONFIG_PAX_MPROTECT), так и с помощью аргументов ядра через загрузчик: pax_softmode=1 (но так отключаются все защиты юзерспейса, вследствие чего их явно придётся включать флагами для каждого исполняемого файла, где они нужны).
> А Emacs запустится ли, как думаете? Нет?
У меня запускается даже без выставления флагов на исполняемый файл.
> Ну и что с такой системой делать?
Читать документацию и работать без проблем? :)
>> Ну и что с такой системой делать?
> Читать документацию и работать без проблем? :)А, ну... Это-то, кончно, да, за одним нюансом: в пакет расширенные атрибуты не завернёшь.
> А, ну... Это-то, кончно, да, за одним нюансом: в пакет расширенные атрибуты
> не завернёшь.google://paxctld
> представители Grsecurity стали угрожать судебным иском, указывая на нарушение их авторских правВообще-то по ссылке cpач из-за неправильной атрибуции, что нарушает и GPL в том числе. Хотя проблема смахивает на высосанную из пальца.
Во-во. Они берут код из Линукса, и их обязывают соблюдать лицензию. А когда берут их код, изменяют и вносят назад в Линукс, то и вот этих тоже надо обязать добавлять Copyright с именами авторов оригинальных патчей. Пусть и пришлось попричёсывать код. Ведь Grsecurity тоже ведь пришлось покопаться да поисправлять баги.
так они ведь не нарушали лицензию до этого момента. зачем вообще брать что то у grsecurity, пытаться портировать в ядро и ныть что все поламалось, они как раз и просят ничего в ядро не переносить
Меньше кода-меньше дырок в безопасности.Вот хороший принцип, поэтому самосборное ядро с выпиливанием всего кроме нужного, или ядро очищеное от несвободных компонентов хороший выбор.
> Меньше кода-меньше дырок в безопасности.
> Вот хороший принцип, поэтому самосборное ядро с выпиливанием всего кроме нужного, или
> ядро очищеное от несвободных компонентов хороший выбор.Нет кода - нет опасности. Расходимся.
> Меньше кода-меньше дырок в безопасности.
> Вот хороший принцип, поэтому самосборное ядро с выпиливанием всего кроме нужного, или
> ядро очищеное от несвободных компонентов хороший выбор.Это верно, но только при условии одинакового уровня качества кода и при использовании в одних и тех же условиях. Причём качество должно определяться как мера одного-единственного показателя: если показателей хотя бы два (независимых), то ситуация становится не такой однозначной.
> Меньше кода-меньше дырок в безопасности.Фигня, даже в 200 строковой программе может оказаться дофига уязвимостей. А ядро насчитывает миллионы строк.
Из текста новости: "разработчики KSPP отслеживают текущее состояние патчей Grsecurity, которые продолжают публиковаться под лицензией GPLv2. Из-за того, что публичный доступ закрыт, утечка кода происходит через платных подписчиков Grsecurity, которые имеют доступ к коду."Откуда такая информация? Если есть источник, добавьте пожалуйста ссылку на него. Пока что считаю что это лишь неподтвержденное предположение (о том что "разработчики KSPP" уже используют "утечки", а не ограничиваются публично доступными старыми версиями grsecurity и независимыми от grsecurity разработками).
Действительно, это было только в сообщениях от Spengler, от KSPP подтверждения нет, только заявления от представителей Grsecurity. Поправил на "По мнению участников проекта Grsecurity, неподтверждённому представителями KSPP".Вообще я мог и что-то ещё напутать или упустить, так как писал по памяти на основе общих впечатлений от весенних дискуссий, которые читал весьма отрывочно.
> только заявления от представителей GrsecurityМожно на эти заявления ссылку? А то что-то я и такого не помню. Мог упустить, конечно, так как тоже читал отрывочно. Спасибо!
Судя по всему я своеобразно интерпретировал http://seclists.org/oss-sec/2017/q2/586 поняв упоминание testing как отслеживание изменений в новой ветке. Точно я уже не помню где читал, там море препирательств в рассылках, но памяти осел пример необдуманного переноса исправлений. Вполне может быть, что я что-то не так понял или домыслил. Завтра попытаюсь ещё поискать где я мог это видеть, а пока убрал утверждение из текста, тем более, что в KSPP например в http://www.openwall.com/lists/kernel-hardening/2017/06/20/34 явно пишут
"last public patch of grsecurity/PaX".
Я вот только не могу понять, почему "патчи Grsecurity являются продуктом, производным от ядра Linux", они же не поставляют ядро, ядро компилит пользователь...
> не могу понять, почему "патчи Grsecurity являются продуктом, производным от ядра Linux"Патчи на существующее ядро, а не в вакууме.
>> не могу понять, почему "патчи Grsecurity являются продуктом, производным от ядра Linux"
> Патчи на существующее ядро, а не в вакууме.да что вы прям так.. Это же отдельный продукт по мнению grsec и они никому ничем не обязаны.
Он всё никак не поймёт что если патчи (исходники) идут отдельно от ядра, то они к ядру никак не привязаны и не обязаны быть под той же лицензией.
но наложение этих самых буковок на ядро рождает произвольный продукт который связан лицензией на ядро.
И это самое производное можно и нужно распространять, и какой Gr Sec в этом помешать не может и не имеет право.
> в этом помешать не может и не имеет право.И не пытается. :)
Похоже будет большой скандал.
Шапки полетят
> Похоже будет большой скандал.
> Шапки полетятКрасные, фетровые?
>> Шапки полетят
> Красные, фетровые?"а также добавили дополнительное условие, запрещающее клиентам передавать патчи третьим лицам под угрозой разрыва договора. Брюс Перенс предупредил, что данный шаг является явным нарушением лицензии GPLv2, которая не допускает наложение дополнительных условий на распространение кода" и впрямь что-то этакое очень напоминает.
>>> Шапки полетят
>> Красные, фетровые?
> "а также добавили дополнительное условие, запрещающее клиентам передавать патчи третьим
> лицам под угрозой разрыва договора. Брюс Перенс предупредил, что данный шаг
> является явным нарушением лицензии GPLv2, которая не допускает наложение дополнительных
> условий на распространение кода" и впрямь что-то этакое очень напоминает.А лицензию поменять, авторы смогут?
>>>> Шапки полетят
>>> Красные, фетровые?
>> "а также добавили дополнительное условие, запрещающее клиентам передавать патчи третьим
>> лицам под угрозой разрыва договора. Брюс Перенс предупредил, что данный шаг
>> является явным нарушением лицензии GPLv2, которая не допускает наложение дополнительных
>> условий на распространение кода" и впрямь что-то этакое очень напоминает.
> А лицензию поменять, авторы смогут?Торвальдс ленится, у него каша уже тёплая, и уже есть би-эм-дублевэ.
>>>>> Шапки полетят
>>>> Красные, фетровые?
>>> "а также добавили дополнительное условие, запрещающее клиентам передавать патчи третьим
>>> лицам под угрозой разрыва договора. Брюс Перенс предупредил, что данный шаг
>>> является явным нарушением лицензии GPLv2, которая не допускает наложение дополнительных
>>> условий на распространение кода" и впрямь что-то этакое очень напоминает.
>> А лицензию поменять, авторы смогут?
> Торвальдс ленится, у него каша уже тёплая, и уже есть би-эм-дублевэ.Может ему уже по возрасту и по статусу положено лениться?
ИМХО проект не должен развалится когда кто то там уж очень "разленится" или отойдет от дел. Уж слишком хорош проект! И кому то наверняка как кость в горле.На счет лицензии и вторая сторона может подсуетиться. В общем плохо все это, плохо.
Подкинули бы ребятам денжат. Там не бойсь тыщы-мильены бродят.
IDA ?
radare2
У этих парней странное чувство юмора. https://github.com/radare/radare2/blob/master/doc/fortunes.nsfw
Аноним, 11:11 , 11-Июл-17:
> У этих парней странное чувство юмора.Как и у бОльшей половины парней "под" ником 'Аноним'. ...и чито? Сару Шарп позовёшь? Или мариванну?
Полетят пыжиковые шапки
Вижу, аналитика уровня LWN добралась и сюда.> Напомним, что в апреле проект Grsecurity полностью прекратил бесплатное распространение своих патчей
Неправда. У некоторого числа старых пользователей Grsecurity по-прежнему есть доступ ко всем патчам, полностью бесплатный.
> и стал всячески препятствовать работе проекта KSPP (Kernel Self Protection Project)
Каким это образом, всячески, не могли бы вы уточнить? А то создаётся нехорошее впечатление, а на каких основаниях - неясно.
> занимающегося переносом в основное ядро Linux методов защиты, развиваемых Grsecurity.
Перенос методов защиты из Grsecurity в основном осуществляется прямым копированием кода, а не заимствованием и до/переработкой идей. И оплачивает эту деятельность, в частности, Гугль как наниматель Кэйса Кука и Intel/Red Hat как наниматели большинства других участников, а вовсе не CII.
> нежелания разбивать продукт на части (Grsecurity рассматривается как взаимосвязанное единое целое)
Эту работу разработчикам Grsecurity просто никто не собирается оплачивать. Конкретных предложений не поступало.
> Дошло до того, что представители Grsecurity стали угрожать судебным иском из-за нарушений требований атрибуции (упоминание автора при копировании кода)
Имеют на то полное право и достаточные основания, вам так не кажется? К слову, эта "угроза" не создаёт ровным счётом никаких препятствий для работы KSPP, если вы это имели ввиду. Достаточно просто указывать копирайт, согласно закону и общепринятым этическим нормам. Когда есть сомнения, чей копирайт - можно обратиться к авторам патча и уточнить.
> а также добавили дополнительное условие, запрещающее клиентам передавать патчи третьим лицам под угрозой разрыва договора
Кто-то в интернете сказал, что добавили, а вы повторяете. На странице для клиентов прямым текстом написано, что авторы Grsecurity не ограничивают их в правах и даже настаивают на соблюдении клиентами условий GPL.
Нет запрещающего условия. Есть уведомительная оговорка, что в случае явных и постоянных утечек патчей конкретно в руки KSPP или некоторых участников Linux Foundation, которые как раз-таки в прошлом угрожали проекту дорогостоящими судебными тяжбами, разработчики Grsecurity оставляют за собой право на то, чтобы не продлять контракт на поставку последующих патчей. Это право у них есть даже без оговорок, и условиями GPL оно никак не ограничено.
> Брюс Перенс предупредил, что данный шаг является явным нарушением лицензии GPLv2
Брюс Перенс высказал своё как советника (но не юриста) мнение о якобы существующих ограничениях, о которых тоже где-то что-то слышал от третьих лиц.
В свою очередь, по этим и смежным вопросам самих разработчиков Grsecurity консультировали профессиональные юристы. Или вы думаете, они просто самодурством занимюатся, подводя себя под легальные риски?
> разработчики Grsecurity оставляют за собой право на то, чтобы не продлять контракт на поставку последующих патчей. Это право у них есть даже без оговорок, и условиями GPL оно никак не ограничено.Each time you redistribute the Program (or any work based on the Program), the recipient automatically receives a license from the original licensor to copy, distribute or modify the Program subject to these terms and conditions. You may not impose any further restrictions on the recipients' exercise of the rights granted herein. You are not responsible for enforcing compliance by third parties to this License.
Поэтому в любой момент вы можете прекратить " redistribute the Program" для клиента, который нарушает некоторые озвученные вами условия. И он (этот клиент) потеряет все описанные вами права. Это законно.
Но только если продукт ваш, а в данному случае ограничения пытаются распространить на ядро Linux (grsec производный от ядра продукт).
А какая разница производный он или нет?Только получив продукт вы получаете права на его исходники. Нет продукта - нет прав.
> Неправда. У некоторого числа старых пользователей Grsecurity по-прежнему есть доступ ко
> всем патчам, полностью бесплатный.Официально они заявляют только платный доступ, публично никаких предложений и условий по бесплатному распространению нет. То что за кулисами кому-то бесплатно патчи дают ничего не решает, так можно сказать и про любой коммерческий продукт, который для ограниченного круга бесплатно по личной договорённости распространяют.
> Каким это образом, всячески, не могли бы вы уточнить?Закрытие доступа к новым патчам/исправлениям и беспочвенные обвинения в тупом копировании - это разве не препятствия?
> И оплачивает эту деятельность, в
> частности, Гугль как наниматель Кэйса Кука и Intel/Red Hat как наниматели
> большинства других участников, а вовсе не CII.На сайте CII так не считают, KSPP в списке грантов https://www.coreinfrastructure.org/grants
>> а также добавили дополнительное условие, запрещающее клиентам передавать патчи третьим лицам под угрозой разрыва договора
> Кто-то в интернете сказал, что добавили, а вы повторяете. На странице для
> клиентов прямым текстом написано, что авторы Grsecurity не ограничивают их в
> правах и даже настаивают на соблюдении клиентами условий GPL.В тексте соглашения http://perens.com/wp-content/uploads/2017/06/grsecstablepatc...
написано:"If the User has received pricing for the stable patches on a specific product, use
of the patches on additional products without the consent of the Company will
result in termination of access to future updates of grsecurity stable patches
and changelogs."
> Нет запрещающего условия. Есть уведомительная оговорка, что в случае явных и постоянных
> утечек патчей конкретно в руки KSPP или некоторых участников Linux Foundation,
> которые как раз-таки в прошлом угрожали проекту дорогостоящими судебными тяжбами, разработчики
> Grsecurity оставляют за собой право на то, чтобы не продлять контракт
> на поставку последующих патчей.По вашему это не ограничение? Какие могут быть утечки, если код под GPL, это легитимная передача кода.
> Брюс Перенс высказал своё как советника (но не юриста) мнение о якобы
> существующих ограничениях, о которых тоже где-то что-то слышал от третьих лиц.Bruce Perens специализируется на юридических консультациях, не одну собаку съел в делах о нарушении GPL, рассматривает конкретный документ, на который у него указана ссылка, и достаточно авторитетен в вопросах лицензирования.
> В свою очередь, по этим и смежным вопросам самих разработчиков Grsecurity консультировали
> профессиональные юристы. Или вы думаете, они просто самодурством занимюатся, подводя себя
> под легальные риски?Возможно юристы были не совсем профессиональные. Bruce Perens же специализируется на делах о нарушении GPL.
> > Нет запрещающего условия. Есть уведомительная оговорка, что в случае явных и постоянных
> > утечек патчей конкретно в руки KSPP или некоторых участников Linux Foundation,
> > которые как раз-таки в прошлом угрожали проекту дорогостоящими судебными тяжбами, разработчики
> > Grsecurity оставляют за собой право на то, чтобы не продлять контракт
> > на поставку последующих патчей.
> По вашему это не ограничение? Какие могут быть утечки, если код под GPL, это легитимная передача кода.Именно напоминание: вы можете, конечно, распространять эти патчи, но помните, мы, разумеется, можем (без объяснения причины) не продлевать договор.
Нет, это больше похоже на угрозу. Повторюсь, если бы у них был отдельный продукт - их право, но они распространяют свои "напоминания" на код ядра. Grsecurity надстройка над ядром, неотделимая от него и неразрывно интегрируемая с ним, и поэтому рассматривается как производная работа (читай форк ядра), поэтому они не могут ставить свои условия без согласования со всеми разработчиками ядра, ровно по той же причине, по которой Линус не может сменить лицензию на ядро с GPLv2 на GPLv3.
Да, они могли бы просто удалить это напоминание, но продолжать действовать согласно ему они бы всё равно могли. Таким образом напоминание превратилось бы в слухи.
> Именно напоминание: вы можете, конечно, распространять эти патчи, но помните, мы, разумеется, можем (без объяснения причины) не продлевать договор.Да и зачем не продлевать? Таким клиентам-спонсорам можно просто предложить увеличить спонсирование самих Grsecurity, т.е. в несколько раз поднять цену абонемента.
Для небольших компаний сложная ценовая политика избыточна. Им обычно выгоднее и проще иметь одну цену и НЕ работать с проблемными поставщиками-клиентами.
>> Неправда. У некоторого числа старых пользователей Grsecurity по-прежнему есть доступ ко
>> всем патчам, полностью бесплатный.
> Официально они заявляют только платный доступ, публично никаких предложений и условий по
> бесплатному распространению нет.Факт остаётся фактом: бесплатный доступ к пачтам предоставляется. А кроме того, он обсуждался вполне публично в IRC. Но я не для того автора новости поправил, что бы припираться, а чтобы на примере показать, чем его работа (по сути - публичное выражение личного, по большей части однобокого и недостаточно обоснованнного мнения) отличается от настоящей журналистики, осуществляемой по более высоким стандартам.
> То что за кулисами кому-то бесплатно патчи дают
> ничего не решает, так можно сказать и про любой коммерческий продукт,
> который для ограниченного круга бесплатно по личной договорённости распространяют.Очень даже решает: в том смысле, что фактически и безоговорочно переводит в разряд ложных утверждения о безальтернативно платной доступности патчей.
> Закрытие доступа к новым патчам/исправлениям и беспочвенные обвинения в тупом копировании
> - это разве не препятствия?Вы разве автор новости? Вопрос адресован к нему. Мнения, схожие с вашим, я слышал неоднократно и не вижу смысла в очередной раз спорить с ними.
> На сайте CII так не считают, KSPP в списке грантов https://www.coreinfrastructure.org/grants
Я вам говорю о том, как дело по большему счёту обстоит на самом деле, а не на бумаге. Да, CII участвует в качестве спонсора, но доля его участия мизерна. Можете сами почитать список рассылки kernel-hardening, собрать список основных контрибуторов и поинтересоваться, кто их работодатель (это не сложно: у одних он указан в подписях, другие пишут с почты в корпоративных доменах, или всё вместе).
> В тексте соглашения http://perens.com/wp-content/uploads/2017/06/grsecstablepatc...
> написано:
> "If the User has received pricing for the stable patches on a specific product, use
> of the patches on additional products without the consent of the Company will
> result in termination of access to future updates of grsecurity stable patches
> and changelogs."Это не является ограничением на распространение кода на условиях GPL. Думаю, сам Перенс был бы удивлён тем, какую часть текста вы выбрали для цитирования в качестве довода.
Более релевантны предыдущие два абзаца:
The User has all rights and obligations granted by grsecurity's software license,
version 2 of the GNU GPL. These rights and obligations are listed at
http://www.gnu.org/licenses/old-licenses/gpl-2.0.en.html
(http://www.gnu.org/licenses/old-licenses/gpl-2.0.en.html).Notwithstanding these rights and obligations, the User acknowledges that
redistribution of the provided stable patches or changelogs outside of the explicit
obligations under the GPL to User's customers will result in termination of access
to future updates of grsecurity stable patches and changelogs.Обратите внимание: "outside of the explicit obligations under the GPL" - то есть, соблюдение GPL предписано прямым текстом, и всё прочее относится к случаям, которые не затрагиваются условиями GPL. Перенс это обстоятельство в свових рассуждениях полностью игнорирует.
И приняв это во внимание (!), читаем дальше:
If the User has received pricing for the stable patches on a specific product, use
of the patches on additional products without the consent of the Company will
result in termination of access to future updates of grsecurity stable patches
and changelogs.И снова речь о доступе к будущим патчам. К тому же, все эти положения отражают сугубо существующее положение дел, не налагая на клиента никаких дополнительных ограничений и обязательств: а именно то, что OSS, Inc., как и любая другая компания, имеет конкретное законное право (никак не ограниченное GPL, опять же) самостоятельно решать, с кем и на каком основании вести или не вести дела.
>> Нет запрещающего условия. Есть уведомительная оговорка, что в случае явных и постоянных
>> утечек патчей конкретно в руки KSPP или некоторых участников Linux Foundation,
>> которые как раз-таки в прошлом угрожали проекту дорогостоящими судебными тяжбами, разработчики
>> Grsecurity оставляют за собой право на то, чтобы не продлять контракт
>> на поставку последующих патчей.
> По вашему это не ограничение? Какие могут быть утечки, если код под
> GPL, это легитимная передача кода.По-моему - нет. Точно так же, как пользователь может легально передать код, осуществив своё право, закреплённое за ним условиями GPL, OSS, Inc. в свою очередь может не менее легально в частном порядке принять решение о том, продолжать или не продолжать вести бизнес с данным конкретным клиентом. Это объективно существующее положение дел и введенем дополнительных ограничений не является.
Было бы неплохо, если бы вы объяснили на пальцах, как говорится, почему _вы_ считаете это именно дополнительным ограничением, а не отражением существующего законного положения дел.
В любом случае, вы сейчас выражаете мнение по несколько иному вопросу, нежели Перенс, который говорит о другом: что якобы клиенты Grsecurity могут нарушать условия GPL, если будут следовать условиям контракта с OSS, Inc.
>> Брюс Перенс высказал своё как советника (но не юриста) мнение о якобы
>> существующих ограничениях, о которых тоже где-то что-то слышал от третьих лиц.
> Bruce Perens специализируется на юридических консультациях, не одну собаку съел в делах
> о нарушении GPL, рассматривает конкретный документ, на который у него указана
> ссылка, и достаточно авторитетен в вопросах лицензирования.Attorney (законным представителем) он не является и юридических консультаций (legal advise) тем не менее не оказывает. Кроме того, в Штатах прецедентное право, и на прецедент он также не ссылается. Как я и сказал, это всего лишь мнение, пусть и с чьей-то точки зрения авторитетное. На документ - да, ссылается, это я упустил из виду. Но при этом он вольно трактует этот документ и не даёт обоснований, почему и в каком конкретно правовом смысле осуществление законных прав со стороны OSS, Inc., является penalty.
С моей личной точки зрения, это не экспертное мнение, а просто FUD, который ни на что большее при таком уровне качества анализа претендовать не может.
> Возможно юристы были не совсем профессиональные. Bruce Perens же специализируется на делах
> о нарушении GPL.Может быть и были не совсем профессиональные. А может быть наоборот. В любом случае, точка зрения, согласно которой разработчики Grsecurity просто самодурствуют, подводя себя под легальные риски - по крайней мере наивна.
> Факт остаётся фактом: бесплатный доступ к пачтам предоставляется. А кроме того, он
> обсуждался вполне публично в IRC.В IRC и бесплатный Windows обсуждается, и что? Официально не предоставляется, значит все это ничем не подтверждённая болтовня. Ссылку на лог переписки хоть бы кинули.
> Я вам говорю о том, как дело по большему счёту обстоит на
> самом деле, а не на бумаге. Да, CII участвует в качествеЭто ваше однобокое мнение и больше смахивает на паранойю и теории заговоров.
> спонсора, но доля его участия мизерна. Можете сами почитать список рассылки
> kernel-hardening, собрать список основных контрибуторов и поинтересоваться, кто их работодатель
> (это не сложно: у одних он указан в подписях, другие пишут
> с почты в корпоративных доменах, или всё вместе).И при чём здесь email работодателя, они же не рабы. Типичный ложный вывод.
> случаям, которые не затрагиваются условиями GPL. Перенс это обстоятельство в свових
> рассуждениях полностью игнорирует.Не может быть никаких иных условий в случае grsec, не может. Это производный от ядра продукт, на этом строятся все доводы.
> как и любая другая компания, имеет конкретное законное право (никак не
> ограниченное GPL, опять же) самостоятельно решать, с кем и на каком
> основании вести или не вести дела.Не имеет она права решать за ядро Linux, а патчи grsec являются произвольным продуктом. Вся полемика сводится к тому произвольный продукт или отдельный. Если производный - никаких иных условий, если отдельный - делай что хочешь. Критерии производности очень подробно разобраны в деле против VMware.
> Перенс, который говорит о другом: что якобы клиенты Grsecurity могут нарушать
> условия GPL, если будут следовать условиям контракта с OSS, Inc.Ну это следствие ограничений, вызванное особенностями отзыва GPL.
>> Факт остаётся фактом: бесплатный доступ к пачтам предоставляется. А кроме того, он
>> обсуждался вполне публично в IRC.
> В IRC и бесплатный Windows обсуждается, и что?И ничего. К делу это не относится. Бесплатный Windows опровергяется так же легко, как подтверждается бесплатное предоставление патчей Grseucrity: путём обращения непосредственно к авторам.
Вы тут уже в позу успели встать, я посмотрю, но вы забываете или просто не понимаете некоторые очевидные вещи:
1. Что ваши неписаные правила ведения диалога в комментах не применимы к журналистике, у которой есть свои стандарты, вполне писаные. И что если новость написана не по стандартам и является аналитикой, т.е. изложением субъективного взгляда на ситуацию, то на это вполне уместно указать в критической форме. Автор новости как минимум мог бы принять это к сведению, а ещё лучше - дать себе труд обратиться за комментариями, проверить информацию и поправить текст новости. Возможно, для опеннета как в существенной мере краудсорсинг-ресурса это нетипично, но ответственный человек именно так бы и поступил.
2. Что изначально я обращался не к вам, а к автору новости, который может и в некотором смысле должен быть заинтересован в соблюдении в первую очередь стандартов журналистики, а не каких-то других.
> Официально не предоставляется, значит
> все это ничем не подтверждённая болтовня. Ссылку на лог переписки хоть
> бы кинули.Если бы меня попросили по-человечески, то и лог бы предоставил. Но тут собрались то ли невоспитанные школьники, то ли инфантильные грубияны, которые встревают в разговор и ведут себя так, будто кто-то им что-то должен.
>> Я вам говорю о том, как дело по большему счёту обстоит на
>> самом деле, а не на бумаге. Да, CII участвует в качестве
> Это ваше однобокое мнение и больше смахивает на паранойю и теории заговоров.Это моё "однобокое мнение" подтверждается статистикой авторства коммитов и легко проверяется, опять же, обращением к самим контрибуторам.
> И при чём здесь email работодателя, они же не рабы. Типичный ложный
> вывод.Ложный он лишь гипотетически и сделан по гораздо более высоким стандартам, чем ваши выводы (прчитали на сайте CII малосодержательный абзацик текста - приписали CII некую ключевую роль в KSPP) и вывода автора новости. Кроме того, у меня есть и другие источники информации: в первую очередь - личное общение с некоторыми основными участниками проекта, во вторую - публичные обсуждения данной и смежной тем в списках рассылки. Взял бы на себя ответственность при написании новости - дал бы ссылки.
>> случаям, которые не затрагиваются условиями GPL. Перенс это обстоятельство в свових
>> рассуждениях полностью игнорирует.
> Не может быть никаких иных условий в случае grsec, не может. Это
> производный от ядра продукт, на этом строятся все доводы.Это производный от ядра продукт, лицензия на который не затрагивает и уж тем более не переопределяет все правовые аспекты на свете. Точно так же, как в случае с Tivo и Red Hat: некоторые действия могут противоречить "духу" GPL и СПО, но вполне легальны или, во всяком случае,
до сих пор не признаны судом неправомерными.>> как и любая другая компания, имеет конкретное законное право (никак не
>> ограниченное GPL, опять же) самостоятельно решать, с кем и на каком
>> основании вести или не вести дела.
> Не имеет она права решать за ядро Linux, а патчи grsec являютсяУзнаю вас, уважаемый, по почерку. ;) Я вам про Фому, вы мне про Ерёму.
> произвольным продуктом. Вся полемика сводится к тому произвольный продукт или отдельный.
У вас в голове, может быть, оно и так. Чья полемика, с кем? Ваша полемика со мной в комментах на опеннете? :) Сами разработчики Grsecurity признают и никогда не отрицали, что их патч - это производный продукт.
> Если производный - никаких иных условий, если отдельный - делай что
> хочешь. Критерии производности очень подробно разобраны в деле против VMware.Никаких иных условий - это мантра, которую вы повторяете, как попугай, и которая в силу бессодержательности ни с буквой закона, ни с положениями GPL не имеет ничего общего.
>> Перенс, который говорит о другом: что якобы клиенты Grsecurity могут нарушать
>> условия GPL, если будут следовать условиям контракта с OSS, Inc.
> Ну это следствие ограничений, вызванное особенностями отзыва GPL.Ещё раз: вы ссылаетесь на Перенса, но пытаетесь доказать совершенно другие утверждения.
> И ничего. К делу это не относится. Бесплатный Windows опровергяется так же
> легко, как подтверждается бесплатное предоставление патчей Grseucrity: путём обращения
> непосредственно к авторам.И те и те по личной договорённости закулисно бесплатно предоставляют продукт, в чём разница? Для Windows можно даже накопать кому, а вот кому что бесплатно предоставляет до сих держится в тайне. Gentoo по крайней мере точно никто не давал, хотя следовало в первую очередь.
> Если бы меня попросили по-человечески, то и лог бы предоставил. Но тут
> собрались то ли невоспитанные школьники, то ли инфантильные грубияны, которые встревают
> в разговор и ведут себя так, будто кто-то им что-то должен.Вот вот, пустая болтовня и никаких подтверждённых ссылками фактов, только ищите повод чтобы оправдать их отсутствие.
> Это моё "однобокое мнение" подтверждается статистикой авторства коммитов и легко проверяется,
> опять же, обращением к самим контрибуторам.Ссылку на статистику и корреляцию с тем кто оплатил.
> - личное общение с некоторыми основными участниками проекта, во вторую -
> публичные обсуждения данной и смежной тем в списках рассылки. Взял бы
> на себя ответственность при написании новости - дал бы ссылки.Кроме голословных выпадов я лично ничего не нашёл. Там хорошо прошлись по багам при портировании, но не более. Вы же ссылки на "правильные" сообщения держите в тайне.
> И те и те по личной договорённости закулисно бесплатно предоставляют продукт, в
> чём разница?Разница, наверное, всё-таки есть и существенная. Но дело в другом: если Майкрософт действительно что-то кому-то предоставляет бесплатно, а кто-нибудь возьмётся утверждать обратное, то он будет фактически неправ, аналогично автору данной новости.
> Для Windows можно даже накопать кому, а вот кому что бесплатно предоставляет до сих держится в тайне.
Кем и от кого держится в тайне? Вы, что ли, спрашивали, но вам не рассказали?
> Gentoo по крайней мере точно никто не давал, хотя следовало в первую очередь.
И какой был бы в этом смысл, принимая во внимание цели закрытия публичного доступа к патчам? Глупости не говорите.
> Вот вот, пустая болтовня и никаких подтверждённых ссылками фактов, только ищите повод
> чтобы оправдать их отсутствие.Повторяйте это почаще, для большей убедительности. И скипайте неудобные вам куски текста при ответе на мои комментарии - ведь этого никто не заметит, даже я. ;)
И где, собственно, ваш анализ? Да вообще хоть что-нибудь? Где хотя бы список работ, которые были выполнены на гранты CII? Ещё раз: кроме малосодержательного абзаца на сайте CII и домыслов на его основе у вас нет абсолютно ничего.
Я вам указал на публичные ресурсы, где при желании и минимальном усердии такую статистику можно собрать самостоятельно.
> Ссылку на статистику и корреляцию с тем кто оплатил.
А с ложечки вас не покормить?
> Кроме голословных выпадов я лично ничего не нашёл.
Так вы и не спрашивали никого, и читали невнимательно.
http://openwall.com/lists/kernel-hardening/2017/05/11/2 - особенно вот эти выпады. Они оказались настолько голословными, что ответ Кука просто камня на камне от них не оставил:
http://openwall.com/lists/kernel-hardening/2017/05/11/9> Там хорошо прошлись по багам при портировании, но не более.
А чего вы ожидали? Что на ваши запросы кто-то заранее ответит и представит статистику в готовом виде?
> Вы же ссылки на "правильные" сообщения держите в тайне.
Да с какой стати я пойду для вас ссылки-то искать, уважаемый? Вы вежливо попросили? Искренне интересуетесь, хотите разобраться в ситуации? Может быть, хотя бы воздержались от инсинуаций и клеветы в чужой адрес? Я с вами даже разговор не начинал - вы (или вам подобный аноним) влезли с ответом на мой комментарий, адресованный автору новости.
> Да с какой стати я пойду для вас ссылки-то искать, уважаемый?Короче вы слились полностью, ссылок и фактов я так и не увидел. Все утверждения оказались выдумкой.
> Короче вы слились полностью, ссылок и фактов я так и не увидел.
> Все утверждения оказались выдумкой.Мои утверждения основаны на анализе фактов, который я выполняю лично для себя, и который при желании и некотором усердии может быть воспроизведён практически кем угодно - все данные и источники доступны. Вы можете сколько угодно тяфкать в комментах на опеннете, а прав останусь я.
И выпадами в духе "слив защитан" вы меня не задените, поскольку среди людей, кто в курсе ситуации, никаких разногласий и споров по поводу состава и принадлежности основных участников KSPP нет. Можете представить, какой вес в свете этого осбтоятельства для меня имеет ваше и ему подобные мнения. ;)
Единственное, что у меня остаётся после таких разговоров - это некоторое чувство брезгливости. Но даже в этом ваша заслуга мизерна.
Буду благодарен вам за ссылки на упоминание предоставления бесплатного доступа к патчам и другие уточнения на ваше усмотрение (со ссылками). Меня также интересует ссылка на упоминание утечки новых патчей и их использования в KSPP, я помню что где-то встречалось обсуждение в kernel-hardering или oss-sec, но найти не смог.
> Буду благодарен вам за ссылки на упоминание предоставления бесплатного доступа к патчам
> и другие уточнения на ваше усмотрение (со ссылками).Ссылок на веб-ресурсы, на сколько мне известно, не существует, поскольку тема обсуждалась только в IRC и затем в личной переписке с Брэдом (отдельными пользователями, которые попросили бесплатный доступ к патчам). Но на OFTC есть канал #pax, где этих пользователей можно найти и опросить (я один из них).
Почему на это стоит обратить внимание: бесплатный доступ к патчам получили люди, многих или даже большинство из которых разработчики Grsecurity не знают ни лично, ни даже достаточно хорошо заочно. Со стороны последних это было добровольным проявлением порядочности, чтобы смягчить последствия закрытия поубличного доступа к патчам хотя бы для небольшой группы пользователей. Вследстве чего риски утечек патчей для проекта увеличились, а выгоды это не принесло никакой (собственно, она и не преследовалась).
Но невзирая на эти и аналогичные шаги в прошлом (некоторые пользователи также получили доступ к стабильным версиям патчей практически сразу после закрытия публичного доступа к ним в 2015 году), а также на то, что патчи были полностью бесплатно доступны в течение многих лет, на разработчиков Grsecurity сыпятся инсинуации и прямые обвинения в сугубой шкурности интересов и "попытках помешать работе KSPP". Насколько эти обвинения справедливы и обоснованны?
> Меня также интересует ссылка на упоминание утечки новых патчей и их использования в KSPP,
> я помню что где-то встречалось обсуждение в kernel-hardering или oss-sec, но
> найти не смог.Я тоже не смог, но не уверен, что такое упоминение было.
Поменял формулировку на "...прекратил публичное распространение своих патчей из-за несогласия с деятельностью проекта KSPP...", убрал про обиду и добавил ссылки на http://seclists.org/oss-sec/2017/q2/583 и http://openwall.com/lists/kernel-hardening/2017/05/11/2Можно ещё дописать про то, что некоторым пользователям патчи предоставляются бесплатно, но я не уверен, что это действует для новых пользователей, по крайней мере не ясны критерии бесплатного предоставления патчей. Поэтому вообще убрал про платный характер патчей.
> Поменял формулировку на "...прекратил публичное распространение своих патчей из-за несогласия
> с деятельностью проекта KSPP...", убрал про обиду и добавил ссылки на
> http://seclists.org/oss-sec/2017/q2/583 и http://openwall.com/lists/kernel-hardening/2017/05/11/2Спасибо. Почему-то не все изменения отображаются. Ждут прохождение премодерации?
> Можно ещё дописать про то, что некоторым пользователям патчи предоставляются бесплатно,
> но я не уверен, что это действует для новых пользователей, поДля новых пользователей действительно не действует.
Заметил ещё одно несоответствие.
> Дошло до того, что представители Grsecurity стали угрожать судебным иском из-за нарушений
> требований атрибуции (упоминание автора при копировании кода), а также добавили
> дополнительное условие, запрещающее клиентам передавать патчи третьим лицам под угрозой
> разрыва договора.Данное условие было "добавлено" (можно спорить, является ли оно дополнительным, или только отражает существующее легальное положение вещей, но сейчас суть не в этом) в 2015 году, когда публичный доступ к _стабильной_ версии патчей был закрыт по совершенно другим причинам. И Перенс комментирует именно Stable Patch Access Agreement от февраля прошлого года.
Из несогласия с действиями KSPP был закрыт доступ к _тестовым_ версиям патчей (те, что теперь называются beta), которые как раз содержат исправления для более актуальных версий ядра и потому являются своего рода источником "бесплатных исправлений" для кода, портируемого из grsec в рамках KSPP.
К слову об утечках. Тестовые версии патчей не позиционируются как коммерческий продукт и поставляются либо клиентам "в довесок" к стабильным версиям патчей, либо бесплатно некоторым старым пользователям. В обоих случаях - без цифровых подписей, в отличие от стабильных патчей. Как раз для того, чтобы предотвратить аутентичные утечки - Брэд это подтвердил, но к сожалению только в личной переписке. Косвенным подтверждением служит "заглушка" вместо ссылки на файл с подписью для beta-патча на https://grsecurity.net/download.php
Если кому-то действительно интересно (ха-ха) разбираться в ситуации...https://lists.dyne.org/lurker/message/20170703.174047.e535eb... - последнее разъяснение от Перенса по его позиции, которое мне удалось найти:
It's getting the time sequence right that makes the difference. An
expectation that the business will be damaged by Grsecurity shutting off
their service, in consequence of exercise of their GPL right to
redistribute, exists *before *the act of distribution. It took me a while
to get that right.It would be much harder to prove if they hadn't warned people and made this
policy known to many people, and if they just incidentally disconnected a
customer after a single act of distribution without the context to show
that it was a known policy of the company.If this actually got to court, it would be necessary to depose people about
the policy in order to show that customers knew in advance. But I'm pretty
confident that Grsecurity would be found in violation.Недостаточно убедительно, как по мне. Вот оппонирующая точка зрения от Rick Moen (высказана ранее процитированного выше, но всё ещё применима в своём качестве, кмк):
https://lists.dyne.org/lurker/message/20170628.052217.cbc6b5...В частности:
> > The key bit is your sentence 'GPL version 2 section 6 explicitly
>[оверквотинг удален]
>
> OK. I just read it again:
>
> 6. Each time you redistribute the Program (or any work based on the
> Program), the recipient automatically receives a license from the
> original licensor to copy, distribute or modify the Program subject to
> these terms and conditions. You may not impose any further restrictions
> on the recipients' exercise of the rights granted herein.
>
> And your theory of this not applying is?Simply that Spengler and friends have not imposed any further
restriction on the recipients' exercise of the rights granted therein.Hypothetically, it is claimed that they have suggested that they will
terminate the support contract of any customer who exercises that right.
If true, their doing so would not prevent or impede the customer
exercising the rights granted to them by the upstream coders (as applied
to the grsecurity/PaX patchsets).Рекомендую прочитать письмо по ссылке до конца.
>[оверквотинг удален]...скриптом размещения коммента. Ключевые части текста не пострадали.
Переделал текст про добавление дополнительного условия и добавил примечание по мотивам сообщения Rick Moen.
> и добавил ссылки на
> http://seclists.org/oss-sec/2017/q2/583 и http://openwall.com/lists/kernel-hardening/2017/05/11/2Я правильно понял, что эти изменения не прошли премодерацию? Не знаете, по какой причине они отсутствуют в новости? Я на новостей не пишу и с процедурами не знаком.
> Я правильно понял, что эти изменения не прошли премодерацию? Не знаете, по
> какой причине они отсутствуют в новости? Я на новостей не пишу
> и с процедурами не знаком.Почему отсутствуют, всё есть. Ссылки стоят на словах "достаточно разнообразные" в абзаце про мотивы.
Вы новость просматривайте через страницу http://www.opennet.me/opennews/art.shtml?num=46828 ?
> Вы новость просматривайте через страницу http://www.opennet.me/opennews/art.shtml?num=46828
> ?Ага, вот в чём дело было. Просматривал через форум. Благодарю.
К слову, заголовок новости не вполне корректен и желтоват: Grsecurity нарушает лицензию GPL в своих попытках остановить перенос кода в ядро LinuxВо-первых, нарушение GPL пока что никем и ничем не подтверждено - есть только мнения. Во-вторых, "в своих попытках остановить перенос кода" - насколько корректна такая характеристика для блокирования бесплатного доступа к свежим результатам своей работы?
> от обиды из-за обхода в финансировании (вместо основного проекта Linux Foundation и Core Infrastructure Initiative выделили грант KSPP)
Тоже, уместны ли такие формулировки в контексте новостей? Ведь никакими ссылками факт обиды не подтверждается, а звучит как инсинуация.
> В свою очередь, Линус Торвальдс в свойственной ему манере эмоционально посоветовал
> (https://www.spinics.net/lists/kernel/msg2540934.html) &...не связываться с Grsecurity и
> раскритиковал качество патчей и их подход к разработке, который оправдывает любые
> нарушения прежнего поведения целесообразностью повышения безопасности.Кстати, хорошо бы добавить хотя бы ссылку на коментарий Брэда:
http://seclists.org/oss-sec/2017/q2/583> Yes Linus, our patches are such garbage the KSPP can't manage to do anything
> other than copy+paste from them, and you're slowly merging them (along
> with our registered copyrights). How do our table scraps taste?
> BTW, we're happy to go toe-to-toe with you here in public on actual facts
> instead of pathetic ad hominems.И последовавшее за этим обсжудение тоже может оказаться интересным для читателей, как мне кажется.
Ещё добавлю, что если бы речь шла о самодостаточном продукте, проблем бы не было, поставляют под двойной лицензией и поставляют. Но суть в том, что Grsecurity набор патчей к ядру, т.е. производный от ядра продукт и налагая дополнительные условия к нему, по сути ограничивают условия распространения ядра, что недопустимо.
Вы используете неверное ошибочное определение термина "производный продукт" и поэтому ошибаетесь.
> Вы используете неверное ошибочное определение термина "производный продукт" и поэтому
> ошибаетесь.Скорее наоборот. В новости есть ссылка на экспертизу от Bruce Perens, который солидарен с мнением, что Grsecurity производный продукт:
"It is a derivative work of the Linux kernel which touches the kernel internals in many different places. It is inseparable from Linux and can not work without it. it would fail a fair-use test (obviously, ask offline if you don’t understand). Because of its strongly derivative nature of the kernel, it must be under the GPL version 2 license, or a license compatible with the GPL and with terms no more restrictive than the GPL."
Bruce Perens профессиональный юрист, специализирующийся на лицензионном и авторском праве? Или он ноль в юриспруденции, но мнение имеет?Уточнили бы для начала...
> Вижу, аналитика уровня LWN добралась иЯ бы попросил. Ты свои камменты с уважаемым ресурсом не равняй.
Такую жёлтую пену LWN публикует недели челез две (ладно, в примере ниже - 8 дней), когда пыль, пена, адреналин уже осядут, и можно говорить _спокойно_.
Пример:
Grsecurity goes private
[Kernel] Posted May 4, 2017 22:46 UTC (Thu) by corbetOn April 26, the grsecurity project announced that it was [...] --https://lwn.net/Articles/721848/rss
>> Вижу, аналитика уровня LWN добралась и
> Я бы попросил. Ты свои камменты с уважаемым ресурсом не равняй.Мои комменты, уважаемый собеседник, указывают на факты, которые "уважаемый ресурс" стабильно не удосуживается ни выяснять, ни проверять. Кроме того, LWN при освещении ситуации вокруг Grsecurity лишь транслирует однобокое мнение, практически полностью совпадающиее с мнением одной из сторон конфликтной ситуации. Это не журналистика, это аналитика. По определению. И цена ей - такая же, как вашим вульгарным тыканиям. :)
> Мои комменты, уважаемый собеседник, указывают на фактыНикаких фактов у вас нет, одни домысли и сплетни, со ссылками на пустую болтовню в IRC, которую не проверить и не подтвердить. Хотя бы на списки рассылки сослались бы, в которых разработчики grsec уже не так языком молют и все ваши факты почему-то умалчиваются, так как их быстро опровергнут.
> Никаких фактов у вас нет, одни домысли и сплетни, со ссылками на пустую болтовню в IRC, которую не проверить и не подтвердить.Факт бесплатного предоставления патчей проверяется посредством обращения к разработчикам Grsecurity и, опционально, к самим пользователям, получающим патчи бесплатно. Так работает журналистика, уважаемый. А не по вашим двойным школьным стандартнам. ;)
> ваши факты почему-то умалчиваются, так как их быстро опровергнут.
Какие конкретно факты умалчиваются?
> репутационных рисков (из-за некорректного переноса исправлений, введения ограничений для совместимости и переработок для соблюдения требований ядра реализация перенесённых в основное ядро технологий Grsecurity содержит ошибки и проблемы с безопасностью, которых нет в оригинальных патчах, что приводит к созданию половинчатых решений и создаёт лишь видимость повышения безопасности).И они правы. По-моему, надо просто запретить использование название "Grsecurity" в продукте с их патчами. Вон Мозилла сколько лет не давала пользоваться именами Огнелис да Громоптица, и ничего Дебиан пережили и даже дожили до примирения. А теперь им надо было бы просто заменить суффикс "-grsecurity", на какой-нибудь "-haibez".
> В свою очередь, Линус Торвальдс в свойственной ему манере посоветовал не связываться с Grsecurity и раскритиковал их подход к разработке, который оправдывает любые нарушения прежнего поведения целесообразностью повышения безопасности.Утрирую: давайте будем и дальше на запрос пароля по Esc заходить под стандартным пользователем!
Если какое-то поведение удобное, но небезопасное, от него стоит срочно избавляться, а всё остальное потом.
> стал препятствовать работе проекта KSPP (Kernel Self Protection Project), занимающегося переносом в основное ядро Linux
> Core Infrastructure Initiative выделили грант KSPP)Ну нормально. Апстрим должен работать по фану, а зарабатывать должны другие.
>> стал препятствовать работе проекта KSPP (Kernel Self Protection Project), занимающегося переносом в основное ядро Linux
>> Core Infrastructure Initiative выделили грант KSPP)
> Ну нормально. Апстрим должен работать по фану, а зарабатывать должны другие.Так же было и с ТруЪКриптом (вспомнилось из-за соседней новости).
Для аудита кода сторонними экспертами, за пару месяцев собрали бóльшую сумму (70 000$), чем (вроде бы -- припоминаю косвенные упоминания о максимум паре тысяч $ в год) авторы проекта за все время донатами.
Медиа-шумиха приносит больше дохода, чем сложная инженерная работа. Таков мир.
> нежелания разбивать продукт на части (Grsecurity рассматривается как взаимосвязанное единое целое)После появления так называемого Oracle Linux, Red Hat тоже решили прекратить разбивать свои исправления на удобные патчи, а публиковать свалку.
при этом за денюжку - можно получить доступ к разбиению.. Но в паблике свалка.
> После появления так называемого Oracle Linux, Red Hat тоже решили прекратить разбивать
> свои исправления на удобные патчиэто ладно - понятное решение, самому редхату оно нафиг не надо - они, естественно, работают в собственной системе контроля версий, где ни ветки, ни id ни разу не совпадают с vanilla (что можно - и так отправляется в апстрим, стандартным путем, поштучно), выковыривать патчи по одному в правильной последовательности - ненужный ручной труд, да еще его результаты норовит спереть оракл, проще вывалить патч-сет одним файлом, и gpl не нарушена, вроде как, и пользы никому от него никакой (как, собственно, и от паблик-патчей grsec'а, пока они были).
Вы мне другое скажите - а хде енто у нас нынче паблик-репо srpm'ов этого самого редхата?
А нигде. С момента прикармливания centos, удалены даже те ошметья, что еще были доступны. Да, патчи всасываются в центось - но это как бы ни разу не исходники самого rhel (не говоря уже о том, что это намеренно делается с опозданием, часто на несколько суток).И ничего, никакой вони от Линуса. Он же не будет кусать кормящую его руку, правильно? ;-)
> Вы мне другое скажите - а хде енто у нас нынче паблик-репо
> srpm'ов этого самого редхата?Взрослых позови - они ткнут тебе пальцем.
> Взрослых позови - они ткнут тебе пальцем.малыш, надеяться на взрослых - в общем-то дурная привычка. Сам-то ты, походу, не в курсе?
Вот конкретно из свеженького: httpd-2.2.15-60.el6_9.4.src.rpm
иде оно? Гугль находит аж три ссылки. Все три не содержат на самом деле искомого архива (это копипасты редхатовского анонса, где вместо ссылок - предложение почитать статью как правильно платить денег)Только вот не надо мне возмущенных постингов через три дня - этот апдейт вышел вчера. Для редхата, разумеется, вышел. Для centos будет послезавтра или позже (они и critical-то держат по паре суток).
И прежде чем постить ссылку из закладок десятилетней давности - тоже не забудьте по ней перейти - вас ждет приятный сюрпризец.
> Вот конкретно из свеженького: httpd-2.2.15-60.el6_9.4.src.rpmНапугали, всё как и раньше на своих местах:
http://ftp.redhat.com/redhat/linux/enterprise/6Server/en/os/.../
httpd-2.2.15-60.el6_9.4.src.rpm 07-Jul-2017 07:07 6.5M
Для RHEL 7 офиуиально предлагается грузить с https://git.centos.org/project/rpms
Для httpd там (https://git.centos.org/summary/?r=rpms/httpd24-httpd.git) сейчас httpd24-httpd-2.4.25-9.el7
> Напугали, всё как и раньше на своих местахда, протормозил - это ж шестерочный апдейт, а там пока все еще по-старому (поскольку 6.0 была еще задолго до добровольного слияния в экстазе). В центосных репо, что характерно, хрен ночевал.
А речь именно про вот это:
> Для RHEL 7 офиуиально предлагается грузить с https://git.centos.org/project/rpms
- и где там, спрашивается, оригиналы src.rpm от rhel ? ;-) Такой вот вам gpl, ага (формального-то нарушения нет)
>> Для RHEL 7 офиуиально предлагается грузить с https://git.centos.org/project/rpms
> - и где там, спрашивается, оригиналы src.rpm от rhel ? ;-)
> Такой вот вам gpl, ага (формального-то нарушения нет)ну что ты прям с козырей.. предлагается верить на слово шапке что пакеты в ее репозитории и centos одинаковы.
В каких дистрибутивах (известных и не очень) есть изкоробочные версии с Grsecurity, кроме общеивестного Hardened Gentoo? (который уже похоже ВСЁ)Debian, Арч?
> В каких дистрибутивах (известных и не очень) есть изкоробочные версии с Grsecurity,
> кроме общеивестного Hardened Gentoo?ни в каких, за полной бессмысленностью - именно потому и понадобился _отдельный_ haredened gentoo, что grsec это не только патч к ведру, это еще и патченный компилятор и прочее по мелочи, которыми под это ведро пересобрано _все_.
в общем, забейте - для дома-для-семьи оно в целом и не нужно, лучше просто держать ведро и userland посвежее, для промышленного использования...э... у вас до сих пор нет своей бидлфермы? Тогда вам рано.
Я вот очень слабо представляю, что меня могло бы сподвигнуть на (правильное, не в виде полумер) внедрение grsecrurity в масштабах (хотя бы) подразделения. Даже если предположить что кто-то готов мне оплатить поддержку.
> ни в каких, за полной бессмысленностью - именно потому и понадобился _отдельный_
> haredened gentoo, что grsec это не только патч к ведру, это
> еще и патченный компилятор и прочее по мелочи, которыми под это
> ведро пересобрано _все_.Сложностей при использовании Grsecurity в наши дни - минимум. Что на сервере, что на десктопе. И все они давно документированы. Более того, практически все аспекты настраивается либо на этапе сборки ядра, либо в любое время (PaX-флаги для приложений). Если что-то мешает, это можно не включать или отключить.
Компилятор везде уже давно как не патченный, а стоковый. Ядро собирается им же - что в генте, что в убунте. Пересборка юзерленда - это _опция_ для получения полной рандомизации страниц с кодом самого исполняемого файла (PIE) и защиты GOT/PLT от записи (BIND_NOW), которые работают и на обычных ядрах (есть нюансы, но суть в том, что это уже не экзотика и не специфика Grsecurity). В Hardened Gentoo можно включить дополнительные меры при сборке, вроде SSP и FORTIFY_SOURCE, но к Grsecurity это уже не относится никак.
И в Арче был пакет с grsec-ядром до недавнего времени, и в Alpine оно есть до сих пор (неофициальный порт), и в Subgraph на базе дебиана были и пока что есть (4.9-unofficial_grsec), на сколько я знаю.
Короче говоря, у страха глаза велики. :)
Подскажите пожалуйста ресурсы на русском где обсуждается практическое использование Grsecurity дома и на работе, и какой из дистрибутивов с Grsecurity вы бы порекомендовали для начинающего "параноика", исходя из своего опыта.
> Подскажите пожалуйста ресурсы на русском где обсуждается практическое использование Grsecurity
> дома и на работеНа русском припоминаю только статьи на хабре лет 6-8 назад. Без базового знания английского будет тяжко, если дело в этом.
> и какой из дистрибутивов с Grsecurity вы
> бы порекомендовали для начинающего "параноика", исходя из своего опыта.Любой на основе Debian, желательно без systemd. Например, Devuan или Ubuntu с upstart-sysv. Можно попробовать Subgraph OS или Alpine (последний больше подходит для серверов), но сам ими не пользуюсь, поэтому рекомендовать не могу.
Исходники Grsecurity можно брать на гитхабе (ожидается, что будут доступны примерно в течение пары лет; дальше перспективы неясны):
https://github.com/minipli/linux-unofficial_grsec - неофициальная версия, сопровождаемая Матиасом Краузе. Человек вполне надёжный, да и из альтернатив на данный момент существует только неофициальный порт в Alpine.
Им же по человечески ответили. Копипастите наши патчи тогда не затирайте наш копирайт и атворов. Или на Linux Kernel не распространяется и они особенные?