https://www.opennet.me/openforum/vsluhforumID3/86374.html Разработчики web-браузера Chrome рассказали (http://blog.cr0.org/2012/09/introducing-chromes-next-generation.html) о следующем поколении средств для обеспечения безопасности выполнения Chrome на платформе Linux. Начиная с вышедшей на днях экспериментальной версии Chrome 23.0.1255.0 при работе в Linux применяется расширенный режим изоляции, реализованный в виде многоуровневой системы sandbox-ов. Первый уровень защиты обеспечивает setuid-sandbox (http://code.google.com/p/setuid-sandbox/), блокирующий доступ к файловой системе, сети и сторонним процессам (процесс помещается (http://code.google.com/p/chromium/wiki/LinuxSUIDSandbox) через CLONE_NEWPID в отдельный PID namespace, выполняется chroot в пустую директорию и блокируется сеть через CLONE_NEWNET). Поверх setuid sandbox дополнительно реализован seccomp-bpf sandbox, который ограничивает доступ процесса только к системным вызовам, необходимым для выполнения штатных функций. <br><br><br>Работа seccomp-bpf sandbox базируется на интегрированной в ядро Linux 3.5 (ht https://www.opennet.me/openforum/vsluhforumID3/86374.html#57 Wed, 12 Sep 2012 11:30:56 GMT &gt; это всё равно, что у меня есть пистолет, то ПОТЕНЦИАЛЬНО я могу <br>&gt; кого-то застрелить.<br>&gt; или если у меня есть х.. то ПОТЕНЦИАЛЬНО я могу кого-то изнасиловать. <br>&gt; продолжать можно до бесконечности :) <br><br>Когда взведён курок, или "стоит", в одной бане с девками, то вероятность стремится к 1.0.<br>Пистолет в сейфе или мужик на диване приравниваются к отключенному компьютеру. :D<br> https://www.opennet.me/openforum/vsluhforumID3/86374.html#56 Wed, 12 Sep 2012 06:30:54 GMT Павлин совсем с катушек съехал. Бедняжка<br> https://www.opennet.me/openforum/vsluhforumID3/86374.html#55 Mon, 10 Sep 2012 14:59:02 GMT Проект LXC? Ну-ну<br><br>http://ru-openvz.livejournal.com/1970.html<br> https://www.opennet.me/openforum/vsluhforumID3/86374.html#54 Mon, 10 Sep 2012 13:23:37 GMT чувак недоговорил, а от того и проблемы.<br>правильное утверждение выглядит так:<br>если две задачи исполняются на одном физическом процессоре и/или на одной физической памяти, то средства защиты ПОТЕНЦИАЛЬНО могут быть взломаны и задачи могут получить данные друг друга.<br><br>это всё равно, что у меня есть пистолет, то ПОТЕНЦИАЛЬНО я могу кого-то застрелить.<br>или если у меня есть х.. то ПОТЕНЦИАЛЬНО я могу кого-то изнасиловать. продолжать можно до бесконечности :)<br> https://www.opennet.me/openforum/vsluhforumID3/86374.html#53 Mon, 10 Sep 2012 09:32:33 GMT --enable-seccomp-sandbox <br><br>не работает<br><br>Состояние песочницы<br><br>Песочница SUIDДа<br> Пространства имен PIDДа<br> Сетевые пространства именДа<br>Seccomp-legacy sandboxНет<br>Seccomp-BPF sandboxДа<br>Вы находитесь в корректной тестовой среде<br> https://www.opennet.me/openforum/vsluhforumID3/86374.html#52 Sun, 09 Sep 2012 05:28:30 GMT А чо вот взять и просто написать профиль для AppArmor уже не кошерно да?<br> https://www.opennet.me/openforum/vsluhforumID3/86374.html#51 Sun, 09 Sep 2012 04:10:26 GMT Я буду больше уверен в своей безопасности если буду использовать за место "дырявых комбайнов" uzbl или surf. <br> https://www.opennet.me/openforum/vsluhforumID3/86374.html#50 Sat, 08 Sep 2012 20:49:40 GMT &gt; Это всё сферический конь в вакууме.<br>&gt; На первые два пункта как-раз и существует операционная система и "защищённый" режим <br>&gt; процессора. Что б OS могла указывать "кому, куда и сколько" без <br>&gt; ограничений, а все прочие только в рамках указанного.<br><br>А вот появляется программа которая не хочет работать в рамках указанного.<br>Вроде алгоритм написан академиками, проверен 10-ю институтами, 20 комиссиями,<br>утвержден на пленуме ЦК КПСС,... А вот она херакс и залезла не туда и слила <br>в свое пространство, пароль от пусковой установки и заслала на gmail.com.<br> <br>А почему? А вот хрен её знает, - переполнение кэша, конфликт прерываний, <br>race condition, SMM-дыры, а засрать GTD в x86, как два байта об асфальт.<br> <br> https://www.opennet.me/openforum/vsluhforumID3/86374.html#49 Sat, 08 Sep 2012 20:33:17 GMT &gt; Угу, все поголовно работают с секреткой.<br><br>2-шаг: Угу, все поголовно работают с ДСП<br>3-шаг: Угу, всем поголовно нужно шифрофание в браузерах<br>4-шаг: Вы ещё квартиру на замок закрывайте. <br>5-шаг: Да кому ты нафиг нужен... <br>6-шаг: Нет человека - нет проблем!<br>:)<br>