forum.opennet.ru

"В OpenBSD предложен новый системный вызов unveil() для изоля..."

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Присылайте удачные настройки в раздел примеров файлов конфигурации на WIKI.opennet.ru.

. "В OpenBSD предложен новый системный вызов unveil() для изоля..."	+/–
Сообщение от Crazy Alex (ok), 30-Июл-18, 19:15
Вообще-то это называется "API" и "information hiding". Приложение должно знать то, что оно само делает. Как именно работают используемые им сервисы, оно знать и не должно. В том числе и куда они лезут - это уровень системы.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

В OpenBSD предложен новый системный вызов unveil() для изоля..., opennews, 29-Июл-18, 09:04 [смотреть все]

А если открыт допуск на запуск bin sh , - что еще надо подлому коту Леопольду , Аноняшка, 29-Июл-18, 09:04 (1) //
- Как и sudo на запуск любого контекста, Аноним, 29-Июл-18, 09:15 (4) //
  - Можно и не любого Как настроишь, так и будет , Catwoolfii, 29-Июл-18, 09:31 (5)
  - ну-ну , Аноним, 29-Июл-18, 18:28 (28)
- В принципе, в сочетании с pledge можно как раз очень сильно ограничить возможно, Аноним, 29-Июл-18, 11:53 (10)
- Сам по себе bin sh не много умеет , Аноним, 31-Июл-18, 00:59 (59) //
  - Всего лишь запускать произвольные программы и открывать произвольные файлы, угу , PereresusNeVlezaetBuggy, 31-Июл-18, 13:21 (62)
AppArmor в бинарнике сотворили , Аноним, 29-Июл-18, 09:06 (2) //
- Тоже такая мысль сразу возникла , Аноним, 29-Июл-18, 16:30 (24)
Странно ограничивать приложение из него самого Еще и окажется, что надо исходни, Аноним, 29-Июл-18, 09:15 (3) //
- Разработчикам стоит просто выпилить поддержку OpenBSD для решения проблемы , Аноним, 29-Июл-18, 09:35 (6) //
  - Разработчикам чего Решению какой именно проблемы Боюсь, выпиливание поддержки , Аноним, 29-Июл-18, 12:53 (19)
  - Леннарт, залогиньтесь , Аноним, 19-Ноя-19, 10:59 (67)
- Наоборот, только приложение автор приложения знает какие доступы ему нужны А , anonymous, 29-Июл-18, 11:02 (7) //
  - Ну да, и автор тоже великолепно знает, куда я хочу положить данные , Prototik, 29-Июл-18, 11:33 (9) //
    - А что, у нас open уже мысли научился читать Так или иначе белый путь приложение, anonymous, 29-Июл-18, 12:07 (13)
      - C Program Files Program name Temp, Аноним, 29-Июл-18, 15:12 (20)
        
        Я могу тоже написать любой путь Какая мысль скрыта за ним То что на системе по, anonymous, 29-Июл-18, 15:17 (21)
    - Конечно знает Хардкоденные пути он и так знает Нехардкоденные - прочитает из к, Аноним, 19-Ноя-19, 11:01 (68)
  - Более того, именно само приложение знает, когда привилегии перестают быть нужны , Аноним, 29-Июл-18, 11:58 (11)
  - Я автор софта для наложения смешных эффектов на фотки Моему приложению нужен до, Аноним, 29-Июл-18, 12:23 (14) //
    - Вам лучше так и оставаться на прикладном уровне и пользоваться android sdk Огра, anonymous, 29-Июл-18, 12:31 (15)
      - man sarcasm, .., 29-Июл-18, 18:17 (27)
    - GPS, биометрический сенсор и доступ к фитнес-трекеру забыл , Аноним, 19-Ноя-19, 11:02 (69)
- Очевидное применение , - ограничивать любой интерпретатор , aknor, 29-Июл-18, 12:33 (16)
- Странно не слышать ни разу о добровольном сбросе привилегий на случай уязвимос, Аноним, 29-Июл-18, 12:39 (17) //
  - Чувак, я ничерта не понял из того что ты сказал, но ты заговорил и достучался до, Аноним, 30-Июл-18, 00:54 (45)
- Если приложение может прочитать путь из конфига, оно его и будет вайтлистить, не, Аноним, 29-Июл-18, 19:57 (31)
- unveil 8212 это защита от ситуаций, когда порядочная программа взламывается и, PereresusNeVlezaetBuggy, 29-Июл-18, 20:47 (35)
Это аналог firejailOpenBSD 1, Alex, 29-Июл-18, 11:21 (8) //
- Нет, это не аналог firejail Приезжайте на LVEE, расскажу подробнее , Аноним, 29-Июл-18, 12:00 (12)
- firejail и используемый там seccomp на бумаге гибче, но на практике абсолютно , Аноним, 30-Июл-18, 03:43 (50)
Я в начале подумал, что системный вызов назвали unevil, Аноним, 29-Июл-18, 12:42 (18) //
- Это обыгрывалось, да, только уже не помню, кем , PereresusNeVlezaetBuggy, 29-Июл-18, 15:24 (22)
когда хотели изобрести SELinux, но не догадались вынести список файлов в отдельн, Аноним, 29-Июл-18, 16:06 (23) //
- Когда лапчато-перепончатые не в курсе, но гордо задранную гузку после высказыван, Аноним, 29-Июл-18, 17:02 (25)
- Когда кто-то хотел сумничать, но громко напузырял Пути сцеплены с логикой прило, anonymous, 29-Июл-18, 18:00 (26) //
  - Что в SELinux костыльного Реализация в ядре, гибкая настройка всего и всея в юз, Аноним, 29-Июл-18, 19:27 (29) //
    - чувааак тут недавно нет бсд 8 вышла с тем же pkgsrc не нравится опенка , adaww, 29-Июл-18, 19:45 (30)
    - Все Потому что написание правил selinux заслуженно считается крайне трудоемким , Аноним, 29-Июл-18, 20:38 (32)
      - Верно Как раз для Chrome уже давно реализована песочница на базе pledge , тепе, PereresusNeVlezaetBuggy, 29-Июл-18, 20:54 (36)
        
        В лялихе не через pledge, там seccomp , Аноним, 29-Июл-18, 20:55 (37)
        
        Угу К SECCOMP ещё несколько лет назад была масса вопросов вроде возможности от, PereresusNeVlezaetBuggy, 29-Июл-18, 21:07 (38)
        
        Насчет отыграть не в курсе 8212 можно ссылку , Аноним, 29-Июл-18, 21:28 (40)
        
        PR_SET_NO_NEW_PRIVS появился в 3 5 только, если я правильно разобрался , PereresusNeVlezaetBuggy, 30-Июл-18, 01:29 (46)
        
        Если я правильно понял описание, то это для того, чтобы потомки не могли делать , A. Stahl Is Gay, 31-Июл-18, 13:04 (60)
        
        И это тоже, так как в seccomp, насколько помню, привилегии просто наследуются В, PereresusNeVlezaetBuggy, 31-Июл-18, 13:25 (63)
    - В OpenBSD механизмы ограничения системных вызовов были тогда, когда на Linux не , PereresusNeVlezaetBuggy, 29-Июл-18, 20:43 (34)
      - RSBAC, позволяющий ограничить все что угодно в линухе, появился в 2000 году В т, Аноним, 05-Авг-18, 23:50 (65)
        
        1 171 Появился 187 он в виде патча, а не в mainline ядре Напомните, когда , PereresusNeVlezaetBuggy, 06-Авг-18, 02:22 (66)
    - Я сам линуксоид, но SELinux - переусложненная хрeнь, которая, мягко говоря, не у, Аноним, 29-Июл-18, 22:48 (42)
      - Не знают и не могут знать man pamman nss, Аноним, 30-Июл-18, 00:24 (44)
        
        А это как раз много 171 хорошего 187 говорит об архитектуре PAM и NSS Когда , PereresusNeVlezaetBuggy, 30-Июл-18, 01:32 (47)
        
        Вообще-то это называется API и information hiding Приложение должно знать т , Crazy Alex, 30-Июл-18, 19:15 (55)
        
        Это было бы information hiding, если бы таковые форки, открытие файловых дескрип, PereresusNeVlezaetBuggy, 30-Июл-18, 19:42 (57)
        
        Ты бы ещё LD_PRELOAD вспомнил, Аноним, 30-Июл-18, 03:00 (49)
    - И маленький ньюанс Для ускорения всего и вся занесли чать Самбы в ядро ну чтоб , КО, 30-Июл-18, 10:16 (53)
  - SELinux -- это не костыльный вариант Это классический корпоративный оверинжинир, Ordu, 30-Июл-18, 04:11 (51) //
    - Который при этом так же классчиески работает в корпоративных системах, не привяз, Crazy Alex, 30-Июл-18, 19:17 (56)
      - Да-да, я о том же Корпоративный оверинжиниринг, попытка решить 200 проблем одн, Ordu, 30-Июл-18, 22:04 (58)
- 1 SELinux появился куда позднее, скажем, systrace 8212 который в OpenBSD уже, PereresusNeVlezaetBuggy, 29-Июл-18, 20:41 (33) //
  - и тут я немного наврал хотя systrace был добавлен в OpenBSD в 2002 году, а , PereresusNeVlezaetBuggy, 29-Июл-18, 21:21 (39)
А ограничения наследуются дочерними процессами , Ordu, 29-Июл-18, 22:24 (41) //
- Тоже задался таким вопросом Можно было бы написать шелл-враппер для старта прог, антончик, 30-Июл-18, 00:13 (43) //
  - Получается с unveil нужно еще системное приложение писать, для программ которые , Аноним, 30-Июл-18, 06:48 (52) //
    - Написать можно, но смысл теряется немалая часть путей при типовом использовании, PereresusNeVlezaetBuggy, 30-Июл-18, 13:07 (54)
- Для pledge это определяется вторым аргументом, он позволяет задать ограничения и, PereresusNeVlezaetBuggy, 30-Июл-18, 01:36 (48)
подпишусь ка я , Урри, 31-Июл-18, 13:14 (61)
Тео видимо на тяжелые наркотики с пива перешел , Daemon, 01-Авг-18, 23:25 (64)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру