>> Реальность, увы, иная. JIT используется много где, и понятно зачем.
> Желаю все оптимизировать во время компиляции под свой проц, а во время исполнения иметь гарантию неизменности кода.Это желания и только. Реальность есть реальность. Некоторые подвижки есть, но и только.
>> К слову, не каждая реализация JIT должна требовать W|X
> Исполнение ранее измеряемого кода - неприемлемо. Как и изменение прав x -> w -> x
Где так написано? А то программисты не знают и по другому программы пишут. И, цука, иногда нужные. Да, сделано из г-на, но какую-то нужную проблему решает.
>> программа сначала должна решать какую-то проблему, а потом уже быть безопасной.
> Вот это аргумент! Или прога проектируется удовлетворять элементарным требованиям безопасности, или она не будет безопасна никогда. И мне такая прога не нужна.
Как вы каменты то на опеннете оставляете, если у вас ff и chrome не работают, стесняюсь спросить?
>> Как и ОС, в которой ни ff ни chrome не запустить.
> Это не безопасные бровзеры, хотя поняв что их люди выкинули из-за JIT все дружно добавили опции 'configure --no-jit'
Окей, как вы каменты на опеннете оставляли до того, как вышла версия хрома с nojit?
>> Ты, как разработчик или пользователь ПО можешь герентировать отсутствие W|X при помощи pledge. Убивать приложение при нарушении W^X будет именно ядро
> Мое ядро все что только попросит память в режимеиwx прибивает сразу.
Выглядит так, как будто бы ты этим гордишься, хотя на самом деле, не стоило бы. В общем-то, сломать переключалку в mprotect не очень большая наука, студенты должны справиться.
Понятно, что проще всего объявить неугодное бескомпромиссно непримелемым и чуть что раздавать kill -9. Это самое очевидное и топорное решение.
Но смысл оно имеет только при условии, что есть доступная альтернатива тому ПО, которое не запустится. А это не так -> для включения по-умолчанию в ОС общего назначения это неприемлемо.
>> Их (гарантий) нет и в PAX. Можно отключить защиту как глобально, так и per app.
> У тебя нет, а у меня есть, возможность глобально отключить PAX требует перезагрузки, но я эту опцию в настройках ядра не включил.
Бессмысленная софистика. Принципиальная возможность - есть. Это абсолютно всё, что нужно знать.
А что там кто-то для себя наколхозил - не интересно.
> По приложениям можно менять или заглавие ELF или xattr
Не все хотят при каждом обновлении прописывать все флаги ручками, обычно это автоматизируется. Есть даже костыледемон paxd для этих целей. Т.е. можно ещё поколдовать со скриптами автоматизации или конфигами paxd. А не в лоб.
> А у меня / смонтирован ro и ядро недаст его перемонтировать rw, потому что мое ядро следит чтобы диски тоже в режиме rw,exec не монтировались. А кроме того есть IMA которая заблокирует изменения ELF и есть EVM которая заблокирует изменения IMA и xattr. У меня есть 100% гарантия.
Плохо, что ты думаешь, что у тебя 100% гарантия. Может это и так (я не знаю), но недоверие - это хорошо.
>> Во-первых, при наличии удобного, ранее отсутствовавшего инструмента - почему нет?
> Во-вторых, ты можешь попатчить нужное сам, как это пока опенбсдшники и делают для ff, например.
Опенбсдшники не патчили ff на предмет неиспользования jit. Ну, я про такое не слышал. Pledge туда добавили, да, и unveil.
