forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Выпуск системы изоляции приложений Firejail 0.9.62, opennews (??), 30-Дек-19, (0) [смотреть все]

Вроде бы и ничего, но suid-ная программа напрягает как-то , Аноним (1), 10:40 , 30-Дек-19, (1) +1 //

Bubblewrap тогда , Аноним (3), 11:32 , 30-Дек-19, (3) //

к нему уже нормальный туториал появился Я честно пытался настроить сабж для это, Аноним (-), 14:17 , 31-Дек-19, (53) //

Bubbllewrap достаточно канительный в этом плане При том by design Поэтому с юз, Аноним (-), 20:34 , 31-Дек-19, (62)

Можно попробовать снять SUID и настроить полномочия с помощью CAPABILITIES , Аноним (4), 11:36 , 30-Дек-19, (4) //

Боюсь, что тут нужен CAP_SYS_ADMIN, что эквивалентно руту Причём, если euid про, Аноним (8), 12:28 , 30-Дек-19, (8) +3

Во-первых, можно разрешить запуск firejail только определенными пользователями , Аноним (23), 15:04 , 30-Дек-19, (23)
Ну так для того что он делает повышенные права нужны Если любой пользователь см, Аноним (-), 02:38 , 31-Дек-19, (39) +1

При очень большом желании, пробовали , Annoynymous (ok), 10:58 , 30-Дек-19, (2) //

Это как сразу два презeрватива натягивать 8212 в том же докере изоляция через, Аноним (8), 12:26 , 30-Дек-19, (6) //

Более того, если использовать Podman, вместо докера, то можно его исполозовать в, Аноним (-), 13:03 , 30-Дек-19, (11) //

Не будет По той простой причине, что для настройки действительно эффективных ме, Аноним (8), 13:58 , 30-Дек-19, (14) +1

Сильно отличается от jail в freebsd , Аноним (5), 11:43 , 30-Дек-19, (5) //

да, например - отсутствием линуксатора, хотя в iOS его тоже нет а вообще, BSD-ja, Аноним (7), 12:28 , 30-Дек-19, (7) //

Идея запихивания в джейл линукса врядли сильно востребована Как забавный курьёз, abi (?), 17:01 , 30-Дек-19, (29) //

Но иногда имеет место быть bhyve издержки все-таки повыше , bOOster (ok), 08:12 , 31-Дек-19, (48)

Черт знает, но конкретно сабж удобнее всего для запихивания отдельных апликух в , Аноним (-), 02:43 , 31-Дек-19, (40) –1 //

SYSCALLS в пользовательских приложениях это дрянной стиль программирования котор, bOOster (ok), 08:21 , 31-Дек-19, (49) –6 //

Ага, то есть ваши приложения не делают open , read , write , malloc , free , Аноним (8), 12:54 , 31-Дек-19, (52) +1

Ты че иди от Каким образом эти операции относяться к SYSCAL open,read,write эт, bOOster (ok), 15:22 , 01-Янв-20, (72) –3

Взоржал Ну и каша у вас в голове Сразу видно настоящего компьютерного эксперта, Аноним (8), 18:58 , 01-Янв-20, (74)

Документация по Linux будет последней на что я буду обращать внимание , bOOster (ok), 23:56 , 01-Янв-20, (75) –1

Естественно, вы же не претендуете на звание программиста , Аноним (8), 14:34 , 02-Янв-20, (76)

Конечно, и первым делом я посмотрю исходные тексты той-же например read Внезапн, bOOster (ok), 17:54 , 02-Янв-20, (77)

Ну я знаю И чего Сишники, для начала, из сей сисколы дергают На совсем уж гол, Аноним (-), 09:02 , 08-Янв-20, (81)

А я то думал из стана стандарта POSIX, под который Linux и мимикрирует с точки з, Аноним (-), 15:47 , 31-Дек-19, (54)

SYSCALL, POSIX, IOCTL 8212 какая разница Главное, сказать, что Линукс 8212, Аноним (8), 16:59 , 31-Дек-19, (59)
gt оверквотинг удален Posix враппер read может быть оперативно подменен другой, bOOster (ok), 15:26 , 01-Янв-20, (73) –2

Подменять враппер - прерогатива троянцев руткитов да может IDS Ну еще для тести, Аноним (-), 08:54 , 08-Янв-20, (79)

gt оверквотинг удален Да как раз наоборот Именно из-за этой паршивой тенденци, bOOster (ok), 10:56 , 03-Янв-20, (78)

Пруф Что там под чем собирается - вообще второй вопрос Возможно, разработчики п, Аноним (-), 08:59 , 08-Янв-20, (80)

Раньше запускал в нем фф, но часто приходилось какие-то правила дописывать, т к , yu (??), 12:51 , 30-Дек-19, (9)
Нужно, пользуюсь для сетевых приложух и всякой проприетари, Fracta1L (ok), 12:52 , 30-Дек-19, (10) +1 //

О, почти то, чего спрашивал Сетевые приложухи это что , user90 (?), 13:49 , 30-Дек-19, (13) //

Приложения лезущие в сеть, очевидно Отпилить их в отдельный контейнер, если не , Аноним (-), 02:44 , 31-Дек-19, (41)

А оно реально надо Или это для проприетарщины Вопросы, вопросы , user90 (?), 13:48 , 30-Дек-19, (12) +1 //

Как Вы предполагаете, зачем оно, Аноним (15), 14:05 , 30-Дек-19, (15) +1 //

А с недоверенным драйвером ты чо будешь делать , user90 (?), 14:18 , 30-Дек-19, (17) //

C недоверенным телефоном с проприетарными чипами без свободных дров вообще, зало, Аноним (20), 14:45 , 30-Дек-19, (20) +4

Не буду доверять ему важных данных Если пойду грабить банк 8212 оставлю теле, Аноним (8), 00:20 , 31-Дек-19, (38)

А моя бабушка обманывает любой DRM Просто наводит фотик на экран - и DRM пролет, Аноним (-), 15:53 , 31-Дек-19, (55) –1

То и другое Первый пример - собственно файрфокс, для изоляции которого эту соф, Crazy Alex (ok), 14:45 , 30-Дек-19, (21) //

Воу-воу, полехче Сам же понимаешь, в чем тут лажа Режешь жс первым делом ах н, user90 (?), 14:55 , 30-Дек-19, (22) –2 //

Firefox в виртуалке, drTrue (?), 15:18 , 30-Дек-19, (25)
Со скайпом - в чём лажа Если в том, что скайповладелец сейчас это Майкрософт, , CrazyAlex (?), 18:57 , 30-Дек-19, (30)

В чем лажа Ты же помнишь наверно, если возраст позволяет, уж извини что из се, user90 (?), 19:07 , 30-Дек-19, (31)

Ну помню, лез везде где мог, поэтому и огораживали Возраст позволяет - И что , CrazyAlex (?), 19:30 , 30-Дек-19, (32)

Ты ему доступ к камере и микрофону скормил - и какие гарантии что он ими пользуе, Аноним (63), 20:39 , 31-Дек-19, (63)

Баги бывают и в открытом софте В том числе и проблемы безопасности И будет оче, Аноним (42), 02:47 , 31-Дек-19, (42)

Если у меня selinux в enforcing, мне не нужно такое , Аноим (?), 14:13 , 30-Дек-19, (16)
Вкратце нужно ненужно , Аноним (-), 14:41 , 30-Дек-19, (18) //

Да , мудрый КАА (?), 15:06 , 30-Дек-19, (24) +11
Программа, имеющая suid 8212 потенциальная дыра , Сейд (ok), 19:44 , 30-Дек-19, (33) //

С другой стороны, он в основном действует при запуске программы - а потом его пр, Аноним (42), 02:49 , 31-Дек-19, (43) //

https www opennet ru opennews art shtml num 45824, Сейд (ok), 12:52 , 31-Дек-19, (51)

Если уж мы об этом, то между нами, есть пара нюансов 1 nix вообще и стандарты , Аноним (-), 16:01 , 31-Дек-19, (56) +1

policycoreutils-sandboxhttps github com SELinuxProject selinux, Сейд (ok), 21:00 , 31-Дек-19, (65)

Не, спасибо, это счастье вы как-нибудь себе оставьте Мне этого code Build depe, Аноним (-), 21:46 , 31-Дек-19, (66)

Такая точка зрения в корне не верна, SELinux намного проще и удобнее в использов, Сейд (ok), 23:10 , 31-Дек-19, (67)

Во первых, я просто не буду использовать УГ где для просто операций с политиками, Аноним (68), 23:52 , 31-Дек-19, (68)

Мы говорим про Firejail, а не контейнеры , Сейд (ok), 00:17 , 01-Янв-20, (69)

Firejail наполовину об контейнерах и есть Он умеет собирать например отдельную , Аноним (-), 01:16 , 01-Янв-20, (70) +1

А с его помощью можно запрещать или разрешать привязку процесса к определённым п, Сейд (ok), 10:53 , 01-Янв-20, (71)
Мне проще оперировать иным уровнем абстракций отправить процесс в собственный н, Аноним (-), 09:09 , 08-Янв-20, (82)

Скрыто модератором, bOOster (ok), 14:45 , 30-Дек-19, (19) –2 //

Скрыто модератором, Аноним (27), 16:27 , 30-Дек-19, (27)
Скрыто модератором, Аноним (7), 16:37 , 30-Дек-19, (28) //

Скрыто модератором, Анонимко (?), 20:12 , 30-Дек-19, (34) +1 //

Скрыто модератором, Аноним (8), 00:17 , 31-Дек-19, (37)

Скрыто модератором, bOOster (ok), 08:08 , 31-Дек-19, (47)

Скрыто модератором, Аноним (42), 02:50 , 31-Дек-19, (44) //

Скрыто модератором, bOOster (ok), 08:02 , 31-Дек-19, (46) +1

Неудобная штука Изоляция файловой системы сделана на основе чёрных списков, чт, Аноним (26), 15:21 , 30-Дек-19, (26) –4 //

Наоборот - для большинства типовых прог есть готовые профайлы, так что вообще ни, Аноним (-), 16:05 , 31-Дек-19, (57)

а где смые главные - logind, gdm3, Xwayland, , Аноним (35), 22:21 , 30-Дек-19, (35) //

И так урезан по самые гланды DeviceAllow char- dev console rwDeviceAllow char-dr, Аноним (8), 00:13 , 31-Дек-19, (36) //

У Поттеринга вообще можно поучиться всякие стремные сервисы правильно изолироват, Аноним (42), 02:51 , 31-Дек-19, (45) //

Это противоречит юниксовой философии Инит не должен заниматься ограничением пра, Аноним (8), 12:52 , 31-Дек-19, (50) –4

И я должен в каждый контейнер класть SUID бинарники при формировании контейнера , Аноним (-), 16:07 , 31-Дек-19, (58)

Какие контейнеры, родной В юниксах 30 лет назад не было никаких контейнеров Со, Аноним (8), 17:01 , 31-Дек-19, (60)

Какой софт, родной 100 лет назад никакого софта не было Пользоваться надо конв, Аноним (-), 20:27 , 31-Дек-19, (61)

Какой конвейер, родной 1000 лет назад не было двигателей, так что айда кирпичи , Аноним (63), 20:42 , 31-Дек-19, (64)

Можно ли через firejail наоборот, разрешить firefox-у доступ к mozilla, к кот, Ilya Indigo (ok), 01:14 , 05-Ноя-20, (83)

Сообщения [Сортировка по времени | RSS]

33. "Выпуск системы изоляции приложений Firejail 0.9.62" +/–

Сообщение от Сейд (ok), 30-Дек-19, 19:44

Программа, имеющая suid — потенциальная дыра.

Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

43. "Выпуск системы изоляции приложений Firejail 0.9.62" +/–

Сообщение от Аноним (42), 31-Дек-19, 02:49

С другой стороны, он в основном действует при запуске программы - а потом его прошибить ... можно в основном теоретически. А вот программа - заизолирована и если прошибут ее, то урон может быть минимизирован.

Ответить | Правка | Наверх | Cообщить модератору

51. "Выпуск системы изоляции приложений Firejail 0.9.62" +/–

Сообщение от Сейд (ok), 31-Дек-19, 12:52

https://www.opennet.ru/opennews/art.shtml?num=45824

Ответить | Правка | Наверх | Cообщить модератору

56. "Выпуск системы изоляции приложений Firejail 0.9.62" +1 +/–

Сообщение от Аноним (-), 31-Дек-19, 16:01

Если уж мы об этом, то между нами, есть пара нюансов:
1) *nix вообще и стандарты posix в частности вообще не создавались в допущении активной агрессии со стороны пользователей - на момент появления основ этого самого реалии были другими.
2) Это верно и для реализации пространств имен и всего такого. Чтобы это было правильно, надо было вколотить такое требование еще на уровне прикидок архитектуры ядра! Но хорошая мысля всем приходит опосля. И в реально существующих и используемых ядрах это было прикручено к уже существующим конструкциям на изоленту и спички. Что конечно же добавило багов на стыках технологий.
Однако постепенно спички и изолента заменится на что-то более потребное, глюки отловят и странные взаимодействия - пролечат. А таки без повышенных привилегий не удастся нормально сконфигурить новое окружение. Потому что если вдруг удастся - так, стоп, это что, все бесправные пользователи смогут систему переконфигурять на уроане рута? Так это ж еще большая дыра.

Ответить | Правка | Наверх | Cообщить модератору

65. "Выпуск системы изоляции приложений Firejail 0.9.62" +/–

Сообщение от Сейд (ok), 31-Дек-19, 21:00

policycoreutils-sandbox
https://github.com/SELinuxProject/selinux

Ответить | Правка | Наверх | Cообщить модератору

66. "Выпуск системы изоляции приложений Firejail 0.9.62" +/–

Сообщение от Аноним (-), 31-Дек-19, 21:46

> policycoreutils-sandbox
> https://github.com/SELinuxProject/selinux
Не, спасибо, это счастье вы как-нибудь себе оставьте. Мне этого:

Build dependencies on Fedora:
yum install audit-libs-devel bison bzip2-devel dbus-devel dbus-glib-devel flex flex-devel flex-static glib2-devel libcap-devel libcap-ng-devel pam-devel pcre-devel python3-devel python3-setools swig xmlto redhat-rpm-config

...достаточно чтобы не подходить к этому калу на пушечный выстрел! Не говоря о том что политики SELinux - та еще камасутра. Если в сабже что-то не сработает - я это починю. Если же лыжи не поедут с SELinux - упс. Всерьез в этом копаться можно только будучи клерком в NSA, которому за это оклад платят.

Ответить | Правка | Наверх | Cообщить модератору

67. "Выпуск системы изоляции приложений Firejail 0.9.62" +/–

Сообщение от Сейд (ok), 31-Дек-19, 23:10

Такая точка зрения в корне не верна, SELinux намного проще и удобнее в использовании, чем это кажется на первый взгляд.

Ответить | Правка | Наверх | Cообщить модератору

68. "Выпуск системы изоляции приложений Firejail 0.9.62" +/–

Сообщение от Аноним (68), 31-Дек-19, 23:52

> Такая точка зрения в корне не верна, SELinux намного проще и удобнее
> в использовании, чем это кажется на первый взгляд.
Во первых, я просто не буду использовать УГ где для просто операций с политиками надо какие-то пихоны, XML и прочий мегаэнтерпрайзный крап.
Во вторых, пофтыкав на эти политики, а также аппармор я пришел к выводу: контейнеры и виртуалки достигают такой же или даже более прочный результат с МНОГОКРАТНО МЕНЬШЕЙ ДОЛБОТНЕЙ.
У контейнеров и vm есть большой плюс: они не рушат секурити-модель *никс. Они просто создают новое окружение, где будет то что я хочу вывесить программе, и не бита больше. А эта штука - некий оверлэй. Оценить эффективный набор доступов может быть довольно трудно и не наглядно. У конкретно NSA регламенты есть, так что у них выбора не было. Но я - не NSA, поэтому могу положить на их регламенты мандатного контроля.

Ответить | Правка | Наверх | Cообщить модератору

69. "Выпуск системы изоляции приложений Firejail 0.9.62" +/–

Сообщение от Сейд (ok), 01-Янв-20, 00:17

Мы говорим про Firejail, а не контейнеры.

Ответить | Правка | Наверх | Cообщить модератору

70. "Выпуск системы изоляции приложений Firejail 0.9.62" +1 +/–

Сообщение от Аноним (-), 01-Янв-20, 01:16

> Мы говорим про Firejail, а не контейнеры.
Firejail наполовину об контейнерах и есть. Он умеет собирать например отдельную сеть в отдельном namespace, менять область видимости ФС и все такое. Довольно похоже по смыслу. Ну и он как-то не требует пихонов, XML и проч. Мне нравятся простые приятные тулсы без оверинженерии ради хз чего.

Ответить | Правка | Наверх | Cообщить модератору

71. "Выпуск системы изоляции приложений Firejail 0.9.62" +/–

Сообщение от Сейд (ok), 01-Янв-20, 10:53

А с его помощью можно запрещать или разрешать привязку процесса к определённым портам?

Ответить | Правка | Наверх | Cообщить модератору

82. "Выпуск системы изоляции приложений Firejail 0.9.62" +/–

Сообщение от Аноним (-), 08-Янв-20, 09:09

> А с его помощью можно запрещать или разрешать привязку процесса к определённым портам?
Мне проще оперировать иным уровнем абстракций: отправить процесс в собственный неймспейс и там пусть хоть обпривязывается к любым портам, если хочет. Это не означает что он сможет создать хосту какие-то проблемы или получить доступ хоть куда-то. Это отдельная сеточка с отдельной конфигурацией и портами. Доступ наружу может быть, может не быть, может быть не такой как у хоста, ... по вкусу в общем.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	33. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Сейд (ok), 30-Дек-19, 19:44
	Программа, имеющая suid — потенциальная дыра.
	Ответить \| Правка \| К родителю #18 \| Наверх \| Cообщить модератору


	43. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Аноним (42), 31-Дек-19, 02:49
	С другой стороны, он в основном действует при запуске программы - а потом его прошибить ... можно в основном теоретически. А вот программа - заизолирована и если прошибут ее, то урон может быть минимизирован.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	51. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Сейд (ok), 31-Дек-19, 12:52
	https://www.opennet.ru/opennews/art.shtml?num=45824
	Ответить \| Правка \| Наверх \| Cообщить модератору


	56. "Выпуск системы изоляции приложений Firejail 0.9.62"	+1 +/–
	Сообщение от Аноним (-), 31-Дек-19, 16:01
	Если уж мы об этом, то между нами, есть пара нюансов: 1) *nix вообще и стандарты posix в частности вообще не создавались в допущении активной агрессии со стороны пользователей - на момент появления основ этого самого реалии были другими. 2) Это верно и для реализации пространств имен и всего такого. Чтобы это было правильно, надо было вколотить такое требование еще на уровне прикидок архитектуры ядра! Но хорошая мысля всем приходит опосля. И в реально существующих и используемых ядрах это было прикручено к уже существующим конструкциям на изоленту и спички. Что конечно же добавило багов на стыках технологий. Однако постепенно спички и изолента заменится на что-то более потребное, глюки отловят и странные взаимодействия - пролечат. А таки без повышенных привилегий не удастся нормально сконфигурить новое окружение. Потому что если вдруг удастся - так, стоп, это что, все бесправные пользователи смогут систему переконфигурять на уроане рута? Так это ж еще большая дыра.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	65. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Сейд (ok), 31-Дек-19, 21:00
	policycoreutils-sandbox https://github.com/SELinuxProject/selinux
	Ответить \| Правка \| Наверх \| Cообщить модератору


	66. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Аноним (-), 31-Дек-19, 21:46
	> policycoreutils-sandbox > https://github.com/SELinuxProject/selinux Не, спасибо, это счастье вы как-нибудь себе оставьте. Мне этого: Build dependencies on Fedora: yum install audit-libs-devel bison bzip2-devel dbus-devel dbus-glib-devel flex flex-devel flex-static glib2-devel libcap-devel libcap-ng-devel pam-devel pcre-devel python3-devel python3-setools swig xmlto redhat-rpm-config ...достаточно чтобы не подходить к этому калу на пушечный выстрел! Не говоря о том что политики SELinux - та еще камасутра. Если в сабже что-то не сработает - я это починю. Если же лыжи не поедут с SELinux - упс. Всерьез в этом копаться можно только будучи клерком в NSA, которому за это оклад платят.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	67. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Сейд (ok), 31-Дек-19, 23:10
	Такая точка зрения в корне не верна, SELinux намного проще и удобнее в использовании, чем это кажется на первый взгляд.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	68. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Аноним (68), 31-Дек-19, 23:52
	> Такая точка зрения в корне не верна, SELinux намного проще и удобнее > в использовании, чем это кажется на первый взгляд. Во первых, я просто не буду использовать УГ где для просто операций с политиками надо какие-то пихоны, XML и прочий мегаэнтерпрайзный крап. Во вторых, пофтыкав на эти политики, а также аппармор я пришел к выводу: контейнеры и виртуалки достигают такой же или даже более прочный результат с МНОГОКРАТНО МЕНЬШЕЙ ДОЛБОТНЕЙ. У контейнеров и vm есть большой плюс: они не рушат секурити-модель *никс. Они просто создают новое окружение, где будет то что я хочу вывесить программе, и не бита больше. А эта штука - некий оверлэй. Оценить эффективный набор доступов может быть довольно трудно и не наглядно. У конкретно NSA регламенты есть, так что у них выбора не было. Но я - не NSA, поэтому могу положить на их регламенты мандатного контроля.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	69. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Сейд (ok), 01-Янв-20, 00:17
	Мы говорим про Firejail, а не контейнеры.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	70. "Выпуск системы изоляции приложений Firejail 0.9.62"	+1 +/–
	Сообщение от Аноним (-), 01-Янв-20, 01:16
	> Мы говорим про Firejail, а не контейнеры. Firejail наполовину об контейнерах и есть. Он умеет собирать например отдельную сеть в отдельном namespace, менять область видимости ФС и все такое. Довольно похоже по смыслу. Ну и он как-то не требует пихонов, XML и проч. Мне нравятся простые приятные тулсы без оверинженерии ради хз чего.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	71. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Сейд (ok), 01-Янв-20, 10:53
	А с его помощью можно запрещать или разрешать привязку процесса к определённым портам?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	82. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Аноним (-), 08-Янв-20, 09:09
	> А с его помощью можно запрещать или разрешать привязку процесса к определённым портам? Мне проще оперировать иным уровнем абстракций: отправить процесс в собственный неймспейс и там пусть хоть обпривязывается к любым портам, если хочет. Это не означает что он сможет создать хосту какие-то проблемы или получить доступ хоть куда-то. Это отдельная сеточка с отдельной конфигурацией и портами. Доступ наружу может быть, может не быть, может быть не такой как у хоста, ... по вкусу в общем.
	Ответить \| Правка \| Наверх \| Cообщить модератору