Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Выпуск системы изоляции приложений Firejail 0.9.62, opennews (??), 30-Дек-19, (0) [смотреть все] Вроде бы и ничего, но suid-ная программа напрягает как-то , Аноним (1), 10:40 , 30-Дек-19, (1) +1 // Bubblewrap тогда , Аноним (3), 11:32 , 30-Дек-19, (3) // к нему уже нормальный туториал появился Я честно пытался настроить сабж для это, Аноним (-), 14:17 , 31-Дек-19, (53) // Bubbllewrap достаточно канительный в этом плане При том by design Поэтому с юз, Аноним (-), 20:34 , 31-Дек-19, (62) Можно попробовать снять SUID и настроить полномочия с помощью CAPABILITIES , Аноним (4), 11:36 , 30-Дек-19, (4) // Боюсь, что тут нужен CAP_SYS_ADMIN, что эквивалентно руту Причём, если euid про, Аноним (8), 12:28 , 30-Дек-19, (8) +3 Во-первых, можно разрешить запуск firejail только определенными пользователями , Аноним (23), 15:04 , 30-Дек-19, (23) Ну так для того что он делает повышенные права нужны Если любой пользователь см, Аноним (-), 02:38 , 31-Дек-19, (39) +1 При очень большом желании, пробовали , Annoynymous (ok), 10:58 , 30-Дек-19, (2) // Это как сразу два презeрватива натягивать 8212 в том же докере изоляция через, Аноним (8), 12:26 , 30-Дек-19, (6) // Более того, если использовать Podman, вместо докера, то можно его исполозовать в, Аноним (-), 13:03 , 30-Дек-19, (11) // Не будет По той простой причине, что для настройки действительно эффективных ме, Аноним (8), 13:58 , 30-Дек-19, (14) +1 Сильно отличается от jail в freebsd , Аноним (5), 11:43 , 30-Дек-19, (5) // да, например - отсутствием линуксатора, хотя в iOS его тоже нет а вообще, BSD-ja, Аноним (7), 12:28 , 30-Дек-19, (7) // Идея запихивания в джейл линукса врядли сильно востребована Как забавный курьёз, abi (?), 17:01 , 30-Дек-19, (29) // Но иногда имеет место быть bhyve издержки все-таки повыше , bOOster (ok), 08:12 , 31-Дек-19, (48) Черт знает, но конкретно сабж удобнее всего для запихивания отдельных апликух в , Аноним (-), 02:43 , 31-Дек-19, (40) –1 // SYSCALLS в пользовательских приложениях это дрянной стиль программирования котор, bOOster (ok), 08:21 , 31-Дек-19, (49) –6   // Ага, то есть ваши приложения не делают open , read , write , malloc , free , Аноним (8), 12:54 , 31-Дек-19, (52) +1   Ты че иди от Каким образом эти операции относяться к SYSCAL open,read,write эт, bOOster (ok), 15:22 , 01-Янв-20, (72) –3   Взоржал Ну и каша у вас в голове Сразу видно настоящего компьютерного эксперта, Аноним (8), 18:58 , 01-Янв-20, (74)   Документация по Linux будет последней на что я буду обращать внимание , bOOster (ok), 23:56 , 01-Янв-20, (75) –1   Естественно, вы же не претендуете на звание программиста , Аноним (8), 14:34 , 02-Янв-20, (76)   Конечно, и первым делом я посмотрю исходные тексты той-же например read Внезапн, bOOster (ok), 17:54 , 02-Янв-20, (77)   Ну я знаю И чего Сишники, для начала, из сей сисколы дергают На совсем уж гол, Аноним (-), 09:02 , 08-Янв-20, (81)   А я то думал из стана стандарта POSIX, под который Linux и мимикрирует с точки з, Аноним (-), 15:47 , 31-Дек-19, (54)   SYSCALL, POSIX, IOCTL 8212 какая разница Главное, сказать, что Линукс 8212, Аноним (8), 16:59 , 31-Дек-19, (59)   gt оверквотинг удален Posix враппер read может быть оперативно подменен другой, bOOster (ok), 15:26 , 01-Янв-20, (73) –2   Подменять враппер - прерогатива троянцев руткитов да может IDS Ну еще для тести, Аноним (-), 08:54 , 08-Янв-20, (79)   gt оверквотинг удален Да как раз наоборот Именно из-за этой паршивой тенденци, bOOster (ok), 10:56 , 03-Янв-20, (78)   Пруф Что там под чем собирается - вообще второй вопрос Возможно, разработчики п, Аноним (-), 08:59 , 08-Янв-20, (80)   Раньше запускал в нем фф, но часто приходилось какие-то правила дописывать, т к , yu (??), 12:51 , 30-Дек-19, (9) Нужно, пользуюсь для сетевых приложух и всякой проприетари, Fracta1L (ok), 12:52 , 30-Дек-19, (10) +1 // О, почти то, чего спрашивал Сетевые приложухи это что , user90 (?), 13:49 , 30-Дек-19, (13) // Приложения лезущие в сеть, очевидно Отпилить их в отдельный контейнер, если не , Аноним (-), 02:44 , 31-Дек-19, (41) А оно реально надо Или это для проприетарщины Вопросы, вопросы , user90 (?), 13:48 , 30-Дек-19, (12) +1 // Как Вы предполагаете, зачем оно, Аноним (15), 14:05 , 30-Дек-19, (15) +1 // А с недоверенным драйвером ты чо будешь делать , user90 (?), 14:18 , 30-Дек-19, (17) // C недоверенным телефоном с проприетарными чипами без свободных дров вообще, зало, Аноним (20), 14:45 , 30-Дек-19, (20) +4 Не буду доверять ему важных данных Если пойду грабить банк 8212 оставлю теле, Аноним (8), 00:20 , 31-Дек-19, (38) А моя бабушка обманывает любой DRM Просто наводит фотик на экран - и DRM пролет, Аноним (-), 15:53 , 31-Дек-19, (55) –1 То и другое Первый пример - собственно файрфокс, для изоляции которого эту соф, Crazy Alex (ok), 14:45 , 30-Дек-19, (21) // Воу-воу, полехче Сам же понимаешь, в чем тут лажа Режешь жс первым делом ах н, user90 (?), 14:55 , 30-Дек-19, (22) –2 // Firefox в виртуалке, drTrue (?), 15:18 , 30-Дек-19, (25) Со скайпом - в чём лажа Если в том, что скайповладелец сейчас это Майкрософт, , CrazyAlex (?), 18:57 , 30-Дек-19, (30) В чем лажа Ты же помнишь наверно, если возраст позволяет, уж извини что из се, user90 (?), 19:07 , 30-Дек-19, (31) Ну помню, лез везде где мог, поэтому и огораживали Возраст позволяет - И что , CrazyAlex (?), 19:30 , 30-Дек-19, (32) Ты ему доступ к камере и микрофону скормил - и какие гарантии что он ими пользуе, Аноним (63), 20:39 , 31-Дек-19, (63) Баги бывают и в открытом софте В том числе и проблемы безопасности И будет оче, Аноним (42), 02:47 , 31-Дек-19, (42) Если у меня selinux в enforcing, мне не нужно такое , Аноим (?), 14:13 , 30-Дек-19, (16) Вкратце нужно ненужно , Аноним (-), 14:41 , 30-Дек-19, (18) // Да , мудрый КАА (?), 15:06 , 30-Дек-19, (24) +11 Программа, имеющая suid 8212 потенциальная дыра , Сейд (ok), 19:44 , 30-Дек-19, (33) // С другой стороны, он в основном действует при запуске программы - а потом его пр, Аноним (42), 02:49 , 31-Дек-19, (43) // https www opennet ru opennews art shtml num 45824, Сейд (ok), 12:52 , 31-Дек-19, (51) Если уж мы об этом, то между нами, есть пара нюансов 1 nix вообще и стандарты , Аноним (-), 16:01 , 31-Дек-19, (56) +1 policycoreutils-sandboxhttps github com SELinuxProject selinux, Сейд (ok), 21:00 , 31-Дек-19, (65) Не, спасибо, это счастье вы как-нибудь себе оставьте Мне этого code Build depe, Аноним (-), 21:46 , 31-Дек-19, (66) Такая точка зрения в корне не верна, SELinux намного проще и удобнее в использов, Сейд (ok), 23:10 , 31-Дек-19, (67) Во первых, я просто не буду использовать УГ где для просто операций с политиками, Аноним (68), 23:52 , 31-Дек-19, (68) Мы говорим про Firejail, а не контейнеры , Сейд (ok), 00:17 , 01-Янв-20, (69) Firejail наполовину об контейнерах и есть Он умеет собирать например отдельную , Аноним (-), 01:16 , 01-Янв-20, (70) +1 А с его помощью можно запрещать или разрешать привязку процесса к определённым п, Сейд (ok), 10:53 , 01-Янв-20, (71) Мне проще оперировать иным уровнем абстракций отправить процесс в собственный н, Аноним (-), 09:09 , 08-Янв-20, (82) Скрыто модератором, bOOster (ok), 14:45 , 30-Дек-19, (19) –2 // Скрыто модератором, Аноним (27), 16:27 , 30-Дек-19, (27) Скрыто модератором, Аноним (7), 16:37 , 30-Дек-19, (28) // Скрыто модератором, Анонимко (?), 20:12 , 30-Дек-19, (34) +1 // Скрыто модератором, Аноним (8), 00:17 , 31-Дек-19, (37) Скрыто модератором, bOOster (ok), 08:08 , 31-Дек-19, (47) Скрыто модератором, Аноним (42), 02:50 , 31-Дек-19, (44) // Скрыто модератором, bOOster (ok), 08:02 , 31-Дек-19, (46) +1 Неудобная штука Изоляция файловой системы сделана на основе чёрных списков, чт, Аноним (26), 15:21 , 30-Дек-19, (26) –4 // Наоборот - для большинства типовых прог есть готовые профайлы, так что вообще ни, Аноним (-), 16:05 , 31-Дек-19, (57) а где смые главные - logind, gdm3, Xwayland, , Аноним (35), 22:21 , 30-Дек-19, (35) // И так урезан по самые гланды DeviceAllow char- dev console rwDeviceAllow char-dr, Аноним (8), 00:13 , 31-Дек-19, (36) // У Поттеринга вообще можно поучиться всякие стремные сервисы правильно изолироват, Аноним (42), 02:51 , 31-Дек-19, (45) // Это противоречит юниксовой философии Инит не должен заниматься ограничением пра, Аноним (8), 12:52 , 31-Дек-19, (50) –4 И я должен в каждый контейнер класть SUID бинарники при формировании контейнера , Аноним (-), 16:07 , 31-Дек-19, (58) Какие контейнеры, родной В юниксах 30 лет назад не было никаких контейнеров Со, Аноним (8), 17:01 , 31-Дек-19, (60) Какой софт, родной 100 лет назад никакого софта не было Пользоваться надо конв, Аноним (-), 20:27 , 31-Дек-19, (61) Какой конвейер, родной 1000 лет назад не было двигателей, так что айда кирпичи , Аноним (63), 20:42 , 31-Дек-19, (64) Можно ли через firejail наоборот, разрешить firefox-у доступ к mozilla, к кот, Ilya Indigo (ok), 01:14 , 05-Ноя-20, (83) 1,2,5,9,10,12,16,18,26,35,83

Сообщения

[Сортировка по времени | RSS]

	49. "Выпуск системы изоляции приложений Firejail 0.9.62"	–6 +/–
	Сообщение от bOOster (ok), 31-Дек-19, 08:21
	>> Сильно отличается от jail в freebsd? > Черт знает, но конкретно сабж удобнее всего для запихивания отдельных апликух в > изолированные от основной системы "контейнеры". При том он неплохо работает в > том числе и для десктопных штук, без лишней возни. Вероятно, благодаря > многочисленным конфигам в дефолтной поставке, более или менее корректно прописывающие > чего кому из типовых программ реально требуется (из сисколов и проч). > А что, jail в фряхе умеет разрешать только нужные сисколы? Или > пространства имен, допустим, сети переключать? Так что сетевая конфигурация у программы > - вообще отдельная (firejail немного умеет создавать/настравать сетевые интерфейсы в контейнерах). SYSCALLS в пользовательских приложениях это дрянной стиль программирования который и пополз из стана Linux, но  хвала более квалифицированным программистам иных POSIX ОС - за пределами Linux практически не живет. Даже Андроид такой стиль не поддерживает маскируя системные вызовы библиотекой wrapperом.
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Выпуск системы изоляции приложений Firejail 0.9.62"	+1 +/–
	Сообщение от Аноним (8), 31-Дек-19, 12:54
	Ага, то есть ваши приложения не делают open(), read(), write(), malloc(), free()? Тогда вообще что они делают, если не секрет? Ах да, ничего, вы же не пишете приложения. Только рассуждаете о "дрянном стиле".
	Ответить | Правка | Наверх | Cообщить модератору

	72. "Выпуск системы изоляции приложений Firejail 0.9.62"	–3 +/–
	Сообщение от bOOster (ok), 01-Янв-20, 15:22
	> Ага, то есть ваши приложения не делают open(), read(), write(), malloc(), free()? > Тогда вообще что они делают, если не секрет? > Ах да, ничего, вы же не пишете приложения. Только рассуждаете о "дрянном > стиле". Ты че иди%от? Каким образом эти операции относяться к SYSCAL? open,read,write это врапперы, posix абстракция для ioctl - ИМЕННО КОТОРЫЙ уже работает с ядром и является SYSCALL. malloc, free это индентичные врапперы для операций выделения памяти, системный вызов  которых сильно меняется от системы к системе.   Госпади, мое первое сообщение в этой теме подтверждает что многие "программисты" линукс оиды вообще тупо не понимают что делают. Зато пишут приложения, видимо на питоне или php. ПыСы если претендуешь на звание программиста - то хоть изучай о чем говоришь. Тебе сюда - https://www.opennet.ru/docs/RUS/lkmpg/node18.html
	Ответить | Правка | Наверх | Cообщить модератору

	74. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Аноним (8), 01-Янв-20, 18:58
	> Каким образом эти операции относяться к SYSCAL? open,read,write это врапперы, posix абстракция для ioctl - ИМЕННО КОТОРЫЙ уже работает с ядром и является SYSCALL. Взоржал. Ну и каша у вас в голове! Сразу видно настоящего компьютерного эксперта. > ПыСы если претендуешь на звание программиста - то хоть изучай о чем говоришь. Ну, так как вы не претендуете, то вот по этой сслыке http://man7.org/linux/man-pages/man2/syscalls.2.html ни в коем случае не ходите. Она для тех, кого случайно занесёт в это обсуждение, на случай, если ваша глупость для них будет не очевидна.
	Ответить | Правка | Наверх | Cообщить модератору

	75. "Выпуск системы изоляции приложений Firejail 0.9.62"	–1 +/–
	Сообщение от bOOster (ok), 01-Янв-20, 23:56
	>> Каким образом эти операции относяться к SYSCAL? open,read,write это врапперы, posix абстракция для ioctl - ИМЕННО КОТОРЫЙ уже работает с ядром и является SYSCALL. > Взоржал. Ну и каша у вас в голове! Сразу видно настоящего компьютерного > эксперта. >> ПыСы если претендуешь на звание программиста - то хоть изучай о чем говоришь. > Ну, так как вы не претендуете, то вот по этой сслыке http://man7.org/linux/man-pages/man2/syscalls.2.html > ни в коем случае не ходите. Она для тех, кого случайно > занесёт в это обсуждение, на случай, если ваша глупость для них > будет не очевидна. Документация по Linux будет последней на что я буду обращать внимание.
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Аноним (8), 02-Янв-20, 14:34
	> Документация по Linux будет последней на что я буду обращать внимание. Естественно, вы же не претендуете на звание программиста.
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от bOOster (ok), 02-Янв-20, 17:54
	>> Документация по Linux будет последней на что я буду обращать внимание. > Естественно, вы же не претендуете на звание программиста. Конечно, и первым делом я посмотрю исходные тексты той-же например read. Внезапно да? Например https://code.woboq.org/userspace/glibc/sysdeps/unix/sysv/lin... И сразу же там вижу wrapper. Ну я думаю разберешься вокруг чего, надеюсь знаешь что такое macros и реальный ASM вызов syscall. Хотя откуда? На Go видать программируешь или еще каком-нить новомодном трэше.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Аноним (-), 08-Янв-20, 09:02
	> надеюсь знаешь что такое macros и реальный ASM вызов syscall. Ну я знаю. И чего? Сишники, для начала, из сей сисколы дергают. На совсем уж гольном асме это оформлять - можно, конечно, но зачем? Это вообще совсем не портабельно. Тогда как вызваный из си сискол open работает одинаково и на ARM, и на MIPS, и на PowerPC, и даже на RISC-V каком-нибудь.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Аноним (-), 31-Дек-19, 15:47
	> SYSCALLS в пользовательских приложениях это дрянной стиль программирования который и пополз из стана Linux А я то думал из стана стандарта POSIX, под который Linux и мимикрирует с точки зрения софта. > Даже Андроид такой стиль не поддерживает маскируя системные вызовы библиотекой wrapperом. Так в Linux нормальные люди тоже обычно враппер вызывают. Тем не менее враппер сискола read тоже называется read() и предоставляется реализацией libc. Ну а пойнт сабжа в том что если мы уверены что программа вообще никогда не должна записывать никакие файлы, мы рубим ей write() - и он завалится и через враппер, и напрямую, и как там еще. Программа просто не сможет записывать файлы. Довольно неудобный сюрприз для атакующих, которые сумеют нае...ть прогу, не так ли? :)
	Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

	59. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Аноним (8), 31-Дек-19, 16:59
	SYSCALL, POSIX, IOCTL — какая разница? Главное, сказать, что Линукс — это плохо. Быть экспертом в компьютерах для этого вообще не надо.
	Ответить | Правка | Наверх | Cообщить модератору

	73. "Выпуск системы изоляции приложений Firejail 0.9.62"	–2 +/–
	Сообщение от bOOster (ok), 01-Янв-20, 15:26
	>[оверквотинг удален] > А я то думал из стана стандарта POSIX, под который Linux и > мимикрирует с точки зрения софта. >> Даже Андроид такой стиль не поддерживает маскируя системные вызовы библиотекой wrapperом. > Так в Linux нормальные люди тоже обычно враппер вызывают. Тем не менее > враппер сискола read тоже называется read() и предоставляется реализацией libc. > Ну а пойнт сабжа в том что если мы уверены что программа > вообще никогда не должна записывать никакие файлы, мы рубим ей write() > - и он завалится и через враппер, и напрямую, и как > там еще. Программа просто не сможет записывать файлы. Довольно неудобный сюрприз > для атакующих, которые сумеют нае...ть прогу, не так ли? :) Posix враппер read может быть оперативно подменен другой реализацией, виртуальной в случае присутствися ограничений и это возможно так как несет дескриптор, в отличие от прямого доступа read который несет адрес устройства.
	Ответить | Правка | К родителю #54 | Наверх | Cообщить модератору

	79. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Аноним (-), 08-Янв-20, 08:54
	> Posix враппер read может быть оперативно подменен другой реализацией, виртуальной в случае присутствися ограничений Подменять враппер - прерогатива троянцев/руткитов да может IDS. Ну еще для тестирования реакции программ на нестандартные ситуации и прочих лулзов. А так это что, достаточно сделать сискол - и я уже вне песочницы? Так это не песочница а джамшутинг какой-то?! > в отличие от прямого доступа read который несет адрес устройства. Какой еще "адрес устройства"? Что за бред?
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от bOOster (ok), 03-Янв-20, 10:56
	>[оверквотинг удален] > А я то думал из стана стандарта POSIX, под который Linux и > мимикрирует с точки зрения софта. >> Даже Андроид такой стиль не поддерживает маскируя системные вызовы библиотекой wrapperом. > Так в Linux нормальные люди тоже обычно враппер вызывают. Тем не менее > враппер сискола read тоже называется read() и предоставляется реализацией libc. > Ну а пойнт сабжа в том что если мы уверены что программа > вообще никогда не должна записывать никакие файлы, мы рубим ей write() > - и он завалится и через враппер, и напрямую, и как > там еще. Программа просто не сможет записывать файлы. Довольно неудобный сюрприз > для атакующих, которые сумеют нае...ть прогу, не так ли? :) Да как раз наоборот. Именно из-за этой паршивой тенденции - корявый софт под Линь, мимикрирующий как ты говоришь под POSIX, собирается только на Лине, и не собирается на xBSD и других POSIX системах. И приходиться тратить время чтобы привести это "га:но" в порядок. Хорошо если кто-то уже пропатчил, а то еще и в дер&мово писанные мануалы по Linux надо лезть.
	Ответить | Правка | К родителю #54 | Наверх | Cообщить модератору

	80. "Выпуск системы изоляции приложений Firejail 0.9.62"	+/–
	Сообщение от Аноним (-), 08-Янв-20, 08:59
	> Да как раз наоборот. Пруф? > корявый софт под Линь, мимикрирующий как ты говоришь под POSIX, собирается только на Лине Что там под чем собирается - вообще второй вопрос. Возможно, разработчики просто никогда не пробовали собирать свой софт под xBSD и прочих posix системах. Потому что их хрен найдешь и разработчикам от них ничего не нужно, например? Есть еще маки, но они сильно кастомные, у них там какой-то io-framework или как там его. О том что это такое - только макинтошные разработчики и знают, потому что в других ОС этого нет. > Хорошо если кто-то уже пропатчил, а то еще и в дер&мово писанные мануалы по Linux надо лезть. Ну так скиньтесь и проплатите команде техписов написание вам мануалов по вашему вкусу.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема