The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы
правила/FAQ
поиск
регистрация
вход
слежка
RSS


Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Debian захватил домен debian.community, на котором публиковалась критика проекта, opennews (?), 25-Июл-22, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


122. "Debian захватил домен debian.community, на котором публикова..."  –2 +/–
Сообщение от Правильный Debian это Devuan (?), 26-Июл-22, 10:31 
Debian - это просто тестовый конструктор первой линии поддержки для более правильного и стабильного Devuan.

Просто старый добрый свободный Debian теперь называется Devuan.

В свободном Devuan вычищают все то говно оккупантов, которое они напихали в современный Debian.

По сути Debian - это как Fedora beta или Centos stream для RHEL, т.е. некий тестовый полигон для systemD макак. А уже потом стабильный релиз с вычищенной системГовнятинкой и без системДна выпускают в Devuan.

https://devuan.org

https://dev1galaxy.org/

Ответить | Правка | К родителю #58 | Наверх | Cообщить модератору

139. "Debian захватил домен debian.community, на котором публикова..."  +/–
Сообщение от Аноним (135), 26-Июл-22, 11:11 
Ну тогда devuan это нашлепка над дебианом, типа убунты только еще лажовей по размеру дельты.

И это, сами с своими openrc и sysv init сношайтесь. Труба я шата такое "счастье".

Ответить | Правка | Наверх | Cообщить модератору

144. "Debian захватил домен debian.community, на котором публикова..."  +4 +/–
Сообщение от Правильный Debian это Devuan (?), 26-Июл-22, 11:15 
Наоборот, нашлепка - это systemD.
А в Devuan наоборот очищают Debian от ненужной нашлепки системаДна и релизят уже очищенный вариант.

По сути Devuan - это естественный вектор развития Debian, если бы Debian не был оккупирован корпорастами, продвигающими в массы свою системD говнятинку.

Ответить | Правка | Наверх | Cообщить модератору

156. "Debian захватил домен debian.community, на котором публикова..."  +1 +/–
Сообщение от Аноним (-), 26-Июл-22, 11:44 
> Наоборот, нашлепка - это systemD.

Вот лично мне системд удобнее оказался и я им хренову кучу хотелок реализовать смог.

> А в Devuan наоборот очищают Debian от ненужной нашлепки системаДна и релизят
> уже очищенный вариант.

С моей стороны нет запроса на эту активность, поэтому я и пользуюсь сабжем.

> По сути Devuan - это естественный вектор развития Debian, если бы Debian
> не был оккупирован корпорастами, продвигающими в массы свою системD говнятинку.

Ну да, ну да, глюкавые скрипты забивающие на логгинг и более 9000 системных проблем и новых фич линуха - совсем не говнятина. Сами этим и пользуйтесь, а я очень рад что отделался от такой радости. Благо в системд если очень надо то скриптик можно и позвать, но обычно не нужно. Что идет на пользу подготовке системных образов, отладке и эксплуатации систем. Дебажить не стартующие шелскрипты - так себе радость, имхо. Я предпочел развидеть это - и не пожалел.

Ответить | Правка | Наверх | Cообщить модератору

161. "Debian захватил домен debian.community, на котором публикова..."  +/–
Сообщение от Школьник (ok), 26-Июл-22, 12:10 
Примерно раз в год я согласен с Анонимом#294 практически во всём. Так-с, запишу, в этом году это случилось 26 июля.

И я совершенно не понимаю нападок на systemd. Блин, вам в руки бесплатно, пусть и не совсем демократическим путём, дали отличный инструмент, в данный момент уже достаточно проработанный и стабильный. Да, в 91ом году такой инструмент или не заработал бы, или выглядел бы странно. Но блин, пацаны, 22ой год на дворе, ау! Ну почитайте вы уже ман на него, не так уж там всё и сложно. Особенно, как выше пишет 294ый, если сравнивать с отладкой шелл-скриптов.

Ответить | Правка | Наверх | Cообщить модератору

183. "Debian захватил домен debian.community, на котором публикова..."  +1 +/–
Сообщение от Подмена понятий (?), 26-Июл-22, 13:37 
Проблема systemD в его тотальной лжи, начиная с его классификации как init системы.

И заканчивая тем, что тех, кому он отвратителен своей ложью и гнилой натурой, называют неосиляторами. Это как неосилить вредные привычки, наркоту и т.п.

Никто не против systemD в отдельных виртуалках (откатываемых на системный ZFS снэпшот при необходимости) где это действительно нужно (хотя зачем, когда есть S6?).

Но тащить это тоталитарное говно системД на гипервизор, - это надо быть поехавшим.

Ответить | Правка | Наверх | Cообщить модератору

186. "Debian захватил домен debian.community, на котором публикова..."  +/–
Сообщение от Аноним (-), 26-Июл-22, 14:05 
> Проблема systemD в его тотальной лжи, начиная с его классификации как init системы.

Ну с таким то ником только об этом и рассуждать. Я вот им пользуюсь как именно init-системой,networkd или timesyncd у меня нет. Сабжи отпилили их в опциональные субпакеты. Я решил что мне именно эти опции не надо и это другими способами решается. А, ну еще логгер вот, меня бинарные логи не парят, бэкапы у меня тоже есть, а у этого логгера есть и удобные мне фишки, например хоть какой-то намек на апи и структурирование, что все же получше грепания так то.

> И заканчивая тем, что тех, кому он отвратителен своей ложью и гнилой
> натурой, называют неосиляторами. Это как неосилить вредные привычки, наркоту и т.п.

Я вот предпочел быть осилятором и осилить
1) Расстановку приоритетов и шедулеров, реалтайм политик, реакции на сбои "критичных юнитов" и проч. Системд это сделал сильно проще и не надо самому переизобретать вел i++'й раз.
2) Усиленную изоляцию сервисов от системы и урезание прав, с использованием namespaces и все такое. Вдвойне приятно когда это не только я сам могу но и майнтайнеры дистропакетов. Которые это все стали делать, актуально для сетевых сервисов и проч так то.

> Никто не против systemD в отдельных виртуалках (откатываемых на системный ZFS снэпшот
> при необходимости) где это действительно нужно (хотя зачем, когда есть S6?).

Я как бы btrfs предпочитаю. Он еще и cp --reflink позволяет целый межзвездный флот себе собрать за пару секунд из армии клонов. А вы там копируйте 20-гиговые диски если вам это круче.

> Но тащить это тоталитарное говно системД на гипервизор, - это надо быть поехавшим.

Кхе-кхе, я kvm гипервизором предпочитаю, так что почему host должен рулиться иначе чем guest лично я не понимаю. Однотипными системами с однотипным управлением ворочать проще и эффективнее. А учитывая что все это нехило масштабируется, паттерн видится мне исключительно удачным.

Хорошо уметь в масштабирование технологии, когда нет большой разницы, будет это одноплатничек с полкреды за 10 баксов или 100 виртуалок на мощном серваке. А технологическая подложка более-менее одна и та же. Я с ней где-то от "на ты" до "эй ты, козел". Это делает меня довольно эффективным в достаточно широком ассортименте ситуаций и я нахожу это фичой.

Более того, я и чужим сервером с системд порулить не обломаюсь. А вот с самопальными скриптами... ненене, Девид Блейн...

Ответить | Правка | Наверх | Cообщить модератору

190. "Debian захватил домен debian.community, на котором публикова..."  +/–
Сообщение от Подмена понятий (?), 26-Июл-22, 14:26 
> Более того, я и чужим сервером с системд порулить не обломаюсь. А вот с самопальными скриптами... ненене, Девид Блейн...

С этого и надо было начинать.

1) Я рад, что моим гипервизором обломаются незаметно порулить часть ганстолкеров.
А ведь как хорошо у них получалось с VirtualBox, то не стартанет, то зависнет в самый неподходящий момент.

2) В OpenRC, что там с определениями сервисов? А в S6?

root@chimaera:/etc/init.d# cat k0scontroller
#!/sbin/openrc-run
supervisor=supervise-daemon
name="k0s controller"
description="k0s - Zero Friction Kubernetes"
command=/usr/local/bin/k0s
command_args="controller --single=true "
name=$(basename $(readlink -f $command))
supervise_daemon_args="--stdout /var/log/${name}.log --stderr /var/log/${name}.err"
depend() {
        need net
        use dns
        after firewall
}


Какие страшные скрипты!?! ай ай ...

Ответить | Правка | Наверх | Cообщить модератору

204. "Debian захватил домен debian.community, на котором публикова..."  +/–
Сообщение от Аноним (-), 26-Июл-22, 15:29 
> С этого и надо было начинать.

ORLY?

> 1) Я рад, что моим гипервизором обломаются незаметно порулить часть ганстолкеров.

Чего? Кого? Ваш гипервизор планирует вооруженный налет на датабанк? Хорошо что это не у меня.

> А ведь как хорошо у них получалось с VirtualBox, то не стартанет,
> то зависнет в самый неподходящий момент.

Вы на двоих с ораклом разбирайтесь с своим внеядерным выкидышем, мне это не интересно. У меня хватает ума не завязываться на ядерные компоненты делаемые внешними телами, особенно такими как оракл. Не думаю что там проблема в системде, скорее в внеядерности и оракле. И общем качестве кода этой поделки.

> 2) В OpenRC, что там с определениями сервисов?

Я не понимаю какую проблему эта хренота решает. Ух, нет, поездив на автомобиле я вообще совсем не хочу ваших Более Быстрых Лошадей. Даже с кожаными сидушками и шинами-дутиками в телеге.

> А в S6?

Я так понимаю что оно на уровне своей архитектуры поднапряжется делать нормальную изоляцию сервиса от системы. А на меньшее я уже не согласен. Системд в этом малость смухлевал: он привилегированый и все нужное уже в памяти - так что он может сам все нужные сисколы отвесить, не завязываясь на внешние компоненты. Поэтому собрать изолированное окружение для сервиса ему не вопрос. А вон те лоскутные одеяла в середины сборки изолированой арены обнаруживают что шелл, половина либ и утилсы уже немного недоступны - на чем и наступает обломинго. Нет, знаете, вон тому http-серверу для нормальной работы шелл интерпретер вообще совсем не надо. Это скорее на руку атакующему только, если он через какой-то баг прорубится.

> root@chimaera:/etc/init.d# cat k0scontroller

Название хоста доставляет :))

> Какие страшные скрипты!?! ай ай ...

Ну, будем считать что мне конфиги у системды больше нравятся. А если вам нравится вон то, вы это и рулите вот так. Я этого делать не буду, особенно не понимая какие бенефиты относительно системды мне это все дает.

Ответить | Правка | Наверх | Cообщить модератору

215. "Debian захватил домен debian.community, на котором публикова..."  +/–
Сообщение от Подмена понятий (?), 26-Июл-22, 16:12 
>Я так понимаю что оно на уровне своей архитектуры поднапряжется делать нормальную изоляцию сервиса от системы.

Ты серьезно думаешь, что namespaces чего-то там надежно изолируют от зловредов?

Даже Firejail уже обосрамшись, а ты все тудаже.

Ответить | Правка | Наверх | Cообщить модератору

222. "Debian захватил домен debian.community, на котором публикова..."  +/–
Сообщение от Аноним (-), 26-Июл-22, 17:01 
> Ты серьезно думаешь, что namespaces чего-то там надежно изолируют от зловредов?

Очередное соответствие своему нику? Ну да, ну да, профи вон тот замок вскроет. Поэтому мне теперь что, дверь вообще не закрывать? А ежели хороший замок поставить да кастомные сюрпризы для непрошенных гостей заготовить - неплохо всякую шваль на расстоянии держать может.

> Даже Firejail уже обосрамшись, а ты все тудаже.

Он это по довольно специфичным причинам, да и починили его. У системды вообще вон тех причин нет, кстати. Он изначально рут и поэтому не подбрасывает себя в правах. И когда вон тот процесс получает себе управление, ему уже поздно что-то делать по этому поводу, все права уже отобраны и доступ в систему порезан. При правильном подходе там вообще удобной ситуации для атаки не возникает. Как и что атаковать в пустом загоне где ничего нет?

В общем нехрен понятия подменять. Если у вас это не реализуется - хли кривляться? Думаете, сможете системщика на...ть? Ну, попробуйте :P. Я то свои технологии и их лимиты знаю. Получше вас, имхо.

Ответить | Правка | Наверх | Cообщить модератору

345. "Debian захватил домен debian.community, на котором публикова..."  +/–
Сообщение от Аноним (-), 27-Июл-22, 20:16 
>Ну да, ну да, профи вон тот замок вскроет.

Не просто вскроет, а выложит рецепт.

>Поэтому мне теперь что, дверь вообще не закрывать?

Закрывать правильно, а не надеяться на магическое решение уровня "секурно, потому что контейнеры", описываемое большинством разработчиков как "это виртуалка, но не виртуалка кароч" и используемое по большей части по моде и как бесплатный пакетный менеджер, а не ради реальных плюсов неймспейсов.

>А ежели хороший замок поставить да кастомные сюрпризы для непрошенных гостей заготовить

Ирония судьбы в том, что обычно это магическое решение типа "всё в одном" наоборот мотивирует администраторов лениться и не защищать свои сервисы, после чего любой обладатель сканера, да ещё и знающий дефолтные для образов пароли все данные получает на блюдечке. И если ты знаешь принцип "если хочешь сделать хорошо, сделай это сам", ты сделаешь то же самое на шелле или просто без контейнеров, понимая, что, как и зачем ты сделал.

>Он это по довольно специфичным причинам

Которых, разумеется, не возникнет, потому что контейнер с монгой под дефолтным паролем - это безопасность, демон о куче строк, которым ты аудита не проведёшь - это тоже безопасность, забив безопасности в кастомном софте потому что он запускается в контейнере (я же объяснил, что контейнеры - это синоним безопасности, потому что контейнеры - это безопасно?) - это безопасность, ведь так?

Если бы вместо неймспейсов были бы маунты из plan 9 или subhurd, ещё можно было про какое-то разделение говорить, но при решении уровня "скачал образ с бэкдором и забил", управляющимся стрёмным демоном на моноядре с дырками в виде BPF... только и остаётся, что повторять мантры:

>контейнеры безопасно
>ну хоть от тех обезопасит, а от этих и ладно
>да и починили его
>нет, сынок, это фантастика

Ответить | Правка | К родителю #222 | Наверх | Cообщить модератору

379. "Debian захватил домен debian.community, на котором публикова..."  +/–
Сообщение от Аноним (-), 28-Июл-22, 01:58 
> Не просто вскроет, а выложит рецепт.

Я даже типовые технологии знаю. Только в результате я лишь поставил пару хороших замков, с которыми профи придется потрахаться, да немного кастома, который откровенно "ссыт мышке в норку". Вон тот засов тягаемый шаговиком вообще наружной скважиной не обладает. Приятный сюрприз для классического медвежатника. Конечно если ну очень хочется открыть можно что угодно, но дольше и паливнее ;)

> Закрывать правильно, а не надеяться на магическое решение уровня "секурно, потому что
> контейнеры", описываемое большинством разработчиков как "это виртуалка, но не виртуалка
> кароч" и используемое по большей части по моде и как бесплатный
> пакетный менеджер, а не ради реальных плюсов неймспейсов.

Я вполне осмысленно изолирую сервисы системдой. Умеючи самолично выписывать ему потребные юниты. И это явно улучшает состояние дел по сравнению с тем позором который был в sysv-based системах. Более того - это и майнтайнеры пакетов начали делать, поэтому мне не обязательно пробивать все стены своим лбом лично.

> Ирония судьбы в том, что обычно это магическое решение типа "всё в
> одном" наоборот мотивирует администраторов лениться и не защищать свои сервисы,

Это на совести тех администраторов. А мне прописать лишние 5-10 строк обрубающие сервис как-то не обломно совершенно. Все остальные способы получить сравнимую изоляцию почему-то значительно канительнее.

> после чего любой обладатель сканера, да ещё и знающий дефолтные для образов пароли

...получит на моих системах и образах жирную фигу, например :)

> "если хочешь сделать хорошо, сделай это сам", ты сделаешь то же
> самое на шелле или просто без контейнеров, понимая, что, как и зачем ты сделал.

Отвесить из шелла нужную последовательность сискллов вообще малореально т.к. в середине последовательности шелл с утилсами уже станет недоступен. Нет, я не хочу все это великолепие хаксорам в загоне с HTTP сервером каким оставлять. Как максимум там будет фэйк-ловушка, с идеей что если там вообще вызвали sh - "intrusion detected".

> Которых, разумеется, не возникнет, потому что контейнер с монгой под дефолтным паролем
> - это безопасность, демон о куче строк, которым ты аудита не
> проведёшь - это тоже безопасность,

А таки на системд довольно много глаз смотрит. А вот тот мега скрипт от чудо кодера - лично моя проблема, и врядли кто это сильно читал. И вообще, шелл не был создан с оглядкой на секурити и там так то довольно много не совсем очевидных капканов есть. Секурно кодить на шелскриптах это вообще такой довольно отдельный и специфичный скилл, доступный немногим.

> это синоним безопасности, потому что контейнеры - это безопасно?) - это
> безопасность, ведь так?

Не вижу смысла пытаться передергивать меня такой лажовой аргументацией.

> Если бы вместо неймспейсов были бы маунты из plan 9 или subhurd,
> ещё можно было про какое-то разделение говорить,

Namespaces так то мощнее. Скажем сеть подвиртуализовывают. И в целом clone() вроде с314жен как раз с сисколов plan9. Просто изначально начинка ядра линуха под вон те абстракции не кодилась и поэтому иногда ус таки может отклеиваться, когда какие-то проверки правов могут понять ситуацию неверно.

> но при решении уровня "скачал образ с бэкдором и забил", управляющимся стрёмным
> демоном на моноядре с дырками в виде BPF... только и остаётся, что повторять мантры:

Я сам себе (и не только) образа систем делаю. Ну, такой маленький нюанс. Удачи в рассказах мне сказок.

Ответить | Правка | К родителю #345 | Наверх | Cообщить модератору

212. "Debian захватил домен debian.community, на котором публикова..."  +/–
Сообщение от Аноним (212), 26-Июл-22, 15:57 
ИМХО в системде есть хоть какой-то намек на архитектуру и осмысленное продумывание решения типовых системных проблем. Понятно что костылями оброс, т.к. всего не предусмотреть, а с фичами местами подразогнаались сверх меры.

Но все познается в сравнении. Если посмотреть на launchd и SMF, systemd пожалуй неплох. Во всяком случае не прет XML, скулайты и прочее энтерпрайзное счастье. Минимальные конфиги которые несложно парсить и редактировать у меня икоты не вызывают. И умеет дофига полезных вещей для запускалки так то, вывешивая мне современные фичи ядра. Ну я и решил что когда core более-менее устаканилось, RTFM себя окупит, вроде не прогадал. Отправил на пенсию эн самопальных системных костылей, я ж не могу месяцами в фултайме вспомогаловку полировать, значит оно будет заведомо хуже.

А из вон того лоскутного одеяла вообще малореально выдать сисколы в нужном порядке чтобы отрезать процесс в изолированное окружение. На самом концептуальном уровне: нельзя позвать утилиты когда от системы уже отшлюзовались. И лично я предпочитаю системы где удобно легитимным владельцам, а интрудерам по возможности неудобно и паливно. Наоборот - уже не то. Поэтому я предпочитаю чтобы программам был доступно лишь то что технически необходимо для их работы, и ни битом больше. С вон теми "типа заменами" эта хотелка не особо реализуема вроде.

Ответить | Правка | К родителю #161 | Наверх | Cообщить модератору

347. "Debian захватил домен debian.community, на котором публикова..."  +/–
Сообщение от Аноним (-), 27-Июл-22, 20:23 
>На самом концептуальном уровне: нельзя позвать утилиты когда от системы уже отшлюзовались.

Вообще-то можно:
- достать статический busybox, его хватит всем
- заруливать неймспейсы вручную и не использовать mount namespace, но это для тех, кто понимает, что делает, а таким контейнеры не нужны

Ответить | Правка | Наверх | Cообщить модератору

378. "Debian захватил домен debian.community, на котором публикова..."  +/–
Сообщение от Аноним (-), 28-Июл-22, 01:35 
> - достать статический busybox, его хватит всем

Ага, только я не собираюсь такие подарки в контейнере хаскорам оставлять. Морда у них треснет.

> - заруливать неймспейсы вручную и не использовать mount namespace, но это для
> тех, кто понимает, что делает, а таким контейнеры не нужны

Ну вот для меня системд - привилегированый агент который для меня может все нужные сисколы в правильной последовательности влепить. Я могу это сделать сам. Только это будет хреновее, кривее, и сожрет мое время на кодинг заведомо более плохого решения. Поэтому хорошо что я этим могу и не заниматься, делегировав это системде. А когда и если некто это сделает лучше - вот тогда я и буду думать на эту тему. Абстрактные бла-бла в этом ни разу не помогают. Как и рассказы мне о том каких задач у меня "должно" или "не должно" быть. Это уж точно не опеннетчикам решать.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру