>> То ли дело в системде - если сильно-сильно верить очередным заверениям Лёньки, то …
> ...то можно найти академ статью брателло Лени, который разработал tamper-resistant систему логгирования.
> Леня прикинул что штука хорошая да и взял в оборот. Вообще-то, на моменты выхода этой "фичи" статья была недоступна:
https://lwn.net/Articles/512895/
> The paper on FSPRG has not been published but will be soon,
(soon у нас составило где-то около года, если мне не изменяет память. И в академ-статье, в качестве практического применения упоминался journald).
> is part of the journald logging component of the systemd system and service manager, the core piece of many modern commercial Linux-based operating systems [31].
такой вот занятный фактик.
> И там единственный способ вредительства - снести лог совсем, что заметно.
> А вот подкорректировать пару записей задним числом не выйдет. Неудобно для
> тех кто любит себя из логов непаливно удалять.
Статья - это хорошо. Но ее ж еще желательно и прочитать, а не повторять, который год, "вытяжку" из рекламного буклета^W^W блога Поттеринга.
Цитата из академ-статьи брателло:
> In practice, it might be difficult to find ‘the right’ frequency with which keys should be evolved to the next epoch. Recall that, even if forward-secure log authentication is in place, an intruder cannot be prevented from manipulating the log entries of the epoch in which he got access to a system. This suggests that keys should be updated at least every few seconds — and even more often to obtain protection against fully-automated attack tools.
намек в документации:
https://www.freedesktop.org/software/systemd/man/journalctl....
> --interval=
> Specifies the change interval for the sealing key when generating an FSS key
> pair with --setup-keys. Shorter intervals increase CPU consumption but
> shorten the time range of undetectable journal alterations. Defaults to 15min.
Неприятные вопросы, оставленные Великим Рыжим без ответа
https://web.archive.org/web/20180216231737/https://plus.goog...
Разборка на LWN
https://lwn.net/Articles/512895/
> So long as a sealing operation happens before the attacker gets a chance to tamper with the logs, their fingerprints will be sealed with the rest of the log data
> The default value surprisingly leaves a rather large window for an attacker who immediately turns to altering the log file, though.
> One also wonders if subtle (or not so subtle) manipulations of the system clock might be a way to subvert or otherwise interfere with the key generation.
Т.е. у любителей себя непалевно из логов удалять, скорее всего, будут минуты для удаления себя из свежих логов. Хотя хватит и трети секунды для отработки зачищающего логи скрипта - о чем совсем не умалчивают в академ-статье (но ее ж читать надо, да )) ), советуя интервалы в пару секунд и чаще. Против выставленных 15 минут (МИНУТ, Карл!) по умолчанию.
Все как обычно - то ли кто-то, почти анонимно анонимный, опять теоретизирует (с умным и уверенным видом - этого не отнять), то ли опять все ошибаются и только почти-трехсоты^W анонимные анонимы знают, как оно на самом деле ))
