> Убунта, дебиан, и их родня по наследству, типа минтов и прочих кормящихся
> с этих реп. Федора/редхат, зюзя и ее открытые варианты.Ну то есть ты сейчас тупо перечислил все мейнстримные дистры. Молодец. Ответил как отрезал. Сказал -- значит так оно и есть. Но совершенно, совершенно случайно у меня под рукой есть машинки, где можно загрепать.
Итак, вот у меня два сервачка:
<pre>
# (source /etc/os-release; echo $PRETTY_NAME)
Ubuntu 20.04.2 LTS
# (cd /lib/systemd/system; find . -iname \*.service | wc -l)
174
# (cd /lib/systemd/system; find . -iname \*.service | grep -v ./systemd | wc -l)
99
# (cd /lib/systemd/system; grep -rinE 'CapabilityBoundingSet|SystemCallFilter' .) | grep -v ^./systemd
./irqbalance.service:10:CapabilityBoundingSet=
./uuidd.service:21:SystemCallFilter=@default @file-system @basic-io @system-service @signal @io-event @network-io
./fstrim.service:18:SystemCallFilter=@default @file-system @basic-io @system-service
# (source /etc/os-release; echo $PRETTY_NAME)
CentOS Linux 8
# (cd /lib/systemd/system; find . -iname \*.service | wc -l)
184
# (cd /lib/systemd/system; find . -iname \*.service | grep -v ./systemd | wc -l)
112
# (cd /lib/systemd/system; grep -rinE 'CapabilityBoundingSet|SystemCallFilter' .) | grep -v ^./systemd
./rngd-wake-threshold.service:6:CapabilityBoundingSet=CAP_SYS_ADMIN
./rngd.service:8:CapabilityBoundingSet=CAP_SYS_ADMIN
./NetworkManager.service:17:CapabilityBoundingSet=CAP_NET_ADMIN CAP_DAC_OVERRIDE CAP_NET_RAW CAP_NET_BIND_SERVICE CAP_SETGID CAP_SETUID CAP_SYS_MODULE CAP_AUDIT_WRITE CAP_KILL CAP_SYS_CHROOT
./timedatex.service:7:CapabilityBoundingSet=CAP_SYS_TIME
</pre>
Ну и где оно всё? Исключая собственно systemd-шные сервисы -- в убунте 3 сервисов из 99, в восьмом рхеле -- 4 из 112; На уровне погрешности.
Ну окей, может быть на десктопе будет иначе. Вот у меня есть тут кубунта 19.10, давай погрепаем.
<pre>
# (source /etc/os-release; echo $PRETTY_NAME)
Ubuntu 19.10
# (cd /lib/systemd/system; find . -iname \*.service | wc -l)
268
# (cd /lib/systemd/system; find . -iname \*.service | grep -v ./systemd | wc -l)
198
# (cd /lib/systemd/system; grep -rinE 'CapabilityBoundingSet|SystemCallFilter' .) | grep -v ^./systemd
./haveged.service:16:CapabilityBoundingSet=CAP_SYS_ADMIN
./NetworkManager.service:17:CapabilityBoundingSet=CAP_NET_ADMIN CAP_DAC_OVERRIDE CAP_NET_RAW CAP_NET_BIND_SERVICE CAP_SETGID CAP_SETUID CAP_SYS_MODULE CAP_AUDIT_WRITE CAP_KILL CAP_SYS_CHROOT
./rtkit-daemon.service:26:CapabilityBoundingSet=CAP_SYS_NICE CAP_DAC_READ_SEARCH CAP_SYS_CHROOT CAP_SETGID CAP_SETUID
./bolt.service:23:SystemCallFilter=~@mount
./bolt.service:24:CapabilityBoundingSet=CAP_NET_ADMIN
./irqbalance.service:10:CapabilityBoundingSet=
./upower.service:39:CapabilityBoundingSet=
./upower.service:44:SystemCallFilter=@system-service
./upower.service:45:SystemCallFilter=ioprio_get
./fwupd.service:15:SystemCallFilter=~@mount
./fstrim.service:18:SystemCallFilter=@default @file-system @basic-io @system-service
./bluetooth.service:13:CapabilityBoundingSet=CAP_NET_ADMIN CAP_NET_BIND_SERVICE
./ModemManager.service:10:CapabilityBoundingSet=CAP_SYS_ADMIN
./uuidd.service:21:SystemCallFilter=@default @file-system @basic-io @system-service @signal @io-event @network-io
</pre>
Итого, 11 сервисов из 198. Зашибись.
Таким образом, не смотря на то, что начиная с 2014го года systemd есть стандарт де факто во всех мейнстримных дистрах -- вышеупомянутые вещи используются дай боже в 5.5% сервисов на десктопе / в 3.5% сервисов на серверах.
Вот мы писали же, что ограничения по seccomp или по cap -- никому нафиг не упёрлись. Фанаты systemd не верили, и кричали из каждого чайника, что это супер важные фичи, а нам просто плевать на безопасность. Ну вот, 8 лет прошло. Теперь вы тоже можете видеть, насколько эти фичи на самом деле востребованы и полезны.
