Исходное сообщение
"Уязвимость в VFS ядра Linux, позволяющая повысить свои приви..." Отправлено Аноним, 21-Янв-22 22:25
> Мой ответ именно на это. > Конечно сильно желательно сбрасывать, особенно когда он уже не нужен. Но это > защитит только от выполнения недоверенного кода под рутом. > Но для обычного бинарника эту область можно всегда расширить. Нюанс в том, что стандартно установленные бинари лежат в /usr/* и доступны на запись только руту. > Алё, это не JavaScript обо*рался, это модель безопасности Linux обо*ралась. Кому вообще > нужен этот root? Я спокойно переставлю всю систему. > Модель безопасности изменилась полностью, а Linux со своими uid, gid из прошлого века. Да есть все это - Trusted Path Execution, EVE (extended verification что-то там), firejail, где как раз зарезан доступ к SSH ключам https://github.com/ptoomey3/firejail/blob/master/etc/disable... https://github.com/ptoomey3/firejail/blob/master/etc/disable... blacklist ${HOME}/.ssh tmpfs ${HOME}/.gnome2_private blacklist ${HOME}/.gnome2/keyrings и проверка цифровой подписи бинаря и запуск только проверенных бинарей - тоже есть. Только в основном нафиг все это никому не сдалось, потому что "неудобно пользоваься - и так сойдет".

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> Мой ответ именно на это. >> Конечно сильно желательно сбрасывать, особенно когда он уже не нужен. Но это >> защитит только от выполнения недоверенного кода под рутом. >> Но для обычного бинарника эту область можно всегда расширить. > Нюанс в том, что стандартно установленные бинари лежат в /usr/* и доступны > на запись только руту. >> Алё, это не JavaScript обо*рался, это модель безопасности Linux обо*ралась. Кому вообще >> нужен этот root? Я спокойно переставлю всю систему. >> Модель безопасности изменилась полностью, а Linux со своими uid, gid из прошлого века. > Да есть все это - Trusted Path Execution, EVE (extended verification что-то > там), firejail, где как раз зарезан доступ к SSH ключам > https://github.com/ptoomey3/firejail/blob/master/etc/disable-mgmt.inc > https://github.com/ptoomey3/firejail/blob/master/etc/disable-secret.inc > blacklist ${HOME}/.ssh > tmpfs ${HOME}/.gnome2_private > blacklist ${HOME}/.gnome2/keyrings > и проверка цифровой подписи бинаря и запуск только проверенных бинарей - тоже > есть. Только в основном нафиг все это никому не сдалось, потому > что "неудобно пользоваься - и так сойдет".
	Введите код, изображенный на картинке: