Дополнительно, какие бы гады не были разрабы материнки, клиент конечный пользователь всегда прав. И доставлять ему возможные неудобства под предлогом «азаза, это ваш асус-фигасус не следует штандартам!!» - плохая идея.

Дистрибутивы, ориентированные на конечных пользователейдураков, вольны добавить запись в fstab.

Кстати, я не особо внимательно читал issue, какой официальный отказ от использования ro по умолчанию?

Not our bug.

какой официальный отказ от использования ro по умолчанию?

root can do anything really (c) лёня

У маков своя ниша. ;)

;)

я знаю, что они для особенных ;)

Как десктоп, цены им нет.

сори за оффтопик, но ты, случайно, не знаешь где можно просто так взять и поклацать на маке некоторое время? пусть даже в режиме «оренда за бабки». мне чисто из интереса «что же в нём такого классного».

Это всё конечно плохо. Но при чём здесь systemd? Порутивший всегда может перемонтировать, вне зависимости от решения по сабжевому багу (и вообще вне зависимости от юзерспейса).

Ещё раз, ты путаешь security и защиту от дурака.

Security — понятие растяжимое. И от других и от себя.

Security может быть (по твоему мнению) сколь угодно растяжимым понятием, но это разные вещи и разные методы. Ещё раз, в линуксе действительно root can do anything really. А если «can not», то в обоих случаях.

И тут мы опять у proactive security. Если можно сделать такую маленькую заминку, то почему же не сделать?

Порутивший всегда может перемонтировать

своими глазами видел ситуацию, когда невозможно было отмонтировать фс (и remount тоже) никаким способом кроме перезагрузки. К сожалению, забыл какой был workaround :(

Потому что кому нужно, тот сделает.

Кто залез в PID 1, не имеет права больше решать, какой баг оставить а какой добавить.

Ненужнод отвечает за монтирование. Будьте добры делать это не через Ж.

Это баг.

Это баг.

скорее особенность ядра при работе с накопителями

Ещё раз, медленно и по слогам.

• Любое решение по сабжу не влияет на security. Если в системе есть «защита от рута» (говорю абстрактно), то рут в любом случае не сможет записать ничего туда, будь оно ro или rw.
• Защита от дурака должна делаться там, где могут быть дураки (т. е. в consumer-oriented дистрибутивах). Почему она должна быть по дефолту во всех дистрибутивах?

Таким образом, нет причин по умолчанию монтировать эту ФС как ro.

Это не отменяет предотвращение непредвиденных ошибок.

Мне уже спать пора, т.ч. не хочу тут больше много распинаться. Мой главный посыл: «если ты можешь предотвратить ошибку — предотврати». В этом в частности заключается успешная безопасность.

То, как аргументирует лёня — просто профанация. (Как и его поделка.)

Буду краток:

• wrong
• wrong

Перефразирую: нет причин устанавливать на ружья (электропроводку, whatever) предохранители. Каждый ведь сам знает, что он делает?

Этот топик меня прямо пугает.

Т.е. да, безусловно обидно обладателем кирпичей, и им хотелось бы что бы распухшая-инит-системаД защитила от этого. Но блин, железоделы вообще уже на головы вам гадят, выпуская мусор с возможностью брикнуть его через пользовательскую ОС, без особых движений. Это не проблема распухшая-инит-системаД, и даже не проблема операционки. Решить такое костылём в системе - это послушно и тихо обтечь, только подтвердив железоделам, что какое бы говно они людям не продавали - те всё стерпят.

Я сражён наповал твоей исчерпывающей аргументацией и ретируюсь из треда, держась за пылающий зад.

Перефразирую: нет причин устанавливать на ружья (электропроводку, whatever) предохранители. Каждый ведь сам знает, что он делает?

Ты прав. Только предохранитель должен стоять на железе, а не на ОС. ОС не должна иметь прямой возможности гробить железо.

Потому что если взять твой пример с ружьём, то предохранитель должен стоять не на ружье, а на человеке (и только на нём; и мы не о здравомыслии и подобных материях, а исключительно о физической блокировке). Ведь нет джамепра (или кнопки в местячковом биосе) на материнках, что не давал бы маунтить этот раздел в rw (или давал бы, но восстанавливал бы дэфолты хотя бы)? Т.е. тут прямая аналогия ружьё<->человек и железо<->ОС, и это очень удачный пример.

Эта шняга была во всех самсунгах.

Но блин, железоделы вообще уже на головы вам гадят

Всю жизнь так было. Ты вероятно не работал в embedded и не видел этого. Всю жизнь, да.

Только предохранитель должен стоять на железе, а не на ОС. ОС не должна иметь прямой возможности гробить железо.

Должен. Должна. Все тебе должны. Нету ни единой железки, где все предохранители внутри. Ибо есть драйверы - неотъемлимая часть железа. И «предохранители» как правило располагают именно там. В железе остаются только самые критичные.

Я говорил скорее только за пользовательский сегмент.

С embedded и около него бывал пару раз, и плакал горькими слезами. Но мне тогда объяснили что там всегда так, да.

Как ни странно да, мне должны. Потому что не ты мне даришь железо, и не дяди с корпораций. Я железо меняю на деньги, и мне за эти деньги должны, чёрт его бы побрал :)

Сам то купил?

сори за оффтопик, но ты, случайно, не знаешь где можно просто так взять и поклацать на маке некоторое время? пусть даже в режиме «оренда за бабки». мне чисто из интереса «что же в нём такого классного».

Идешь в любой restore или другой нормальный магазин, они там стоят на столах - юзаешь. Только за короткое время ничего не выйдет, ибо получится «МАК ГОВНО Я ПРИВЫК ПО ДРУГОМУ».

С embedded и около него бывал пару раз, и плакал горькими слезами. Но мне тогда объяснили что там всегда так, да.

Так вот, твое железо - тот же embedded, только называется десктопами ввиду мейнстримности. А костыли те же, и всё так же через жопу. Один в один. Поверь.

Я железо меняю на деньги, и мне за эти деньги должны, чёрт его бы побрал :)

Железо стоит столько, сколько ты готов платить. А когда заплатил - тебе уже никто не должен:)

Но блин, железоделы вообще уже на головы вам гадят, выпуская мусор с возможностью брикнуть его через пользовательскую ОС, без особых движений. Это не проблема распухшая-инит-системаД, и даже не проблема операционки. Решить такое костылём в системе - это послушно и тихо обтечь, только подтвердив железоделам, что какое бы говно они людям не продавали - те всё стерпят.

Плюс миллион. Еще есть такой момент: железку может брякнуть не ваш дистрибутив, но любой зловредный код, попавший неважно откуда.
Код из юзерспейса может убить железо? Крутота, вот это будущее которого мы так ждали.

Должен. Должна. Все тебе должны. Нету ни единой железки, где все предохранители внутри. Ибо есть драйверы - неотъемлимая часть железа. И «предохранители» как правило располагают именно там. В железе остаются только самые критичные.

Ну что еще от линуксоидов можно услышать..
Когда ядро сетевухи интел жгло, тоже много подобных оправданий тут писали :)

Благодаря Леннарту наконец-таки вернутся времена, когда малварь сможет убивать железо?

О! А под вендоговном это замутить не выйдет? Вот это годно было бы.

Пострадавшее говножелезо: MSI GP60 2PE Leopard

/ избегайте такое /

На маке такой херни нет (с)

Когда, в очередной раз, чей-нибудь быдлокод выполнит rm -rf не в том месте, то в потере данных будет виноват автор кода(но важные данные в бекапах, а после rm можно и восстановить удаленное). Но в окирпичивании материнки будет виноват лично Леня.

PS: вспомнилась древняя шутка из начала 90-х про virus уничтожающий hardware. Теперь это больше не шутка.

Теперь? Т.е. про CIH (он же чернобыль) ты не слышал?

железо должно делать то, что ему прикажут. А уже задача софта - знать что может и что не может железо.

Дистрибутивы ориетированы на людей. Людям, даже самым-самым специалистам, свойственно ошибаться. Это общеизвестно. И кому вдруг понадобилось писать в настройки efi, вполне может подмонтировать в rw. Потому ro по-умолчанию нужен. По тем же самым причинам, по которым пакетный менеджер запрашивает подтверждение при удалении критически важных пакетов

Не более предвзят, чем ты. Было хотя бы одно решение Леннарта, с которым ты был _не_ согласен?

Всё правильно сделал

Хватит потакать говножелезу и тем, кто его делает. Пусть вендоры чинят свои прошивки и материнки. Или даже отзывают по гарантии.

И кому вдруг понадобилось писать в настройки efi,

Просто берет и пишет без всяких гребанных костылей «нужно подмонтировать/перемонтировать». Не надо проблемы железа тащить в сферу софта.

Дистрибутивы ориетированы на людей.

В дебрях EFI обычным людям делать нечего. Пробовать ломать что-либо без минимальных знаний и подготовки - форменный идиотизм.

Может и

# dpkg -r dpkg

должно без лишних вопросов исполняться?

Я конечно понимаю что на лоре не читают сообщения, но позволю себе повторить:

Не надо проблемы железа тащить в сферу софта.

Да, неоднократно.

Ты забыл про то, что есть спека, по которой эта штука должна быть безопасна. Никакого другого способа «знать, что может железо» нет.

Нет, должно выскакивать окошко, где нужно будет 4 раза нажать «далее», затем будет отправлен код по sms, который нужно будет ввести в следующем окне и нажать «ok».

Спеки это хорошо, но и про errata не стоит забывать

даже если безопасно - случайное удаление настроек тоже не сахар и может привести к проблемам

а главно, никакой необходимости держать эти настройки по-умолчанию в rw нет. Кому надо (а надо это мало кому) - сам может перемонтировать в rw.

Система по-умолчанию должна быть максимально защищена от повреждений. А если кто хочет что-то менять - сам перемонтирует с rw и будет знать, что у него так настроено и будет осторожен

Никакого другого способа «знать, что может железо» нет.

Пафосная чушь. Это делается чере всевозможные блэклисты (или файлы вида pci/quirks.c).

Только инфантильные подростки вроде Леннарта и его духовных братьев с ЛОР требуют от железа безошибочности и отказываются признавать реальность.

Если и блэклистить, то в efivarfs.

Если и блэклистить, то в efivarfs.

По крайней мере, ты уже не задаешь вопрос, как «знать, что может железо».

Пошли они в сраку! Человек всё делает по правилам, а какие-то долбодятлы кладут на стандарты. Леннарт всё сделал правильно!