Брикование материнок с помощью systemd и rm -rf

Да, про блэклисты я не подумал.

даже если бы systemd монтировал чувствительные места иерархии в ro, их всегда можно перемонтировать обратно в rw.

есть такое понятие как «баги». вспоминается не то чтобы давнишний баг в софте, который из-за не правильного пробела выполнял rm -rf / при установке. Решил такой софтину попробовать, поставил и нету компа. спасибо_криворуким китайским_железячникам_который_не_знают_и_про_существование_линукса_автору_кривого_софта_ну_и_идиоту_поттерингу. кто из них больший мудак тебя будет интересовать в последнюю очередь.

SELinux — это опциональная надстройка
Компонент ядра Linux

Можно пример? Ато я тебя запомнил только по постам "почему Леннарт как всегда прав".

morse> А заодно добавил что ничто этим буратинам не мешает прописать ro в fstab. Но буратины вместо этого почему-то начали беситься и обзывать поттеринга плохими словами.

А ты будешь рад, ежели оператор сотовой связи тебе кучу платных и ненужных тебе услуг по умолчанию включит, и только после обращения в поддержку тебе скажут, что они подключены и можно самому их отключить?

intelfx> Никакие действия софта в рамках спецификаций не должны приводить к порче железа. И следить за этим должно железо.

Если ящерице оторвать хвост, он начнёт регенерировать. Но это не значит, что ящерице _надо_ отрывать хвост. Поцеринг и его подсосы считают, что надо.

intelfx> В таком случае тебе сначала следует добиться исчезновения /dev/mem и многочисленных файликов из /sys/bus/i2c, позволяющих писать в регистры i2c-устройств.

А может ты ещё под рутом сидишь вместо юзера?

Я под рутом не сижу. Под рутом сидят те, кто себе материнку брикнул.

intelfx> Раскрою мысль подробнее: если бы подобная фича имелась бы в линуксе, она (я уверен) запрещала бы запись в подобные места. Но если в линуксе подобной фичи нет, это не вина Леннарта.

Да-да-да. И не вина Леннарта в том, что у systemd в /usr были проблемы. Только конченный мудак будет утверждать, что недостатки реализации больных идей Поцеринга должны прикрывать совсем другие люди и под его продукты жизнедеятельности подстраиваться при этом. Ежели Поцеринг знал, что такого механизма в часто встречаемом ядре нет, и оставил при этом дыру, то мудак тут Поцеринг. Тем более, что systemd - это Linux-only и портирование основной ветки на другие ядра запрещено лично Поцерингом.

intelfx> Так вот, монтирование /sys/fs/firmware/efivars в ro никак не поможет системе быть secure by default, т. к. рут может что угодно перемонтировать в rw

Тебе уже выше сказали, что перемонтирование в rw - это уже намеренное действие. Речь идёт о защите от непреднамеренных действий, которые могут возникнуть в результате ошибки.

intelfx> Ты начал говорить про security, а теперь говоришь про защиту от дурака.

Защита от дурака - это безопасность от ненамеренного вреда. Если у Поцеринга такие фанаты, то неудивительно, что его кривые недорешения по-сектантски везде стараются пропихнуть, ничего не пытаясь анализировать даже.

intelfx> Принципиально. Security работает против злого умысла оператора (или человека, выдающего себя за оператора), а защита от дурака работает против некомпетентного оператора.

Ну всё с тобой ясно. Ты некомпетентен абсолютно, если даже такую элементарщину не можешь разобрать.

intelfx> Защита от дурака должна делаться там, где могут быть дураки

Вот именно по этой причине в systemd необходимо встраивать такие защиты.

Я буду очень не рад, если мне по умолчанию начнут отключать всякую функциональность из-за мудаков которые rm -rf от рута делают. Потому что следующим шагом они потребуют корень в ro монтировать, а потом и вообще рута удалить, как в венде, где система сама решает что пользователю можно, а что нельзя.

morse> Я буду очень не рад, если мне по умолчанию начнут отключать всякую функциональность из-за мудаков которые rm -rf от рута делают.

Функциональность никто не отключает - просто можно было бы в read-only примонтировать по умолчанию, чтобы случайно выстрел в ногу не сделать. Изменение содержимого той ФС - это определённо нестандартное действие и явно не часть обычной жизни простого пользователя.

morse> Потому что следующим шагом они потребуют корень в ro монтировать

Ты можешь ещё на noexec поругаться.

morse> а потом и вообще рута удалить, как в венде, где система сама решает что пользователю можно, а что нельзя.

В венде рута никогда не было. Там есть учётная запись с правами «Администратора». И никто не мешает ей пользоваться. Ну и в линуксе с самого начала так «рута удалили», так как крайне рекомендуется пользоваться компьютером с правами пользователя.

Этот квазарчик опять порвался, несите нового.

Изменение содержимого той ФС - это определённо нестандартное действие и явно не часть обычной жизни простого пользователя.

Изменение корневого раздела в общем-то тоже нечасто случается. Давай его тоже в ro! Безопасность же!

Ты можешь ещё на noexec поругаться.

Когда systemd мне влепит noexec на /home по умолчанию, вот тогда услышишь как я ругаюсь.

В венде рута никогда не было. Там есть учётная запись с правами «Администратора».

Хоть бы погуглил хоть пять минут прежде чем нести ахинею с умным видом. Я тебе даже имя виндового рута скажу: LocalSystem. Дальше сам.

intelfx> Этот квазарчик опять порвался, несите нового.

И после этого своего комментария ты ещё что-то смеешь вякать про переходы на личности?

morse> Изменение корневого раздела в общем-то тоже нечасто случается. Давай его тоже в ro! Безопасность же!

В некоторых системах так и делают.

morse> Хоть бы погуглил хоть пять минут прежде чем нести ахинею с умным видом. Я тебе даже имя виндового рута скажу: LocalSystem. Дальше сам.

А ничего, что это далеко не то же самое, что и root?

В некоторых системах так и делают.

Ну «в некоторых системах» пусть и efivars в ro монтируют. Мы сейчас говорим о настройках по умолчанию или о чем?

А ничего, что это далеко не то же самое, что и root?

Ну поведай же нам в чем разница между этими двумя пользователями, которым по умолчанию принадлежат все системные файлы, и которые имеют полный доступ к системе. Которого администратор, хочу заметить, не имеет.

Ты — исключение.