Управление делами Президента РФ переходит на Astra Linux

В Астре свой вариант SElinux, зачем кому то его ещё дорабатывать?

Потому что здравый смысл.

Потому что только фсбшники выдающие сертификацию верят что система написанная за пол года тремя людьми без тестирования может работать лучше системы, в которой базы политик нарабатывались последние 15 лет под разные сценарии использования и тестируются ежедневно на миллионах установок.

Раньше у них была отмазка что Астра предназначена только для ограниченного круга use-case-ов и именно под них заточена. Например на работу в изолированной сети и только с тремя доверенными приложениями.

Но эта отмазка уже не работает, поскольку Астру теперь пихают на рабочие станции и на сервера, главная задача которых работать в незащищенной сети. Ещё и контейнеры скоро приплетут, если уже не. И вся эта «своя» система становится неприменимой и неподдерживаемой, несовместимой с большинством современных технологий.

Но эта отмазка уже не работает, поскольку Астру теперь пихают на рабочие станции и на сервера

Всё ещё хуже. При проверках, *внезапно оказыаается, что сети, которые на бумаге изолированные, на деле оказываются нифига не изолированными. Левый роутерчик интерентик раздаёт-раздаёт. Пи-пи-пи 😀

зачем кому то его ещё дорабатывать?

И ведь это всё уже на самом деле было проверено на практике. Если посмотреть на большие конторы, типа Google или Amazon с VMware, у них у всех это есть в истории. Да даже у Parallels и у Мирантиса. Каждый в это вляпался.

В какой-то момент они решали, что умнее всех, и делали, например, форк ядра и на его базе прекрасную и замечательную систему. И бизнес-ориентированный товарищ какой-то там решал «зачем нам отдавать наш код кому-то другому». Потом проходила пара лет, форк рос, апстрим уходил в другом направлении, а компания осознавала, что не потянет, и приходила к глобальной и почти неподъемной задаче по вливанию форка в апстрим обратно. После чего бизнес-товарищам объясняли стоимость этого процесса и участие в open source-апстриме сильно поднималось в цене.

Но это бизнес, там ещё можно перерешать. А когда в дело вступает неповоротливое государство, которое руководствуется лозунгами вместо мозгов, всё становится гораздо печальнее.

уязвимости SElinux давно уже известны, потому и придумали PARSEC в Астре

Ваш парсек не работает

напишите о своей проблеме в саппорт Русбитеха, вам помогут

уязвимости SElinux давно уже известны

Хм. Кому известны? Ссылки на открытые источники есть?

Не смишите меня. Давно не смешно уже.

https://vimeo.com/97906604

В Астре свой вариант SElinux, зачем кому то его ещё дорабатывать?

«Свой вариант SELinux» или «свой LSM»? Если первое, то как «свой вариант SELinux» соотносится с PARSEC?

выбросили полностью SELinux и написали своё решение в виде LSM

https://vimeo.com/97906604

А что-нибудь текстовое есть? Например, https://www.slideshare.net/dnkolegov/kolegov-phdays2014 - это не оно?

оно

В Астре свой вариант SElinux, зачем кому то его ещё дорабатывать?

«Свой вариант SELinux» или «свой LSM»? Если первое, то как «свой вариант SELinux» соотносится с PARSEC?

выбросили полностью SELinux и написали своё решение в виде LSM

Значит, у вас нет «своего варианта SELinux», у вас PARSEC - может, он лучше SELinux, но это не вариант SELinux (разве что вы взяли код SELinux и тайно модифицировали его). Никто же не называет AppArmor или SMACK «вариантами SELinux».

я для простоты так выразился

Я ее пока не читал, только пролистал, но упоминаний об уязвимостях SELinux не увидел.

посмотри видео, докладчик там прямо об этом рассказывает

Ты всё правильно пишешь. Только ты забываешь несколько деталей (он, родной, там и сидит).

Почему это? Вполне себе работает.

Простите, а можно подробнее про миллионы установок селинукса поподробнее? Только про те, где он в enforcing режиме.

https://source.android.com/security/selinux/ если очень надо.

Но разумеется я количество вписала с потолка, суть поста не в этом.

уязвимости SElinux давно уже известны, потому и придумали PARSEC в Астре

Чтобы наконец-то появились неизвестные и специфичные этому велосипеду уязвимости?

Что бы получить новый функционал