Улучшения связанные с безопасностью, ожидаемые в будущем релизе Debian

Хорошо это. Во многих дистрах правда это уже есть.

Плохо это. В OpenBSD правда это уже есть очень давно.

Ждём гентушников, которые разъяснят уже дебианщикам преимущества компилирования руками. ;)

Все улучшения приветствуются. Дебиан - зе бест.

> Ждём гентушников, которые разъяснят уже дебианщикам преимущества компилирования руками. ;)

а что тут объяснять то? генту это труЪ

ггг. И что, всё равно не помогает? %)

Интересно, весь дистр будет перекомпилирован? этож сколько обновляться надо будет.

Не так уж много надо будет обновлять — далеко не все пакеты в дистрибутиве включают программы на C/C++.

опять опеннетовские бояны..

И этот дистрибутив еще претендует на серверы? То, что в редхате уже сделано почти три года как (http://www.redhatmagazine.com/2007/04/18/risk-report-two-years-of-red-hat-ent...), а еще раньше в федоре, дополнительно к selinux и прочему, только приходит в другие дистрибутивы..

Очень хорошо. Ждём релиза lenny :) З.Ы. А в sid'е тоже такое будет? что-то ни по ссылке, ни по подробностям я ничего про это не нашёл.

Дока с детальным объяснением работы этих и других защит: http://people.redhat.com/drepper/nonselsec.pdf

Обзор различных технологий защиты для различных версий fedora core, fedora и rhel: http://www.awe.com/mark/blog/200801070918.html

PS вообще блог этого марка просто must read для всех, кто интересуется технологиями защиты, статистикой по их обходу, по уязвимостям в различных компонентах системы и т.д.

Не прошло и двух (или трёх?) лет как в Debian появились фишки из Fedora. :-)

Плохая новость для тех, кто использует Дебиан на десктопе :(

s/бест/тормоз

> Плохая новость для тех, кто использует Дебиан на десктопе :(

И в чём же заключается это самое плохое?

> И в чём же заключается это самое плохое?

Тем, что это прибавит тормозов в и без того тормозной дистрибутив...

> Тем, что это прибавит тормозов в и без того тормозной дистрибутив...

Не понял. Тормозной - это же про суси, При чём тут дебиан?

сначала это будет в sid

причём тут федора? debian hardened древнее чем fedora, просто сейчас решили эти наработки ввести в основной релиз

> Не прошло и двух (или трёх?) лет как в Debian появились фишки из Fedora. :-)

debian: i386, AMD64, PowerPC, SPARC, DEC Alpha, ARM, MIPS, HPPA, S390, IA-64 fedora: x86, x86-64, PowerPC

Наверное, стоит задуматься, почему эти фишки появились через 2 (или 3?) года после Федоры?

>Тем, что это прибавит тормозов в и без того тормозной дистрибутив...

Странно, а мне он наоборот показался одним из самых быстрых %) Субъективно, конечно.

>сначала это будет в sid

отлично. Где про это почитать (в частности, что именно будет и когда?)

>Тем, что это прибавит тормозов в и без того тормозной дистрибутив.

Вы тролль. В дебиане типа исходники всех программ патчатся, чтоб тормозили, да? :)

> Наверное, стоит задуматься, почему эти фишки появились через 2 (или 3?) года после Федоры?

между прочим, федора есть и для ppc64, и для arm (пусть неофициальная). С некоторым отставанием - для sparc и даже для alpha. А RHEL бывает для S390 и IA-64. Про релиз для mips не слышал (а нынче еще бывают серверы на mips? в электронику его всякую пихают по-моему только сейчас).. Что такое hppa, без заглядывания в гугл или википедию даже не в курсе, честно говоря..

Debian - один из немногих "серьезных" дистрибутивов, который не страшно поставить на сервер:)

> hppa

PA-RISC?

>s/бест/тормоз
Да, из говна переводчика не слепишь.

> Тем, что это прибавит тормозов в и без того тормозной дистрибутив...

Дебиян не тормозной дистрибутив, как система, он тормоз в плане всасывания прогрессивных наработок наработок -- -fstack-protector уже существует сто лет в обед, а его из харда, про который никто не слышал, и никто не пользуется, переносят только сейчас.

>> Плохая новость для тех, кто использует Дебиан на десктопе :(

> И в чём же заключается это самое плохое?

В том, что защита от переполнения стека на десктопе не особо нужна, зачем тратить на неё процессорное время.

>В том, что защита от переполнения стека на десктопе не особо нужна, зачем тратить на неё процессорное время.

+1. Выходит gentoo - true way.

> В том, что защита от переполнения стека на десктопе не особо нужна, зачем тратить на неё процессорное время.

Может и разграничение прав не нужно? Всё-равно только один пользователь работает. Зачем на это тратить процессорное время?

И насколько велик оверхед, чтобы так убиваться из-за потраченного процессорного времени? Лично мне, например, незаметен.

> +1. Выходит gentoo - true way.

Как вытекает, позвольте узнать, из того, что сказал товарищ выше то, что "gentoo - true way"?

А известно какой версии будет гном в след стабильной версии?

между релизами в любом случае пересобираются все пакеты с более новыми версиями библиотек.

зы генту рулит.

> между релизами в любом случае пересобираются все пакеты с более новыми версиями библиотек.

Это делается только по зависимостям, когда какие-то зависимые библиотеки от данного пакета увеличили soname. Это происходит далеко не всегда. Если версия самой проги не увеличилась и библиотеки, с которыми она компилится в новых версиях abi-совместимы с предыдущими, она не пересобирается - зачем?

Это хорошо видно по тому факту, что при dist-upgrade перекачиваются большинство, но не все приложения.

Еще если заглянуть в репозиторий той же федоры, к примеру, где версия добавляется к имени при сборке, в репозитории fc8 можно увидеть до фига пакетов для fc7 и даже пачку сохранившихся со времен fc6. Ниже fc6 не бывает, потому что во времена fc6 присходил массовый ребилд всего - именно в следствии изменений опций компиляции в соответствии с последними security-фичами, после этого все пакеты принудительно пересобирались, так как везде потенциально могли быть собранные бинарники - а просто глядя на пакет снаружи не определить, копилировался ли C'шный код при их сборке.

>>Может и разграничение прав не нужно?

то какое сейчас - не нужно, имхо

предлагаешь сидеть в иксах под рутом?

нафиг, нафиг... я когда-то сделал себе find ... -exec rm {}, задав неправильную маску поиска. Снёс половину /home. Если бы я снёс половину /usr - было бы намного хуже...

> Снёс половину /home. Если бы я снёс половину /usr - было бы намного хуже...

Да ладно. /usr, как и большинство системных мест восстанавливается на раз-два вообще без проблем, а /home невосполним (если бэкапов не делалось).

Я вот как-то себе /var почти весь снес. В т.ч. /var/lib, где пакетная база (rpm) - полностью. Ничего, восстановил все. С тех пор бэкаплюсь ;)

Как обычно, деб на высоте.

>>предлагаешь сидеть в иксах под рутом?

я не это имел ввиду. загляни в /etc/passwd, /etc/group. Зачем на десктопе такая куча групп и пользоватей ? Зачем на десктопе разграничение прав доступа к устройствам по группам ?

>>Снёс половину /home. Если бы я снёс половину /usr - было бы намного хуже...

тебе /usr дороже /home ? мне - нет.

Ну, я теперь тоже бэкаплюсь :)

Проблема в том, что после сноса /usr, /var/lib система запросто может и не загрузиться...

2 alex_custov: >тебе /usr дороже /home ? мне - нет. ну, вообще говоря, нет. Просто см. фразу выше.

>я не это имел ввиду. загляни в /etc/passwd, /etc/group. Зачем на десктопе такая куча групп и пользоватей ? Зачем на десктопе разграничение прав доступа к устройствам по группам ?

хорошо. Предлагаешь дистрибутиву держать две ветки системного софта - один для серверов, другой для десктопа? Или уходить с одного из рынков?

я предлагаю уже собираться на пиво, ибо 17:55

>я предлагаю уже собираться на пиво, ибо 17:55

Бгг, зачёт. Вообще говоря, верная тенденция :)

> Может и разграничение прав не нужно? Всё-равно только один пользователь работает. Зачем на это тратить процессорное время?

Неграмотное сравнение.

> И насколько велик оверхед, чтобы так убиваться из-за потраченного процессорного времени? Лично мне, например, незаметен.

Может быть он не велик, но он есть. Убиваться конечно не стоит, но и радоваться нечему.

>причём тут федора? debian hardened древнее чем fedora, просто сейчас решили эти наработки ввести в основной релиз

Сначала все появилось в fedora и gentoo, причем на юзабельном уровне.

>В том, что защита от переполнения стека на десктопе не особо нужна, зачем тратить на неё процессорное время.

В Microsoft тоже так думали.

>я не это имел ввиду. загляни в /etc/passwd, /etc/group. Зачем на десктопе такая куча групп и пользоватей ? Зачем на десктопе разграничение прав доступа к устройствам по группам ?

Ты .... Ты сам-то у себя все группы снес и сделал одну?

Машина времени рулит