Разработчики SELinux ответили на статью Sun о безопасности Solaris и RHEL

Ну раз на то пошло:

соляра 10:

http://secunia.com/advisories/24703/ http://secunia.com/advisories/24166/ http://secunia.com/advisories/24120/ http://secunia.com/advisories/24082/ http://secunia.com/advisories/23996/ http://secunia.com/advisories/23982/ http://secunia.com/advisories/23821/ http://secunia.com/advisories/23187/ http://secunia.com/advisories/23058/ http://secunia.com/advisories/22453/ http://secunia.com/advisories/22136/ http://secunia.com/advisories/22132/ http://secunia.com/advisories/22103/ http://secunia.com/advisories/22083/

И это еще не все - задолбало копировать.

This is not a security vulnerability on its own. However, telnet(1) communicates with another host using the TELNET protocol and thus there is a small risk of a remote user successfully exploiting the overflow.

The remote user may also be able to read the values of arbitrary shell environment variables of the user who executed telnet.

Перевести, или сама осилишь?

> Ну раз на то пошло:

А ты не отвлекайся... отмазывайся по своей теме...

>А ты не отвлекайся... отмазывайся по своей теме...

А почему это я должен отмазываться? Нашел, понимаешь, кучу старых репортов о дырах безопасности, которые 100 лет назад заделали, и тычет ими.

> которые 100 лет назад заделали

Странно, а только что говорил что 100 лет назад не было рхела....

> и тычет ими.

Я то хоть ремотными тыкал...

ЗЫ: Убедился в маразматичности своих аргументов или как ?

>Странно, а только что говорил что 100 лет назад не было рхела....

Linux kernel != RHEL

>Убедился в маразматичности своих аргументов или как ?

У себя спрашиваешь?

> Linux kernel != RHEL

Не забудь это написать в секуритифокус, а то они наивные столько дистров снизу приписали....

> У себя спрашиваешь?

Не я про телнет вспомнил, и судя по всему это тут прям таки главный аргумент...

iBliss, какой у тебя стаж работы с сановским железом и Солярой?

> iBliss, какой у тебя стаж работы с сановским железом и Солярой?

Последние два года, а что ?

> Так 9-ку уже дааааавно никто не впаривает

а как же trusted solaris, который основан на 8? или в пылу страсти ты забыл, с чего ты на 2.2 начал наезжать?

Статью не читал, но осуждаю!

> а как же trusted solaris, который основан на 8?

Да я те по секрету скажу а солярис 8 основан на солярис 7 а он в свою очердь на 6 но и все было бы не так страшно если бы 6 не был основан на 5 ... Ага....

Мы об ОС или о том что Trusted Solaris _Extension_ ?

>iBliss, какой у тебя стаж работы с сановским железом и Солярой?

1988 - сетевой червь Моррисона поразил десятую часть всех мировых хост-систем на Solaris. В ответ сформирована Команда компьютерной безопасности CERT (ftp://info.cert.org/pub).

В команду CERT набрали старых пьяниц, которые тут же заявили "Интернет прибежище университетов и военных - гражданским вход закрыт."

>Все таки очень интересно послушать, какие факты были искажены Sun?

т.е. I/O оверхеда на файловых операциях, если у вас пару сотен или тысячи зон, не будет? ;)

не надо валять дурака - все мы знаем, что статья Гленна "черный пиар", а Карл просто отмазывается ;)))

>Последние два года, а что ?

Да так, год назад ты не знал что можно нажать Stop+A, а сегодня учишь тут всех какой солярис крутой и безопасный, а линукс дырявый и писан прыщавыми подростками.

Несерьезно.

> пару сотен или тысячи зон, не будет? ;)

Запятая лишняя.

> не надо валять дурака

А как иначе почуствовать себя "длиннее" ? %)

>Запятая лишняя.

не лишняя (на это Гленну ответить нечего ;)

>А как иначе почуствовать себя "длиннее" ? %)

есть такая нездоровая необходимость?

может зоны и лучше(спору нет ;), но Гленн явно сгустил краски в случае с селинукс и приукрасил солярис ;)))

А как насчет Stop-A без клавы от санок или через telnet? А давай вспомним код загрузчика с ленты в восьмеричных кодах? Но в одном парень совершенно прав, соляра уже более привлекательна даже для новичков чем линакс на x86.

> не лишняя

ИМХО если у кого-то будет около 1000 зон на одной железке, его уже не спасет никто кроме лоботомиста...

> но Гленн явно сгустил краски в случае с селинукс и приукрасил солярис ;)))

Ну... есть такая работа... родину защищать... ;)

Отвали. Санки без клавы оснащаются rsc (как раз через telnet)

>Но в одном парень совершенно прав, соляра уже более привлекательна даже для новичков чем линакс на x86.

Ага-ага. Если бы ТЫ сказал наоборот - удивил бы, а так ... пеар.

> Да так, год назад ты не знал что можно нажать Stop+A

??????

> Несерьезно.

Ну уж звиняйте... после break в аломе допереть до stop-a как то не мог...

>> Да так, год назад ты не знал что можно нажать Stop+A

>??????

http://www.linux.org.ru/jump-message.jsp?msgid=1261745

> http://www.linux.org.ru/jump-message.jsp?msgid=1261745

??????

Дык чего надо набрать на telnet prompt :)

break
console

> console

console -f

А то есть риск стать пассивным наблюдателем "ок" ;)

>Ага-ага. Если бы ТЫ сказал наоборот - удивил бы, а так ... пеар.

А в чем пеар? Samba+cups+Apache+Postgres+Sendmail+Bind+ipfilter уже входит в систему. Плюс GUI консоль smc - профессиональный инструмент, по сравнению со всякими костылями типа джаст в линаксе.

1a: Sending Stop-A with non-Sun keyboards or over a telnet connection

With a terminal server, the terminal is hardcoded to a “cli” interface which, in turn, telnets to the console port on the destination host. The point is to get the *telnet* to generate a break, which can be done by:

Press ctrl-] (or whatever is the telnet escape sequence)
At the telnet prompt, enter “send break”

Note that the terminal server port hosting the console must be configured NOT to pay attention to breaks and instead pass it on to the server.

1b: Sending Stop-A with non-Sun direct connect keyboards (such as those connected to a KVM)
Rumor has it that “break” or “ctrl-break” or even “~#” are equivalent to Stop-A.

>А в чем пеар? Samba+cups+Apache+Postgres+Sendmail+Bind+ipfilter уже входит в систему. Плюс GUI консоль smc - профессиональный инструмент, по сравнению со всякими костылями типа джаст в линаксе.

"гуи консоль" чем-то это напоминает всеми известную контору менеджеров ;-)

А что деточка никогда не видел SELinux Policy Editor?

http://sourceforge.net/project/screenshots.php?group_id=135756&ssid=35459

Я думал, меня просто пришибут нафик, когда я им настраивать начал.

Sun-ch кончай тупить, smc тормоз такой, что убить хочется, независимо от железа (E6900, RAM 24G), проще в консоле все сделать, так что мимо кассы.
На x86 (1-4 CPU) солярис бессмысленно ставить.
На SPARC_е ему только и место, типа купили с железом под конкретную задачу.

Так о каком выборе идет речь?

>На x86 (1-4 CPU) солярис бессмысленно ставить.

"Minimum of 256 MB of physical RAM (or 512 MB for PXE booting)" это только для текстовой установки.....

Так что полностью поддерживаю.

>На x86 (1-4 CPU) солярис бессмысленно ставить.

Почему? Солярис 10, на двухголовом р3/1000 2 гига рамы, ZFS сторадж на sata 750 гиг. Работает CGPro для большой компании, вообще нет вопросов.

> Так что полностью поддерживаю.

Прежде чем что-то поддерживать, рекомендую глянуть для чего 256 минимум. Ну а если уж сильно неймется - сядь подреж минирут, это нормальный UFS имидж c полноценной системой.

> На x86 (1-4 CPU) солярис бессмысленно ставить.

Почему ? Compaq sp700 workstation 2 Xeon'а по 550 Mhz . C nvidia работает только винда и солярка. Линух заводится только если отрубить нафик второй проц или поотключать acpi irqroute lapic и обязательно выставить в биосе частоту AGP ? А иначе при старте X-в жесткий клин.

> "гуи консоль" чем-то это напоминает всеми известную контору менеджеров ;-)

Гуи консоли появились задолго до известной конторы менеджеров

>Прежде чем что-то поддерживать, рекомендую глянуть для чего 256 минимум. Ну а если уж сильно неймется - сядь подреж минирут, это нормальный UFS имидж c полноценной системой.

Да надо бы почитать что-нить хорошое про солярис, есть рекомендации?

>Гуи консоли появились задолго до известной конторы менеджеров

Но только они умудрились это прокачать аж до рвотного рефлекса.

>Больше всего улыбнуло "this overhead has to be quite high, particularly if you have several hundred or thousands of zones "... >А оверхед таки selinux дает некислый по любым тестам Учи ангийский - тормоз, оверхед это про солярку

>Между прочим, Глен, больше 12 лет системный архитектор всех этих секурных заморочек, так что обвинять его в "искажении" - просто глупость. Он, кстати и не возражал по поводе того, что он мудаг. три строчки его возражений - просто придирка к неправильной, по его мнению, формулировке.

> чи ангийский - тормоз, оверхед это про солярку

Сына иди читай из-за чего они спорят...

Sun-ch>> Почему? Солярис 10, на двухголовом р3/1000 2 гига рамы, ZFS сторадж на sata 750 гиг. Работает CGPro для большой компании, вообще нет вопросов.

iBliss> Почему ? Compaq sp700 workstation 2 Xeon'а по 550 Mhz . C nvidia работает только винда и солярка.

Вы братья по разуму, что-ли? Я сказал бессмысленно, а не невозможно.

> Вы братья по разуму, что-ли? Я сказал бессмысленно, а не невозможно.

"Если звезды зажигаются - значит это кому нибудь нужно".

Я конечно понимаю, что наличие иного мнения сильно, колбасит внутренний мир рядового линуксоида, но увы... оно есть...

> Да надо бы почитать что-нить хорошое про солярис, есть рекомендации?

docs.sun.com opensolaris.org

>Плюс GUI консоль smc - профессиональный инструмент, по сравнению со всякими костылями типа джаст в линаксе.

ну это конечно нетак. этим "профессиональным" инструментом профессионалы вообще непользуются. тот факт, что единственное в чем сходятся истинные ненавистники соляры и ее воинственные зилеты - это никчемность и монстрообразность cmc, говорит сам за себя.

>На x86 (1-4 CPU) солярис бессмысленно ставить.

видел восьмерку, отлично работающую на 2xPII-300, 4G c ораклом 8.1.7. скорее всего до сих пор работает.

>т.е. I/O оверхеда на файловых операциях, если у вас пару сотен или тысячи зон, не будет? ;)

оверхед есть в любом случае, просто в соляре он меньше. в линаксе же безопасность можно настроить на самом низком уровне (на уровне TE) и очень гибко... в то время как в соляре доступен только MLS.

>может зоны и лучше(спору нет ;),

зоны конечно хороши, но в данном случае вряд ли лучше.

>но Гленн явно сгустил краски в случае с селинукс и приукрасил солярис ;)))

несомненно. чего только стоит совершенно неверное утверждение о том, что после изменения политик нужно перегружать систему, или утверждение

<quote> Thus, for every application, file, user, network, or process that a customer wants to access, essentially anything on the system, a specific line in a security policy configuration file must be written. </quote>

вообще смехотворно.

> это никчемность и монстрообразность cmc, говорит сам за себя.

Насчет никчемности это зря, если скажем она была столь же шустрой и гибкой как SMIT в AIX и умела сохранять все настройки в темплейты как linuxconf (к сож не в курсе жива ли эта тулза еще в редхате) была бы вкусняшка.