Vlákno názorů k článku Neměnný operační systém: odolný útokům nebo uživatelům? od tzl - V článku se neustále zmiňuje bezpečnost, ale přijde...
-
V článku se neustále zmiňuje bezpečnost, ale přijde mi že se tím myslí hlavně stabilita a nerozbitnost - slovo útok je poprvé a naposledy v titulku.
Jak se koncepčně řeší u těch flatpacků a pod když nějaká low-level knihovna najde závažnou zranitelnost? Postaru updatuju tu jednu knihovnu, ponovu čekám až si toho všimnou všechny aplikace a průběžně updatuju všechny, jednu po druhé? Trochu mi přijde že se tím vrací do doby statických knihoven před ELFem.Nebo se spoléhá na
Pokud by jakýkoliv škodlivý program, proces či útočník chtěl na vašem systému provést změny, které by váš počítač přinutily chovat se nestandardně, tak by se mu to buď nepovedlo nebo jen do chvíle, než počítač restartujete.
?Jinak pamatuju v první polovině nultých let pravý immutable systém u jedné pseudostátní organizace - boot z CD, první krok smazání většiny disku. Aktualizace znamenala vypálení nových CD. Instrukce pro nonstop dohled - když to nefunguje rebootujte.
20. 9. 2024, 08:39 editováno autorem komentáře
-
Tiez ma to irituje, ako sa jednym slovkom "bezpecnost" autor dookola snazi vyvazit vsetky nevyhody okolo :) a pritom jeden odstavec, co je tou bezpecnostou naozaj myslene by clanku dost pomohol.
Nevyhody:
- treba sa ucit nove postupy,
- treba cakat na aktualizaciu upstreamu + kym to niekto zabali do prave modneho kontajnera + extra cas navyse na stiahnutie + extra cas na reboot + opakuj pre vsetko co nie je zdielane.
- uzivatel/utocnik nevie omylom zmazat OS (resp. jednoduche rm -rf nestaci),
- aplikacia v kontajneri sa nevie "zazrat" do systemu tak, ze je tazke ju odstranit.
20. 9. 2024, 10:46 editováno autorem komentáře
-
Zkousel jsem immutable Fedoru a usoudil jsem, ze pro me to neni - k mym zazitym postupum uzivani prehistorickych nastroju typu mc, vim je to prilis odolne, jak je trefne uvedeno v nadpisu clanku :)
Ale! Kdyz se nad tim zamyslim, tak pro zakladni pouziti treba u rodicu odpada vetsina nevyhod a jednoduchost zachranit system je pro me jako potencialniho spravcu rodicovskeho/detskeho systemu docela fajn.
20. 9. 2024, 15:11 editováno autorem komentáře
-
ak se koncepčně řeší u těch flatpacků a pod když nějaká low-level knihovna najde závažnou zranitelnost?
Ty low-level knihovny, obzvláště ty bezpečnostní, jsou zpravidla součástí runtimu, protože to je něco, co si jako autor aplikace nechcete spravovat.
Na Flathubu je základem všech runtimů FreeDesktop Runtime, který obsahuje opravdu ty nejzákladnější věci, na něm staví GNOME a KDE runtimy. Když tedy objeví chyba třeba v OpenSSL, opraví se ve FreeDesktop Runtimu a díky tomu také ve všech ostatních runtimech, které na něm staví, a všech aplikacích, které je používají.
Nicméně pokud je chyba v tom, co obsahuje samotná aplikace, musíte se spoléhat na jejího autora, že to opraví. Flathub nezakazuje bundlování. Autor aplikace si může klidně přibundlovat vlastní OpenSSL a pak je to na něm, aby si to opravil. Ultimátně je to tedy o důvěře v autora aplikace. Ale to platí u distribučních repozitářů. Bundlování je sice zpravidla zakázané, ale běžně se děje a opět je to o důvěře ve správce balíčku, že to má pod kontrolou.
Jediná distribuce, u které jsem viděl, že se šlo opravdu balíček po balíčku, odstraňovalo se vlastní krypto a vynucovalo se používání vybraných systémových knihoven, byl RHEL.
-
To je easy, viz nedavno tady kolem tokeny Yubi, proste to vemes, rozslapnes a vymenis.
A pokud bys nekdy videl aspon z rychliku libovolnej korporat, tak odpoved je velice snadna. Neaktualizuje se nic. A to ani v tom pripade, ze bys hypoteticky moh. Proc? Protoze dodavatel ti garantuje ze X bude funkcni prave s verzi a revizi Y. S zadnou jinou. Jakakoli aktualizace = kdyz se to podela, at uz to s tim neco spolecnyho ma nebo ne, je to na tobe.
Jak se to teda resi? Mno vkladaji se mezi to vsemozny proxy, ktery to dost casto vsemozne rozbijej samy o sobe, ale je tu proste nejaka snaha ten primarni system pokud mozno maximalne odstinit od cehokoli.
