Google zaplatil dva vývojáře, kteří mají zlepšit bezpečnost linuxového jádra

Parler vs demokratický svět - to je zatím nejkomičtější (dez)interpretace, jakou jsem na toto téma četl.

Poleno: Když napíšete „myslím, že po přelomu roku málokdo pochybuje“, znamená to, že podle vás na přelomu roku došlo k nějaké zlomové události, po které si museli i ti poslední něco uvědomit.

Off-topic byl už ten váš příspěvek o korporacích, já jsem na něj jenom reagoval. Vy jste nenapsal, jakou událost „myslíte“, a tyhle to klidně mohly být. Navíc jste v komentáři níže sám napsal, že Parler byl jeden z těch případů, které jste „myslel“ – takže jsem akorát pojmenoval to, co vy jste jennaznačoval.

Lež, výmysl Filipa Jirsáka.
Případy, že nějaká platforma někomu přestane poskytovat služby, se objevují v médiích třeba každé dva roky. Na přelomu let 2020/2021 nedošlo k ničemu přelomovému, o čem by se dalo prohlásit „od teď už musí každý vědět“.

Lži jsou naopak vaše věty o „dávno prokázaný nesmysl“ nebo „neplatí ani smlouva, ani zákon“.

Tím jste měl ten svůj "rozbor" začít a dál nepokračovat.
Ono by bylo vůbec nejlepší, kdybyste vy vůbec nezačínal.

Poleno: Reagujete na části vět, ale význam celého komentáře vám uniká.

pokud si nejste jistý, co diskutující myslel, tak se máte zeptat a ne si vymýšlet nějaké lži
Výborně, Poleno otočilo o 180 stupňů. V minulé diskusi do krve hájilo to, že je v pořádku, když si domyslí, co chtěl diskutující napsat. Jsem rád, že jste to konečně pochopilo – alespoň k něčemu ten můj komentář byl.

Ano, ale mění se důvody a agresivita.
Ne.

Pokud ne, můžete mi úvést nějaké dva příklady z minulosti, kdy poskytovatel vypne ze dne na den síť s miliony nových uživatelů denně,
Psal jste, že se změnily důvody a agresivita. To nijak nesouvisí s tím, jestli jde o nějakou síť a kolik nových uživatelů denně ta síť má. V minulosti např. i v ČR webhosting vypnul webové stránky propagující nacismus, určitě byly případy, kdy poskytovatel přestal poskytovat služby kvůli porušování autorských práv.

přestože ve smlouvě je 30 dnů lhůta na nápravu
Ne, ve smlouvě je možnost okamžitého pozastavení poskytování služeb – kapitola 6 AWS Customer Agreement. Vy se pořád oháníte tím, jak máte rád fakta a jak já lžu, přitom si bezostyšně vymýšlíte.

zatímco ostatní se stejnými i horšími prohřešky ponechá
Naštěstí míru závažnosti neposuzujete vy.

Ty se Vám ale nehodily.
Nikoli. Jenom jsem vám nechtěl nahrávat na vaši politickou agitku.

Co kdybyste konečně začal číst komentáře a diskutovat namísto vkládání vlastních významů a selektivně vybraných částí vět? Pak nebudete muset další dny ostatním tvrdit, co tím ještě všechno mohli myslet, když seskládáte vybrané kusy podle Vás.
Co kdybyste se radši staral o sobe a příště místo nicneříkajících vět „po přelomu roku málokdo pochybuje“ rovnou napsal, o jaké události mluvíte? Ono totiž to, že připadá přelomová vám, ještě neznamená, že ji za přelomovou považují i ostatní. Ostatně pořád ještě jste nenapsal, proč podle vás ty události byly přelomové.

Domyslet si, co znamená po přelomu roku málokdo pochybuje o tom je něco jiného než tvrdit, že Poleno to teď poprvé zaregistroval.
V čem je to jiné?

Prostě zase jednou lžete.
Zase jednou? Vy jste mi zatím nikdy žádnou lež nedokázal.

Souvisí, protože zatím byly cíle malinké a v podstatě, z pohledu návštěvnosti, zanedbatelné.

Ale musím Vás pochválit, toto je v této diskuzi první skutečný argument. Jen tak dál.
Ne, chválit mne fakt nemusíte. Pochvala od někoho, kdo si notoricky vymýšlí, mne nezajímá.

To jsou obecká ustanovení.
No a? Obecná ustanovení podle vás nejsou platná, nebo co jste tím chtěl říci?

Jak v podání, tak obajobě Parler vs. AWS je jasně uvedena citace 30 dnů na nápravu.
Jaké podání? Jaká obhajoba? Jediná relevantní věc je upozornění případně výpověď smlouvy ze strany Amazonu. Vy ten dokument máte k dispozici?

Tak už nemanipulujte.
Co si vymýšlíte, jaká manipulace? Já jenom předkládám fakta. Že se vám fakta nelíbí je váš problém.

Ani Vy
Já jsem ale netvrdil nic o tom, že byla porušena smlouva nebo zákony.

přesto se na míru závažnosti obsahu Twitteru můžete sám podívat, třeba vyhrožování Izreali genocidou
Ono nezáleží jen na tom, co někdo říká, ale také kdo to říká. A nevšiml jsem si, že by Twitter měl v podmínkách, že má povinnost tweety mazat nebo blokovat účty. Má právo to dělat. Takže vaše srovnávání s jinými tweety zatím stojí na vodě.

Dodnes to tam je, stejně jako výzvy k perzekuci voličů (AOC) u voleb prohrávající strany či násilí v ulicích z léta
A taky z podzimu. Ano, Twitter nesmazal všechny tweety Trumpa.

No, nakonec mě možná ulžete a ztratím zájem se v tom plat, ale k čemu to ...
Vždyť jste psal, jak milujete fakta. A najednou označujete fakta za lež?

Poleno:
– otázka: „V čem je to jiné?“
– Poleno odpovídá: „Je to něco úplně jiného.“

Hm, to jste to opravdu odůvodnil.

Ano, prostě jste zkusil lacině odkaz na obecná ustanovení. Nevyšlo. Jak evidentně nevíte, tak Twitter i Parler mají s Amazonem své vlastní smlouvy. Jejich obsah je sice neveřejný, pokud vím, ale jak v podání, tak proti podání (neznám česky překlad) byly jejich citace a odkazy na ně - v odůvodněních.
Já jsem dal odkaz na všeobecné podmínky Amazonu. Vy si myslíte, že mají jinou smlouvu, a myslíte si, že tam mají jiné podmínky. Hm, to máte opravdu pádné argumenty.

Nepředložil je vůbec nic. Absolutně nic
Já jsem odkazoval na obecně dostupné všeobecné podmínky Amazonu. Klidně vám přidám i odkaz, pokud si je neumíte najít.

Nepředložil je vůbec nic. Absolutně nic - jenom doměnku ..
To jste si nás popletl. Já jsem odkazoval na všeobecné podmínky Amazonu. To by jste prezentoval jen domněnky, že mají individuální podmínky a co v nich je.

Na blbou otázku blbá odpověď.
To je jen výmluva někoho, kdo na otázku nechce odpovídat. Jinak je totiž možné napsat, v čem je ta otázka blbá.

- málokdo pochybuje je obecké konstatování pouzajující na nějakou zjevnou věc, v podstatě spíš řečnický obrat, zatímco
- Poleno si všiml až teď je konkrétní prohlášení o konkrétních znalostech konkrétní osoby?
Fajn. Jenže porovnáním, zda to je nebo není to samé, tu operujete akorát vy.

A to jste to ještě použil v hanopisu.
Co kdybyste začal sobě měřit stejným metrem, jakým měříte ostatním? To, že se o někoho otíráte vy, je naprosto v pořádku. Ale běda jak se někdo stejným způsobem otře o vás.

Jeden by se mohl divit, že se nedožaduje seznamu lidí, kteří by o tom tedy nepochybovali
Ano, to by vám bylo podobné. V tom vy se přímo vyžíváte, polemizovat s něčím, co nikdo nepsal.

Ne, já si to nemyslím, já to vím, je na to přímo odkaz v podání žaloby.
Jasně, „víte“ něco, co tvrdí jedna strana sporu.

A ty jsou k tomuto irelevantní, jak už Vám bylo sděleno dvakrát
Nejsou irelevantní. Nedá se očekávat, že by si nějaký Parler s Amazonem vyjednal diametrálně odlišné podmínky. Vy ty podmínky neznáte, takže jediné, z čeho můžeme vycházet, jsou ty všeobecné podmínky.

AWS is also breaching it contract with Parler, which requires AWS to provide Parler with a thirty-day notice before terminating service, rather than the less than thirty-hour notice AWS actually provided
Máte nějaké vysvětlení proto, proč jste se pořád nepodíval do těch všeobecných podmínek a na můj komentář o kapitole 6 neustále reagujete komentáři o kapitole 7? Chápete, že kapitola 6 je o něčem jiném, než kapitola 7?

Ne, vy jste tvrdil, že to je to samé
Netvrdil.

Ano, jedna strana to říká a druhá to nerozporuje.
Jasně, Amazon vám musí hlásit veškeré kroky, které podniká.

Máte Vy nějaké vysvětlení proč neustále ignorujete, že mezi Parlerem a Amazonem je jejich vzájemná smlouva a ne obecné podmínky?
Vy jste pro své tvrzení nepodal žádný důkaz, takže není žádný důvod, proč bych tomu tvrzení měl věřit. No a dost pochybuju o tom, že ta údajná smlouva mezi Parlerem a Amazonem je veřejná, takže vaše argumentace tím, co si myslíte, že je v té smlouvě, je akorát směšná.

Poleno: Lžete a manipulujete tu jenom vy. To, co jste citoval, je úplně něco jiného, než co jste z toho pak udělal.

Neútočím na osobu. Útočím na váš argument, že když vy nevíte o protiargumentech Amazonu, neznamená to, že takové argumenty neexistují.

Já jsem psal o suspendování, Amazon argumentuje suspendováním, soudkyně to potvrdila. Ale vy tvrdíte, že je to lež a porušení zákona. Na základě čeho to tvrdíte? Váš názor má přednost před rozhodnutím soudu?

Vaši lež i mé trvrzení o smlouvě považuji za dostatečně prokázané a jednostranně ukončuji tuto "komunikaci".
Chápu, došlo vám, že obhajovat to, že váš názor má přednost před rozhodnutím soudu, byste obhájil jen těžko. Jako vždy, nakydáte do diskuse spoustu lží, a když pochopíte, že je neobhájíte, vypaříte se.

Záleží na tom, čemu říkáte "volitelné možnosti". Tak třeba nejvíc práce na linuxové implementaci TCP za posledních deset let odvedli právě zaměstnanci Google a jeden z nich je velmi pravděpodobně nejaktivnějším vývojářem linuxového síťového stacku obecně. Ale jestli vás to děsí, tak si klidně můžete přeložit jádro s vypnutým CONFIG_NET, aby se vám spalo klidněji...

Záleží na tom, čemu říkáte "volitelné možnosti
To co jde vynechat pri konfiguraci a nebude to soucasti kompilacniho procesu.

25. 2. 2021, 20:26 editováno autorem komentáře

Ale jestli vás to děsí, tak si klidně můžete přeložit jádro s vypnutým CONFIG_NET, aby se vám spalo klidněji
Kde jsem psal neco ve smyslu desi, to si me pletes s "Polenem"

Ale vazne, musi to odsouhlasit vzdy Linus nebo jeho spriznenec?

Redakce: na co je tu tlacitko upravit, kdyz to pak upravit nejde?

Muj nazor je, ze cokoliv vys nad jazykem C je v pripade kernelu cesta do pekel. Uz ted je ten kod nesmirne slozity, ale porad pochopitelny a ladeni neni taky zadna slast. Ve chvili kdy se do veci zacnou mychat takove veci jako dedicnost, polymorfizmus, anonymni funkce, pretezovani operatoru, sablony (...) stane se orientace v tom co ten kod dela hotovym ocistcem. Nemluve o situaci, kdy by jste chtel nejak sledovat, jak dany kod funguje v kontextu jednotlich vrstev OS.

Za me, klidne at si kernel forkne kdo chce do ceho chce, treba klidne do Rustu, C++, C#, Go, Valy ci cehokoliv jineho kdo bude chtit a schopen - me je to sumak. Ale standardni kernel at zustane ciste C zalezitost - a to pisu jako vylozeny milovnik C++.

Tak určitě nechcete používat přístupy typu C++, kde je pomalu specifikace jazyka delší než výtvory v něm. (Nadsázka, pro ty, co nemají smysl pro humor.)
Přístupy C#, Go přináší maximálně evoluční zlepšení produktivity programování, protože oproti C jak sám poznamenáváte jen zesložiťují a bezpečnost zase tak razantně tím pádem nezlepšují, výhody lehčí správy paměti totálně negují vyšší složitostí.

Jak jsem psal, možná by bylo možné adaptovat myšlenky Clojure na velkou část problémů přímo v kernelu. Bootstrap, různý bit pushing, různé opravdu horké cesty, "kde to jinak nejde" a rozhraní k hardwaru by se řešilo např. v tom Rustu, případně troše assembleru. Zbytek by běžel nad nějakou VM, např. na způsob BPF. Výhoda by byla, že by šlo hodně kódu měnit za běhu hodně jednoduchým způsobem. Na ten opravdu poměrně malý zbytek, což by klidně mohlo být třeba i "jen" několik desítek tisíc řádků kódu, by asi šlo využít současných hacků jako live patch.

Jinak k tomu C++ bych Vám hodně doporučoval se podívat na Simple Made Easy od Riche Hickeyho (https://www.youtube.com/watch?v=kGlVcSMgtV4), který C++ asi taky rozumí opravdu dobře. Ono obecně o složitosti se hodně mluví, ale skoro nikdo nejde a opravdu vážně jí neeliminuje. Jinak o Clojure psal i Pavel Tišnovský tady na Rootu, z pochopitelných důvodů psal ale víc o jazyce, než o těch myšlenkách. Ano, v Clojure můžete napsat složitý kód taky, ale v C++ jste k tomu prakticky nucen. Je to asi jako když můžete řídit vyspaný, zdravý a střízlivý oproti řízení po dlouhé šichtě, podnapilý a se zlomenou nohou. Lehčí je to první, komplexita problému je jinak stejná.

Tak pokud by se to mělo hemžit unsafe bloky, pak to samozřejmě nemá žádný smysl. Předpokládal bych, že unsafe blok by byl jen výjimkou, která by měla i třeba přísnější režim akceptace patche (minimální možný rozsah, důslednější code review např. více Acked-by, atd.), nějaká pravidla pro umístění ve stromu zdrojáků, pojmenování atd.

Důvod, proč jsem se ptal, je ten, že už jsem četl hodně podobných pojednání, proč by bylo dobré jádro (nebo aspoň jeho část) přepsat so rustu (nebo jiného cool jazyka) nebo dokonce proč je to nezbytné, a zatím pokaždé se ukázalo, že autor takového pojednání sice asi dobře rozumí příslušnému jazyku, ale o vývoji jádra a problémech, se kterými se tam člověk potýká, toho vlastně moc neví. Bohužel je to většinou patrné už z toho textu. Pokud chcete nějaký do očí bjiící příklad, tak třeba

jedna z výhod Rustu, kde někdo poladil implementaci B stromů a tak je nemusí každý člověk znovu a znovu implementovat, ale může využít jednu implementaci, která je otestovaná a hodně výkonná

Opravdu si myslíte, že když v jádře někdo chce použít třeba red-black tree, tak si tu implementaci pokaždé musí napsat znovu? Takových míst, kde vycházíte ze své představy, která neodpovídá skutečnosti, nebo se snažíte řešit nepodstatné problémy a naopak opomíjíte ty podstatné, je v těch vašich dvou komentářích bohužel víc.

Věřím vám, že to myslíte dobře, ale asi by to spíš chtělo někoho, kdo zná opravdu dobře oba ty světy. Zatím to vypadá, že buď nikdo takový neexistuje nebo přesvědčení o užitečnosti takového kroku nesdílí.

Prosil jsem Vás "Zkuste prosím číst můj příspěvek tak, že je to konstruktivní snaha posunout stav věcí někam dál, kde je to pro všechny zase lepší." Očividně máte potřebu mi vkládat do úst něco, co jsem nepsal.

Samozřejmě, že si v kernelu nějakou infrastrukturu vytvořili a mj. napsali si třeba klidně i v kolaboraci s jinými projekty nějaké datové struktury. Tyhle struktury ale nejsou součástí jazyka mají jiné právní zakotvení (ne všude je GPL 2.0 použitelné), takže ano, do jisté míry si ty struktury implementuje každý projekt sám a nebo se musí ujistit, že jsou naimplementované v konkrétní knihovně nebo tak někde a že je ta implementace kompatibilní (a nemá třeba zásadní buggy).
Kdyby práce se stromy byla v C nebo podobných jazycích tak idiomatická, tak by se pořád na školách hned v základním kurzu nevyučovalo, jak je implementovat - mluvilo by se o tom, jaký vybrat na konkrétní problém a třeba by se více porovnávalo chování hotového kódu. Rozhodně by nebylo běžné třeba během cvičení ukázat, jak se chová hned několik implementací RB stromu, B stromu, AVL atd., protože prostě vývoj v C, C++ apod. se pohybuje geologickou rychlostí a všechno je boj.

Výhoda myslících bytostí oproti přírodě je, že my si auto můžeme postavit (nebo koupit) za zlomek délky života (peněz, které za život vyděláme) a využívat ho a nemusíme čekat miliony let, než nám narostou nějaká proto-kola nebo proto-křídla. Bohužel v zaběhlých projektech hodně tíhneme k tomu druhému přístupu a jen se evoluci snažíme popohnat.

Víte, já bych se hrozně rád dostal do stavu, že kvůli bezpečnostním updatům nemusím nikdy nic restartovat, že se to vymění za běhu. Bohužel současná řešení toto prakticky nikdy nesplňují zcela nebo jsou příšerně složitá a drahá a výsledek je nejistý. Už jen tohle mj. způsobuje spoustě firem nemalé ztráty.

Asi bych naši diskuzi uzavřel s tím, že buď někdo napíše konkrétní řešení, nad kterým bude možná další diskuze a nebo se pojede dál jako doposud s tím, že budeme evolučně přepisovat nějaké moduly z C do Rustu, ale systematicky se nikam moc neposuneme.

Jak už jsem napsal, já chápu, že to myslíte dobře a snažíte se opravdu o něco konstruktivního. Ale ten nedostatek znalosti toho, co se snažíte vylepšit, je na tom bohužel až příliš zřetelný. A já prostě nevěřím tezi, že pro zásadní vylepšení je výhodou nebýt zatížen znalostí současného stavu a historie, která k němu vedla.

Např. právě ta snaha mít toho co nejvíc přímo v jazyce může být kontraproduktivní. Už jsem třeba viděl projekt psaný v C++, který kvůli efektivitě složitě obcházel základní součásti standardní C++ knihovny, aby je mohl nahradit vlastními lightweight variantami - a to byl userspace. Pokud by se takový jazyk (nebo spíš nějaký ještě "lepší" - i C++ je mnohými považováno za koncepčně zastaralé) měl použít pro jádro, bylo by ho nutné přiohnout ještě víc - a z mnoha výhod, kvůli kterým byl navržen, by byly spíš nevýhody.

Na rovinu: představa, že by mělo být půl jádra v C a půl v rustu, mne děsí. To by bylo utrpení jako pro céčkaře, tak pro rustaře. To už bych viděl daleko víc smyslu v tom, kdyby si ti, kdo jsou přesvědčeni, že rust (nebo jakýkoli vyšší jazyk, který není jen "makroassembler") je pro jádro operačního systému vhodnější než C, zkusili napsat vlastní. Aspoň by se tak mohli vyhnout spoustě historických kompromisů. Ostatně nějaké takové projekty už existují, takže proč nepočkat, jestli opravdu budou o tolik příjemnější pro vývojáře i uživatele?

Bez ohledu na to, co víte o jádru a já o něm nevím (a nechci vědět), myslím si, že jestliže jádro je psáno v jazyku, který nechává vše na vývojáři, přičemž ten má jen omezené schopnosti, kdy velikost projektu je bezesporu přesahuje, pak je něco koncepčně šeredně špatně a nutně se to musí někde projevit. Ona abstrakce nevznikla, jak si zde mnozí myslejí, proto, aby si u toho někdo vy*****, ale právě ke snížení složitosti (a závislostí).

Kalisz:
Pohohl by vaší myšlence zjednodušení a zmenšení závislostí mezi částmi systému přechod od monolitického jádra k mikrojádru?

Moje myšlenka se od typického postoji k mikrojádru docela liší. Já na striktní separaci např. souborového systému od "skutečného" jádra netrvám. Brendan Gregg např. BPF, které je už mé myšlence poměrně blízko označuje za zlom: http://www.brendangregg.com/blog/2019-12-02/bpf-a-new-type-of-software.html který možná striktní separaci monolitický vs mikro-kernel boří.

Mezi kernelem a souborovými systémy nějaké abstrakce již dnes aspoň v Linuxu jsou. Pokud se nepletu, je tam VFS, případně různé DAX mechanismy pro přímější přístup (třeba pro perzistentní paměť nebo hodně rychlá úložiště).
Zrovna souborové systémy by z jazyka s vyšší úrovní abstrakce mohly těžit poměrně hodně. Stávající souborové systémy tedy i v tom C spoustu různých abstrakcí, testů a všeho možného mají, ale je to z velké části custom pro Linux nebo dokonce ten souborový systém.

Zkrátka, mikrokernel je zajímavý nápad, ale v praxi se obávám přeci jen obstojí spíše nějaký zdánlivý kompromis, kdy kernel zprostředkuje soubor nějakých hodně zoptimalizovaných a dobře prověřených komponent, které lze třeba atomicky za běhu vyměnit a které se dají skládat nad nějakou virtuální mašinou pomocí hodně vysokoúrovňového jazyka, který odstíní různé podružnosti.
V podstatě by velké části kódu jádra vypadaly tak, že by "Linux" byl "jen" knihovna funkcí a substrát pro běh kódu.