Red Hat и IBM решили (http://www.it-observer.com/articles.php?id=913) объединить усилия в придании следующей версии дистрибутива Red Hat Enterprise Linux 5 статуса одного из самых безопасного.
Подобный амбициозный план, будет решен благодаря интеграции в RHEL дополнительного набора патчей, надстроек и наборов правил для SELinux, разработанных IBM, Red Hat, TCS (http://www.trustedcs.com/) (Trusted Computer Solutions), NSA (http://www.nsa.gov/) (National Security Agency) и сообществом свободных разработчиков.
RHEL 5 будет сертифицирован по программе EAL4 (Evaluation Assurance Level 4), для использования в правительственных учреждениях. Кстати говоря, SUSE Linux Enterprise Server 9 получил (http://www.novell.com/coolsolutions/tip/11688.html) EAL4 сертификат в начале этого года.URL: http://www.it-observer.com/articles.php?id=913
Новость: http://www.opennet.me/opennews/art.shtml?num=6163
Лохотрон и PR сплошной... Как будто бумажкой избавят голимое 2.6 ядро от его бесчисленных проблем........ :-(
Хочу обратить внимание на тот факт что наличие уявзвимости в ядре не всегда приводит к компромитации системы именно благодоря:интеграции в RHEL дополнительного набора патчей, надстроек и наборов правил для SELinux, разработанных IBM, Red Hat, TCS (Trusted Computer Solutions), NSA (National Security Agency) и сообществом свободных разработчиков.
Про проблемы поподробнее пожалуйста. Альтернатива?
т.е. ты на 2.4 сохнешь? или на бзде тормоза ловишь? ;)
редхат планирует наудрить своих пользователй еще разок :)
Ядро потихоньку вылизывают, так что не все так плохо. Лично мне в шапке не нравится обилие всяких конфигурялок, котрые скрывают от меня, что на самом деле происходит. И удаленно ими пользоваться проблематично. Но если шапка потратит больше средств на свое обезопасивание - будет только лучше.
> Лично мне в шапке не нравится обилие всяких конфигурялокА мне в шапке не нравится отсутствие обилия конфигурялок.
В потрохах я дома могу поковыряться, на работе нужно работать.
работа - это раскладывание написанных ранее (своих) конфигов.
А конфигурялки - это действительноигрушки для молодых ;)
>Ядро потихоньку вылизывают, так что не все так плохо. Лично мне в
>шапке не нравится обилие всяких конфигурялок, котрые скрывают от меня, >что на самом деле происходит.
Кто тебе злой буратина и мешает изучить нативные процессы, что вызываються всякими GUIшными конфигурялками?
Лично я тоже не люблю редхат и подобные дистрибы, но это один из двух дистрибутивов (второй SLES), сертифицированных к промышленному применению.
> И удаленно ими пользоваться проблематично.
Гм.. подключаешься через SSH и конфигури наздоровье, только да, всякие GUIшные штуки работать будут фигово, а прокидивать Х траффик в тунелле ssh - идея нездоровая.. Так что учита матчасть..
>Но если шапка потратит больше средств на свое обезопасивание - будет >только лучше.
Вот с этим согласен целиком и полностью.
Может и Fedora перепадет что-нибудь с этого, как с SELinux было.
Хотя вероятнее там появится даже раньше, чем в RHEL, они на Федоре любят такие вещи тестировать.
ага
Microsoft тоже планирует. Ужэ давно ;)
Однако, вкладывание дополнительных средств безусловно пойдет на пользу всему сообществу, а не только RedHat.
Самый безопасный дистрибутив - тот у которого пакеты
не "перекроены" кривыми руками.
RH что , на openBSD переходит?
>RH что , на openBSD переходит?
И Solar Designer`а к себе на пол ставочки :))
Вспоминается анекдот "пока они не лягут ничего уних не получится"
Это к тому что пока они не начнут делать _полный_ аудит кода пакетов включаемых в дистр, о повыщении надежности можно забыть. Или гворить только о каком либо конкретном дистрибутиве. Поставил на него новый пакет - забудь о безопасности.
Но хотя у голубых денех куры не клюют, может чего и срастется.
Но лично мне слабо в это верится ...
>RH что , на openBSD переходит?дык заголовок то про то, что RH решило похерить производительность
а про секурити было сказано.
опенок - в лес ;)
ЛОЛ если уж линукс а не фря то лучший дистрибутив дебиан! а секьюрность єто дело рук админа а не дистрибутива!
>ЛОЛ если уж линукс а не фря то лучший дистрибутив дебиан! а
>секьюрность єто дело рук админа а не дистрибутива!если Линух - то уже пофиг какой дистр.
Или кто-то зависит от [не]желания производителя [не]ставить какую-либо прогу ??
Вот скажите мне, в каком-нибудь production-дистрибе линукс появился spamassassin 3.1.0?
И clamav 0.87? Накой тогда эти RHELы с SELinux, если есть FreeBSD и MAC и свежайший софт и очень стабильная базовая система? :)
Gentoo, а теперь флейм :)
>Gentoo, а теперь флейм :)Gentoo совсем не production. Как и дебиан, например. Хотя мне Gentoo понравился, но это не повод считать его pr.q.distr-ой...
А в каком ваще продакшн дистрибутиве *nix оно имеется ? Я вот ни одного не знаю. Что касается FreeBSD так все равно порт свежий тянуть и ставить. Лично я для дебиана не обломался, стянул оный спамассассин и поставил с сорцов, нисколько не напрягшись. Времени заняло 20 минут. Где проблема то ?
А в чём проблема с "порт свежий тянуть и ставить"? Это штатная процедура. maintainer порта ещё патчики может полезные наложить, удаление или обновление - движением пальца. А вот софт из сорцов - это порнография, если потом предполагается обновление, а не "поставил, получил бабки и выкинул из головы"...
У меня пол системы из сорцов, и хлам 0.87, и много чего еще. И ни каких проблем с обновлением. Дистр Слака. А вот в конфигурялочных из сорцов обновляться действительно труднее, так как конфигурялки эти сорцы плохо в себя воспринимают. А в слаке я руками прописал конфиг и точно знаю, что, где, когда и зачем. А что там пропишет (и где, и как) конфигурялка - один леший знает.
dimus, и что, нашлись желающие доверить Вам сеть хотя бы с десятком unix-серверов? :-)
> dimus, и что, нашлись желающие доверить Вам сеть хотя бы с десятком unix-серверов? :-)
Не, серверов у нас поменьше. :) Десяток юникс-серверов - это довольно круто, на мой взгляд. Но тут уже проблема переходит в другую плоскость - плоскость правильного планирования. А без него, на мой взгляд, каким бы способом обновления ПО вы не пользовались, проблем не избежать. Хотя конечно загнать в систему заранее скомпилированный и подготовленный пакет гораздо быстрее и проще, чем компилировать его каждый раз из исходников. Но, с другой стороны, человек, использующий только пакеты "из коробки" зависит от того, кто эти пакеты собирает. Т.е. надо долго ждать новой версии и после ее выхода использовать пакет, который был собран для некой СРЕДНЕЙ машины, а не для твоей.
Как всегда, каждая палка имеет минимум два конца ;)
А причём пакеты из коробки? Я скромно утверждаю, что версионные дистрибы - отстой. Как и сборка из сорцов с загаживанием системы. Как эти пакеты приведены в рабочий вид - монопенисуально.....
А что по вашему не отстой?
>А причём пакеты из коробки? Я скромно утверждаю, что версионные дистрибы -
>отстой. Как и сборка из сорцов с загаживанием системы. Как эти
>пакеты приведены в рабочий вид - монопенисуально.....Я тут еще подумал что вы называете "остойным" все основные принципы, "установки" ПО на линукс дистрибутивах.
В принципе тотже windows, является "версионным дистрибутивом".
>> dimus, и что, нашлись желающие доверить Вам сеть хотя бы с десятком unix-серверов? :-)
>Не, серверов у нас поменьше. :) Десяток юникс-серверов - это довольно круто,
>на мой взгляд. Но тут уже проблема переходит в другую плоскость
>- плоскость правильного планирования. А без него, на мой взгляд, каким
>бы способом обновления ПО вы не пользовались, проблем не избежать. Хотя
>конечно загнать в систему заранее скомпилированный и подготовленный пакет гораздо быстрее
>и проще, чем компилировать его каждый раз из исходников. Но, с
>другой стороны, человек, использующий только пакеты "из коробки" зависит от того,
>кто эти пакеты собирает. Т.е. надо долго ждать новой версии и
>после ее выхода использовать пакет, который был собран для некой СРЕДНЕЙ
>машины, а не для твоей.
>Как всегда, каждая палка имеет минимум два конца ;)
Поэтому те, кто не может себе позволить терять деньги на простоях покупают нормальные сервера
и ставят на них сертифицированный софт, всячески уменьшая издержки на техническую поддержку. Ни в одной серьезной компании я не встречал других дистрибов линюкса кроме как RHES или SLES.
В разные периоды приходилось поддерживать разное количество серверов, до 15-ти. 12 из них были на gentoo. 3 - redhat 9.0.Софт используемый на серверах, обычно небольшой по размеру 1-2 Мб сырцов, дольше всех компилируется openssl и mysql ~10 мин. Конечно я не беру во внимание оракл и иже с ним, томкет, джаву которые попросту нельзя компилировать, а необходимо использовать бинарные пакеты, если не хочешь кучи проблем.
Обычно схема такая есть раб. станция админа - где он проверяет обновления, изменения в конфиге патчи и т.д. Создает tbz пакет бинарников, и уже на серверах накатывается. Процедура регламентирована и занимает совсем не много времени. На серверах ничего не компилируется.
Тоже самое развертывание нового сервера занимает ~15-30 минут.
Разделы, stage, lilo, ядро, необходимые пакеты из имеющегося бинарного репозитария.
Gentoo меня подкупает своей простотой и гибкостью, тем более что from sources это не суть этого дистрибутива. Тот же редхет меня очень бесит, когда в системе становлена куча мусора, и любой шаг влево враво от рпм обычно чем-то грозит - я списываю это на свое незнание технологий и процедур работы с redhat, но все-таки.
Правильно сказал мужик... если уже безопасность зависит от админа, то пусть админ выбирает систему с которой работать... пусть хоть knoppix, никого не волнует, главное чтобы работало и работало стабильно...
А все разговоры о production или нет - пустое дело пока ты не работаешь где-нибудь в Intel или другой крупной корпорации...
NSA (National Security Agency)?
Тогда понятно для "кого" RHEL5 будет самым безопасным!
Да, пусть админ сам пишет патчи, когда в очередном поделии фофанов начнутся разборки, как например частенько случалось с дебианом, security-обновления надо было качать с совершенно левых серваков....Так вы скоро договоритесь до того, что лучше linux, чем solaris потому что админов, знающих linux больше, чем знающих solaris...