https://www.opennet.ru/openforum/vsluhforumID3/105440.html Тео де Раадт (Theo de Raadt) представил (http://www.openbsd.org/papers/hackfest2015-pledge/mgp00001.html) на конференции Hackfest 2015 новый механизм изоляции системных вызовов Pledge (http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man2/pledge.2?query=pledge), продолжающий развитие идей, реализованных в появившейся в OpenBSD 5.8 (https://www.opennet.ru/opennews/art.shtml?num=43156) подсистеме tame (http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-5.8/man2/tame.2?query=tame&sec=2&manpath=OpenBSD-5.8). Pledge уже интегрирован в ветку OpenBSD-CURRENT и будет доступен в релизе OpenBSD 5.9. В настоящее время механизмы защиты Pledge задействованы в 70% утилит базовой системы, к релизу OpenBSD 5.9 планируется обеспечить полный охват всех утилит.<br><br><br>По своей сути Pledge напоминает множество других механизмов ограничения доступа к системным вызовам, таких как seccomp, capsicum и systrace, но в отличие от них разработан с оглядкой на максимальное упрощение применения. Из-за усложнений, связанных с необходимости https://www.opennet.ru/openforum/vsluhforumID3/105440.html#54 Wed, 08 Jan 2020 10:40:45 GMT Ну да, а решением всех медицинских проблем является клонирование.<br>Сейчас столько инструментов есть, начиная с презираемого вами резервирования диска, теневых копий, репликации, что для того, чтобы понадобилось бекап поднимать - это надо либо просрать всё, что можно, либо чтоб ракета в датацентр попала.<br>Ну и к тому же бекап это просто копия - которая может проэкспайриться и оказаться уничтожена - так что помимо него нужны ещё и отдельные инструменты мониторинга изменений, проверки целостности. Да и даже банального перевода в р/о данных, не подлежащих правке, типа архивов. То есть нужен инструмент, который скажет "шеф всё пропало" и что надо поднимать бекап (потому что пользователи могут далеко не сразу распознать, что какой-то редкоиспользуемый документ пропал).<br> https://www.opennet.ru/openforum/vsluhforumID3/105440.html#53 Thu, 14 Apr 2016 20:58:17 GMT поддержка pledge() в разных языках программирования https://gist.github.com/ligurio/f6114bd1df371047dd80ea9b8a55c104<br> https://www.opennet.ru/openforum/vsluhforumID3/105440.html#52 Tue, 29 Mar 2016 21:02:49 GMT &gt; А низзя еще вместо того чтобы переписывать софт простую утилитку pledge, которая <br>&gt; выставляет заданные юзером ограничения и exec'ает софт? Типа: pledge [-options] ./myapp <br>&gt; [-options] <br><br>Низзя. Потому что извне нельзя нормально узнать, какому процессу в какой момент какие привилегии можно порезать.<br> https://www.opennet.ru/openforum/vsluhforumID3/105440.html#51 Sat, 14 Nov 2015 14:54:24 GMT А низзя еще вместо того чтобы переписывать софт простую утилитку pledge, которая выставляет заданные юзером ограничения и exec'ает софт? Типа: pledge [-options] ./myapp [-options]<br> https://www.opennet.ru/openforum/vsluhforumID3/105440.html#50 Thu, 12 Nov 2015 16:26:57 GMT &gt; Вопрос: как делать отказоустойчивость 1k серверов (с очень разным набором софта) сделать без виртуализации?<br><br>Смотрю на ~650 OpenVZ контейнеров (а есть ещё множество сервисов, которые крутятся вне контейнеров) с очень разным набором софта и понимаю, что да, это можно сделать и без виртуализации.<br>Ну правда большинство контейнеров даже не в отказоустойчивом кластере - помрёт железный сервер с контейнерами, ну и фиг с ним, отряд не заметит потери бойца.<br> https://www.opennet.ru/openforum/vsluhforumID3/105440.html#49 Thu, 12 Nov 2015 13:58:01 GMT &gt; Прогрессирующий нарцисизм? спасибо не надо <br><br>Не этот, а главный. Security by bullshit :)<br> https://www.opennet.ru/openforum/vsluhforumID3/105440.html#48 Thu, 12 Nov 2015 13:56:57 GMT &gt; Зато с pledge() меньше вероятность того, что внесенные ограничения будут мешать работать с программой, так как их определяют сами разработчики, а не мейнтенер дистрибутива<br><br>Если разработчикам не лень написать правило для pledge, почему им должно быть лень написать правила для AppArmor?<br> https://www.opennet.ru/openforum/vsluhforumID3/105440.html#47 Thu, 12 Nov 2015 09:41:36 GMT Прогрессирующий нарцисизм? спасибо не надо<br> https://www.opennet.ru/openforum/vsluhforumID3/105440.html#46 Thu, 12 Nov 2015 07:10:49 GMT Пожалуй, промолчу ...<br>