| |
| 2.2, Аноним (2), 12:06, 27/08/2026 [^] [^^] [^^^] [ответить]
| –10 +/– |
Работает, в отличие от фряшных джейлов. Только не говорите мне, что я что-то не так настраиваю. У меня опыт поболее имеется.
| | |
| |
| 3.3, Аноним (1), 12:10, 27/08/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
Вопрос был не о неймспейсах, понятно, что они работают. Хотя, можешь рассказать подробности о фряхе, можешь заодно о солярке поговорить. Что именно не работает? Почему у всех работает, а у тебя нет.
| | |
| |
| 4.58, Аноним (58), 14:47, 28/08/2026 [^] [^^] [^^^] [ответить]
| +/– |
Да всё там работает, в каждой новости про линух публикуют рабочий эксплоит, как выйти из контейнера.
| | |
|
| 3.9, aname (ok), 14:11, 27/08/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
 > У меня опыт поболее имеется.
Ясно, большой опыт делания криво, да ещё и без прогресса исцеления.
Это судьба.
| | |
| 3.20, Ivan_83 (ok), 17:00, 27/08/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
 Фряшный джейлы для начинающих и средних одминов, чего там может не работать?)
| | |
|
|
| 1.6, Аноним (6), 12:41, 27/08/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
А нет ли где ни будь, расписаного по shell командам, что оно делает?
| | |
| |
| |
| 3.11, Аноним (6), 14:44, 27/08/2026 [^] [^^] [^^^] [ответить]
| +/– |
В смысле - как при помощи shell скрипта огородить зпускаемое приложение, так же как это делает bwrap.
| | |
| |
| 4.17, _ (??), 16:49, 27/08/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
В стародавние времена, когда ещё даже ЫЫ-шек не было, староверы говаривали: "кури сырки сынок!"
Современная наука не может расшифровать секретную мудрость этой фразы :)
| | |
| 4.25, Аноним (25), 18:31, 27/08/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Шел скриптом не огородишь!
Вопрос доверия к groups, namespaces, LSM с SELinux.
Использую ядро от grsecurity с их изоляцией chroot. Тогда для жёсткой изоляции можно использовать команду:
setpriv --опции ... chroot --опции ...
setpriv и chroot надо курить маны. Изоляцию даст не меньше чем самые продвинутые контейнеры! И все стандартными утилитами.
| | |
|
|
| |
| |
| 4.43, Аноним (43), 09:12, 28/08/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Лёгкий для написания. О лёгкости для использования речи не было.
| | |
|
|
| 2.37, Аноним (37), 04:07, 28/08/2026 [^] [^^] [^^^] [ответить]
| +/– |
Оно делает unshare, но сам по себе с голым unshare это очень муторно.
| | |
|
| 1.10, Аноним (10), 14:35, 27/08/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– | |
Сабж лишь создает ощущение какой-то защиты. По сути это костыль с постоянной необходимостью его докручивать. И первая же ошибка сводит его пользу на нет - утечка данных происходит, дальше можно куковать.
Нужно, чтобы ограничения исходили от самого системного API. Но это требует пересмотра всей архитектуры POSIX, чего, конечно, не будет.
Поэтому - либо запускать софт в виртуалке, либо на отдельном ПК, не имеющего связи с интернетом, либо отрубать интернет руками на время работы сомнительного софта.
| | |
| |
| 2.21, Ivan_83 (ok), 17:03, 27/08/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Не понятно о чём вы вообще толкуете.
Системный API как раз изначально имел разграничения по UID/GID, к этому сверху ещё неймспейсы накрутили.
Потом не ясно от чего вам нужна защита.
Конкретно это должно защищать систему от всяких разрушительных действий приложения.
> Поэтому - либо запускать софт в виртуалке, либо на отдельном ПК, не имеющего связи с интернетом, либо отрубать интернет руками на время работы сомнительного софта.
Это уже перебор, вам стоит читать специальную литературу по ИБ чтобы отделить мух от котлет.
| | |
| |
| 3.29, Аноним (10), 21:09, 27/08/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Ну да, запускаешь проприетарную игру или лаунчер, а она лезет в твой хомяк за документами, шарится в них. Хотя, по идее, должна быть ограничена только собственным каталогом, а выходить из него - только получив разрешение от пользователя. Помнится, Epic Launcher под виндой на этом ловили, а скоро его и на Linux обещали портировать.
Или ты предлагаешь на каждую проприетарную софтину заводить своего системного юзера со своим хомяком?
| | |
| |
| |
| 5.32, Аноним (10), 22:56, 27/08/2026 [^] [^^] [^^^] [ответить]
| –2 +/– |
Расскажи, как это сделать? Надеюсь, не требует ковыряния в конфигах и обширного уровня знаний о администрировании линуксов? Пара одноэтажных команд в консоли допустима. Если это не так, то как я говорил - не решение, как и сабж.
| | |
| |
| 6.36, Ivan_83 (ok), 02:10, 28/08/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
Вы хотите решение но не хотите ничего делать - не оригинально :)
Я для себя на фре решил проблему шелл скриптом+конфигом к нему под каждый нужный апп.
| | |
| |
| 7.41, Аноним (10), 08:43, 28/08/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Есть системы, которые позволяют ничего не делать. И я говорю о том, что на их фоне нынешнее положение вещей в линуксе - набор костылей. Странно, что вы с этим стали спорить.
| | |
| |
| 8.47, Ivan_83 (ok), 11:22, 28/08/2026 [^] [^^] [^^^] [ответить] | +1 +/– | Подразумевается что кто то за вас это уже сделал Если вас не устраивает как сей... текст свёрнут, показать | | |
| |
| 9.51, Аноним (10), 11:57, 28/08/2026 [^] [^^] [^^^] [ответить] | +/– | Я написал возможные решения на данный момент, а ты сначала сказал, что есть спос... текст свёрнут, показать | | |
|
|
|
| 6.44, Аноним (43), 09:23, 28/08/2026 [^] [^^] [^^^] [ответить]
| +/– |
Например, ты создаёшь отдельного пользователя для запуска под ним проприетарных игорей. Да, из основного профиля придётся выходить. Это плата за простоту.
| | |
| |
| 7.45, Аноним (10), 09:26, 28/08/2026 [^] [^^] [^^^] [ответить]
| +/– |
Он всё равно будет иметь доступ к файлам за пределами своего хомяка. Не вариант.
| | |
| |
| 8.55, Аноним (55), 12:39, 28/08/2026 [^] [^^] [^^^] [ответить] | +/– | Прогнать chmod рекурсивно по хомяку основного юзера и убрать доступ для others ... текст свёрнут, показать | | |
|
|
|
|
|
|
| 2.23, Норм (?), 18:09, 27/08/2026 [^] [^^] [^^^] [ответить]
| –2 +/– |
Пупырка не средсиво обеспечения безопасности. Как и дыркер например.
| | |
| |
| 3.33, GNU Overlord (ok), 23:26, 27/08/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
 Они и и не обеспечивают.
Обеспечивают пространства имен ядра и seccomp. Ну, а то что ядро дырявое, это уже другой вопрос.
| | |
|
| 2.35, Советский Человек (?), 01:34, 28/08/2026 [^] [^^] [^^^] [ответить]
| –3 +/– |
Полностью соглашусь и дополню от себя - микроядерный подход с полным пересмотром POSIX и архитектуры и FHS позволил бы создать адекватное разграничение, да и от самого понятия root. Да, без легаси. Зато по-нормальному и даст толчок к развитию. А так пока любая подобная вещь - костыль на костыле.
| | |
| 2.49, Аноним (-), 11:24, 28/08/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Решения в ветке — огонь... 🔥🔥🔥
Под пользователем запусти, трёхэтажные скрипты накрути-наверти...
Модель безопасности сломана в край, фундаментально. А они её защищают из привычки, почти по инерции.
Android смог поверх ядра Linux накостылять приемлемую модель безопасности. Но она не будет работать на настольном hardware.
Для этого нужно вообще отойти от POSIX, но заложить возможность слоя совместимости в дизайн, как отдельных изолированных областей.
| | |
| |
| 3.50, Аноним (-), 11:26, 28/08/2026 [^] [^^] [^^^] [ответить]
| +/– |
Стоит отметить, что именно из-за этого появились такие проекты как QubesOS и SpectrumOS. По-своему их можно назвать костылями, использующими виртуализацию в отсутствие приемлемых механизмов внутри Linux, и в аппаратном обеспечении (частично).
| | |
| 3.53, Аноним (40), 12:11, 28/08/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Модель безопасности сломана в край, фундаментально.
Просто многие не доверяют cgroups, LSM и его настройкам (namespaces, SELinux, ...). Не хотят свою безопасность основывать на прослойке LSM.
Для реализации своей модели безопасности используются прямые хуки в ядре Linux. Без прослойки LSM. Вся безопасность только непосредственно на прямих хуках в ядре.
В отношении Hardened chroot даная модель
* защищает память выделенную процессам вне chroot
* защищает все процессы вне chroot
* защищает файловую систему вне chroot
В дополнение, на уровне ядра Linux, реализована защита от всех известных возможностей выхода за пределы chroot. Список большой, выглядит как перечень костылей, зато это полная защита от всех известных методов взлома chroot изоляции.
| | |
| 3.60, Мононимус (?), 22:41, 28/08/2026 [^] [^^] [^^^] [ответить]
| +/– | |
>Модель безопасности сломана в край, фундаментально
Профессионалы годами работают и не жалуются (кроме отдельных фриков но такие везде есть), если жалуются то берут редактор кода в руки и допиливают, а тут нате вам - аноним с опеннета делает срыв покровов, "сломана фундаментально". Если у тебя что то там сломано то это не проблема модели чувак
>Android смог поверх ядра Linux накостылять приемлемую модель безопасности
Это ты те черные коробки с зондами то приемлимой моделью назвал? Которые проприетарные драйвера и блобы обфусцированные. Ну держи в курсе
>Для этого нужно вообще отойти от POSIX
Для этого нужно просохнуть и отойти от клавиатуры, а там глядишь и починится что-нибудь
| | |
|
|
| 1.13, Аноним (13), 16:08, 27/08/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
> ...для ограничения отдельных приложений непривилегированных пользователей.
> ..."user namespace" теперь обязательно.
Мда... Нет слов просто.
| | |
| 1.14, Syndrome (ok), 16:30, 27/08/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Необходимость включать «user namespaces» умножает на ноль всю пользу этой программы. Я заморожу себе версию пакета на «0.11.2».
| | |
| |
| |
| 3.19, Ivan_83 (ok), 16:58, 27/08/2026 [^] [^^] [^^^] [ответить]
| +/– |
А зачем?)
Кроме того там половина завязана на pkg, а у линуксов куча разных штук на замену.
Вот часть которая собирает зависимые либы для бинарника - она интересна может быть, но в линухе скорее всего тоже какие то отдельные утилиты и возможно не одна.
И в этом плане у меня лучше сделано - я не монтирую ничего не нужного, для простых приложений будет создано почти пустое окружение где только самое необходимое для запуска.
Просто так у меня /usr со всем барахлом не пробрасывается.
| | |
| |
| 4.38, _ (??), 05:25, 28/08/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> А зачем?)
Ну очевидная "шутка йумора"(С) жи :) Ну ты чего такой серьёзный то?
| | |
|
|
|
| 1.27, 14yoexpert (?), 18:49, 27/08/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
До сих пор не может в банальную задачу «запустить бинарник с списком выданных ему сетевых интерфейсов и dns записей» без цирка с грустными клоунами
| | |
| |
| 2.63, Пузырь (?), 16:35, 30/08/2026 [^] [^^] [^^^] [ответить]
| +/– |
Такие задачи требуют повышенных привилегий. Этот инструмент, напротив, пытается уйти от необходимости эскалации привилегий. Даже SUID-версию дропнули.
А идея настраивать сетевые интерфейсы непосредственно при запуске приложения - так себе.
| | |
|
| 1.28, Zenitur (ok), 19:45, 27/08/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 > Прекращена поддержка сборки в форме исполняемого файла, получающего дополнительные привилегии при помощи флага suid root. Наличие в системе поддержки "user namespace" теперь обязательно.
Фигово. У меня есть user namespace, но почему-то не работает. Поэтому юзаю suid.
| | |
|
