> Возможно, в последних версиях FreeBSD действительно появился аналог W^X, но я об
> этом ничего не слышал. Полтора года назад в 7.x ничего подобного
> не было. Но вы, скорее всего, имеете ввиду возможность вручную (из
> кода приложения) фактически маппить страницы без PROT_EXEC - в плане безопасности
> в общем случае это не даёт ничего.Про то и речь. Только с уточнением результата - для AMD64 нормально работает.
> И в чём смысл издёвки? Дать собеседнику понять, что он зря тратит
> время на троллей? По UDEREF для x86 есть документация на pax.grsecurity.net,
> по UDEREF для amd64 есть вводная в архивах рассылки Grsecurity. Плюс
> хелп в конфигураторе ядра для большинства механизмов защиты. Если интересно, изучайте
> - я для того все названия и привожу.
В смысле архитектурно linux и freebsd отличаются. Настолько, что copyin/copyout - я уж и не припомню когда появились для freebsd. Я про то, что изначально не было разыменования user указателей для ядра. Изначально при использованиии copyin/copyout использовались проверки границ.
Троллинг может и имеет тут место, поскольку подозреваю, что в линуксе обязано было существовать подобное. Делаю выводы - видимо я не понял, про что шла речь. И хотя я походил по ссылкам через гугл-поводырь, но утомленные глаза уже щурятся от такого количества инородных букв. Если можно, коротко, от чего защищают UDEREF и USERCOPY? Например, если на пальцах?
> Знаете, есть задачи, где и 80% падение производительности оправдано, а вы о
> 5%... Например, вам лично важны эти 5% (допустим, что именно 5,
> а не 0.5 или 2) от скорости работы sudo? Или от
> скорости парсингда ASN.1 на этапе обработки сертификатов, при том что на
> последующих стадиях блочные шифры оптимизированы в ассемблере или сгружены на акселератор?
> Почитайте историю OpenSSL - в его парсере ASN.1 в принципе уже
> были уязвимости.
Да, но проценты имеют свойство множиться друг на друга. И кстати, да - может именно 0.5%-2.0% - тут моя память есть очень непольшой.
> К тому же, никто не заставляет вас терпеть SSP там, где не
> хотите - просто собирайте без -fstack-protector[-all]. В Hardened Gentoo для этого
> можно просто выбрать профиль компилятора. Однако, во FreeBSD до недавнего времени
> (без сторонних патчей) нельзя было ничего собрать с SSP - выбора
> почти никакого. С патчами (в т.ч. для включения рандомизации) я и
> сам собирал, но это лишние затраты на сопровождение и риски, связанные
> с потенциально нестабильной (никем не протестированной) кодовой базой.
Ага, это видел, правда сам не включал/не выключал.
> Да ну? В gdb 7.x есть поддержка PIE. В случае с PaX
> рандомизацию и MPROTECT можно отключить с пол пинка через paxctl. И
> так уж ручником? Лет 6 пользуюсь "ручниками", а тормоза наблюдал только
> по вине багов в коде основной ветки ядре, с безопасностью не
> связанных.
Я - упертый фрибээздятник. Там gdb - 6.1.1, а вместо paxctl - отсутствие этого самого PaX.
> сих пор нигде и не появились, по большему счёту.
> PaX и Grsecurity в линуксе начались раньше, независимо. Это к слову.
Еще раз, давайте про UDEREF и USERCOPY - что началось, где началось - чего они делают то в конце концов. Ссылка наверняка на русском есть. Почему не на английском? Можно и на английском, только не список рассылки или доски объявления, где вы как дома и знаете, что где. Мне linux от обилия только вам понятных слов интересней не станет (думаю, как и другим).
> Линукс уже работает на большем количестве платформ, и это не мешает ему
> служить для эффективного решения других задач. Тоже к слову.
Ну с NetBSD все равно не сравнится. Тоже к слову.
> Экспериментальная ОС, в которой кластеризация - лишь следствие принятых подходов, направленных
> на совершенствование архитектуры и повышение эффективности параллельных вычислений.
А кто спорит?
>> FreeBSD - это платформа для
>> продакшен серверов, которую можно и нужно сравнивать с Windows и Linux.
> Я помню, как после очередного обновления в рамках rolling release (или как
> они называют этот принцип) поймал на этой "платформе для продакшен серверов"
> бинарную несовместимость с кодом недельной давности - сменили значения констант флагов
> в fnctl. Помню, как после обновления vsftpd он стал подвисать при
> работе по ftps с большинством клиентского софта, а общепринятых способов отката
> на предыдущую версию порта там нет (?). Продакшен! Даже в лохматом
> Portage всё гораздо лучше.
Ну это вы зря. Продакшены тоже разные бывают. Там, где ОС не меняется веками, обрастает мохом, и все равно работает, или где каждый день выходят новые затычки для ультрасовременных багов. Если я начну делать ОС на какой-то из существующих платформ с влючением внутрь "секрета пирога", то выберу простой понятный код который не требует предоставления исходников моего добра.
>> Весь этот зоопарк *BSD* ОС подобен зоопарку Linux платформ, только BSD
>> более четко разделены меж собой по подходу.
> Да нет там никакого чёткого разделения. Это всё условности, граница между которыми
> на практике очень размыта. OpenBSD - форк NetBSD по причине разногласий.
> DragonFly BSD - форк FreeBSD по той же причине. Если там
> кто и разделён, то это разработчики. :)
И разногласия - религиозного порядка, согласен. Одним кажется, что правильно разбивать яйцо с острого конца, другим не нравится, что они тем самым корябают им стол. Но все равно, спроси, почему одним нравится один дистрибьютив линукса, чем другой - внятного ответа не дождешся. Ну разве что slackware - их позиция будет понятна.
>> И вообще, считается, что защита связанная с усложнением технологии по преодолению защиты
> Любой принцип можно довести до абсурда, игнорируя даже чёткие доводы и наглядные
> примеры. Случай с безопасностью во FreeBSD как раз такой. Там просто
> гонятся за производительностью и функционалом, а положение неуловимых джо позволяет говорить
> и делать глупости.
Почему же так резко прервались? Давайте уж тогда я продолжу: "...и простотой кода, который можно поддерживать относительно небольшим коллективом распределенных разработчиков. Ясность является дополнительной степенью защиты от закладок в коде"
> Зато есть гарантия, что апостериори существующие ошибки с обращением по указателям на
> юзерспейс обеспечивают возможность компрометации. На практике, сколько уявзимостей было
> найдено в реализациях защиты от обращения по указателям в юзерспейс? Несоизмеримо
> меньше, чем уязвимостей _из-за_ отсутствия защиты от обращения по указателям в
> юзерспейс.
Указатели на юзерспейс? Из ядра? Ахтунг! Ахтунг! Альарм! Альарм! Надо подымать великого Ктулху, ибо девел не справился! Все идет к тому, как я понимаю, что в линукс указатели на юзерспейс на кольце ядра выполняются(выполнялись)? Теперь у меня есть один аргумент - почему не linux :)
>> Поэтому во FreeBSD разработчики кодовой базы избегают модных тенденций, портируя лишь
>> зарекомендовавшие себя технологии.
> Ну, это просто неправда. Вот ZFS - давно она себя зарекомендовала?
Свободная файловая система, которая многими своими свойствами импонирует структуре ОС и её лицензии - зарекомендовала себя только так уже при первом приближении.
> Профессионалы должны уметь подбирать инструмент, по совокупности качеств наиболее подходящий для решения конркетных задач.
Не путайте профессионалов и мега-супер-универсалов-хатха-йоги-хари-кришна.
> И по этому критерию, из-за априорных суждених о "ручниках" вне контекста задачи профессионала в вас узнать сложно.
Вообще на момент заведения разговора о профессионалах, я уже говорил о вас. Но не беспокойтесь, если вы себя считаете недостоиным упоминания, то увяжу это со скромностью вашего характера. Сам такой ;) И вообще, наезд не засчитан :)
