>> Но сообщество пользователей grsecurity, включая дистростроителей, в своё время отдало предпочтение флагам в xattrs и демону paxctld. Причём, не сговариваясь. Потому что это удобнее.
> Нет, потому что править ELF-заголовок не при сборке пакета (как, видимо кроме
> Hardened Gentoo никто не делал) = заставлять пакетный менеджер ругаться на
> битые чексуммы у пакета.

Это где _пакетный менеджер_ ругается на битые чексуммы у _пакета_?

Если пакетный репо кастомный, то контрольные суммы модифицированных пакетов считаются в момент их публикации в репо. Если репо штатный, то и флаги будут выставлены в момент сборки штатной системой сборки. Если речь о средствах проверки целостности _файлов_ пакета после его установки в систему, то проверяет их не пакетный менеджер, а дополнительные средства вроде debsums, в выводе которых пользователь получит куцый список из нескольких файлов, который совпадёт с содержимым в paxctld.conf. И волновать это будет только тебя и только с моих слов.

> А так как никто не поспешил добавлять
> божественный pax в базовую поставку мейнстримных дистрибутивов пришлось лепить костыль
> с xattrs.

paxctld и XATTR_PAX_FLAGS - универсальное решение, которое позволяет управлять _всеми_ флагами в системе, в том числи для приложений, установленных из сторонних источников, включая внутренние и закрытые. Но у тебя в голове снова единственный юз-кейс: выставление флагов для файлов системных пакетов. Опыта нет, вот и несёшь чушь.

> Который можно не пихать в пакеты, где он дистроклепатеям нафиг не нужен, а запустить моднейший демон paxctld. Маневрирование 80 уровня.

Эмоции поумерить не пробовал? Флагами в тех же дебианах я свободно рулил через хуки, но paxctld позволил охватить более широкий круг кейсов однообразно и (де)централизованно (в зависимости от ситуации).

>>> кажется, вполне могу обосновать правильность своей позиции.
>> Нельзя обосновать правильность свей позиции в категориях а ля "неудобно", "ненадёжно", "неправильно" и т.п. без технической конкретики.
> Я объяснял и почему неудобно, и почему не надёжно, не надо тут.

Вот именно. Вместо того, чтобы обсуждать область применения, ограничения, плюсы, минусы, ты занимался и занимаешься обоснованием (как тебе кажется) своего мнения, которое у тебя с привлечением этих категорий и сформулировано. И не обоснуешь ты его ни техническими доводами (даже если б они не содержали фактических ошибок), ни эмоциональными (превалируют) - ни для кого, кроме себя.

> И про то, что MAC применяется до запуска бинарника, а не во время, поэтому требует кучу доступных для чтения путей

При при этом ты заявляешь (ниже по тексту), что понимаешь что-то в митигациях, в критериях их анализа и оценки. Два инструмента - pledge и MAC - которые ортогональны и лишь частично пересекаются областью применения и природой накладываемых ограничений, ты сравниваешь напрямую. MAC хуже, PaX-флаги хуже, pledge лучше. И считаешь это технической конкретикой. Замечательно. Пищи ещё.

> и про необходимость настройки там, где её не должно быть

Не должно быть, но она объективно есть. Продолжай путать свои фантазии с реальностью и удивляться ответам.

> и про уродливые демоны для pax-флагов

Уродливые демоны - у тебя в голове.

> и про возможность сбрасывать привилегии по разному в разных процессах программы.

Параноики тоже, знаешь, много, о чём написать и рассказать могут. Или альтернативные историки. С фактами, доводами, рассуждениями, выводами. Вот только целостная картина из их доводов не выстраивается. В твоём случае всё аналогично.

> Но зачем это читать, это же вода?

Я всю твою воду читаю, не волнуйся.

> Гораздо лучше придолбаться к обощающим характеристикам и делать вид, что я ничего более не писал.

Я на всё отвечаю. Покажи пальчиком, что оставил без внимания. Какой конкретно технический довод, в каком контексте. А я тебе снова покажу, где ты не потрудился понять прочитанное.

>>> Заморачиваться лень, простой контрпример - KARL.
>> Не лень, а ничего ты толком не знаешь и ляпнуть лишнего боишься.
> Да как скажешь.

Скажу, что ты продолжаешь себя компрометировать. Раскрылся полностью и когда PaX с SELinux сравнил, и когда заявил про убийство процессов при срабатывании запрета PAX_MPROTECT.

>> Сравниваешь зрелый быстрый CFI и плагины для автоматического устранения уязвимого к Specter кода - с KARL! Ты ещё про securelevel вспомни.
> Я не сравниваю, а привожу контрпример. Не надо врать потому что.

И к чему этот контрпример? Пример защиты ядра, как опровержение моей фразы, что OpenBSD ничего для защиты ядра не делает не в рамках корректности? Ну так это единственный такой "контрпример", которым можно пренебречь по тем же причинам, что и KASLR. Ссылку с обоснованием этой позиции привёл выше - почитай.

Ты не к частям фраз привязывайся, к каким тебе удобее - ты мне эквивалент хоть какой-то серьёзной работы покажи, осмысленной в рамках соображений безопасности. Чтобы твой ненаглядный pledge работал в полноте, ядро должно иметь собственные защиты от эксплуатации уязвимостей в нём, соответствующие современному уровню сложности угроз. Где они? Где планы? Где хоть что-то?

> Ни тогда, ни сейчас.

Что "ни тогда, ни сейчас"? Хочешь сказать, есть ещё реплики, которые ты считаешь ложью? Ну так предъяви.

> А вот ты сравниваешь полноценную ОС и патчи (закрытые) к ядру Linux

Патчи работают сами, отдельно от ядра? Нет. Ядра работают сами, отдельно от приложений? Нет. Вот я и сравниваю OpenBSD со связкой grsecurity-ядро + дистрибутив общего назначения. А ты мне под надуманным предлогом пытаешься отказать в праве на такое сравнение.

> в котором и без них куча всего интересного. Типа как dirty
> cow, когда никакой grsec ничем никому не помог, но это к
> слову.

Ну да, а в OpenBSD в своё время была опубликована уязвимость к удалённому выполнению произвольного кода в ядре. Покажи мне аналогичную уязвимость в линуксе за время с тех пор по сегодня. Хотя бы такую, которая так же надёжно эксплуатировалась бы в простом линуксе, без grsecurity. И дело не в том, чтобы померяться уязвимостями, а какие выводы затем сделать по факту наличия или отсутствия предпринятых мер, дабы ситуация не повторилась.

> И сравниваешь ты на уровне "кукурити-фич", т.е. в лоб, т.е. без учёта
> импакта и сложностей при внедрении и подобного.

Здесь ты решил меня в своих грешках обвинить.

> Это детский сад.

Не льсти себе, в детском саду дети себя ведут адекватнее, чем ты.

> Я вполне допускаю, чтобы ты не думал, что grsec могут сделать что-то, решающее ту или иную проблему.

Ты это уже несколько раз повторил. Твоих бессвязных, фактически ошибочных и эмоциональных возражений это никак не отменяет и не сглаживает.

> Но пока это сторонние патчи (даже если и опенсорсные, как раньше) - это всё игрули для секуьюрити-энтузиастов

Ещё один технический аргумент от не-эксперта. Моськи лают - караван идёт. Grsecurity сначала пророчили смерть в забвении, а затем под тяжестью суммы исков в деле против Перенса. На деле же, невзирая ни на что, проект чувствует себя лучше, чем когда-либо. И если всё это благо на деньги от "секуьюрити-энтузиастов", могу их только поприветствовать. ;) Про государствннные дистрибутивы специального применения с grsecurity ты тоже не в курсе. Кто бы сомневался.

> и proof of concept.

Загляни в словарь.

> Я могу поверить, что те или иные  проблемы решены, но не могу поверить в то, что это "бесплатно".
> А это имеет значение.

А кто тебя убеждал, что это бесплатно? Только ты сам. Вот себе все претензии и адресуй. Личный рост начинается с азов, со взятия на себя ответственности за собственные заблуждения.

>> Если бы ты прочитал и попытался усвоить прочитанное, то понял, что я не делал утверждений об отсутствии механизмов защиты ядра в OpenBSD, а высказался, что по уровню они не дотягивают даже до PaX начала нулевых.
> Вот твоя цитата: "В OpenBSD же на ядерном поприще если и делается что, так только под лозунгами наведения корректности. Явный курс на безопасность они оставили ещё в начале нулевых и с тех пор даже не пытались на него вернуться.".
> Ты утверждал, что с нулевых ничего не делается для безопасности ядра, я опроверг.

Ну и где я тут утверждал, что "ничего не делается для безопасности ядра"? Перечитай по слогам, медленно. Явный курс оставили, это факт.

"Если и делается что, так только под лозунгами наведения корректности" - пренебрежительная характеристика, которую ты возвёл в рамки строгого фактического утверждения. Себе и предъявляй претензии. По факту в эту характеристику укладывается и KARL, о котором я уже высказал обоснованное мнение, и аналог mmap_min_addr, который даже в обычном линуксе появился не несколько лет раньше, чем в OpenBSD.

> Тупо тем, что вспомнил сразу.

Ещё раз: больше нечем.

> Сравнивать openbsd с pax нулевых мне как раз малоинтересно, писями меряться - это детский сад.

Я смотрю, история тебя интересует, только когда ты делаешь к ней многозначительную отсылку фразой "история нас рассудит, посмотрим". А когда речь заходит о уже свершившейся истории, о реальных успехах и неудачах, так сразу "детский сад". История тебе не интересна, потому что в неё вошли успехи PaX и бездействие OpenBSD.

> Какие-то отдельные решения можно сравнить, если очень хочется,
> но лично я бы потихоньку закругялся с флудом тут.

Закругляйся, кто ж тебе не даёт.

>> Ты хоть сам понимаешь, что такое "митигации"? И чем они на практике от "наведения корректности" отличаются?
> Я? Да ты што, откуда мне, ты ж один тут умный.

Из нас двоих - да. Прискорбный факт. Ты ляпнул в очередной раз, не подумав, про безопасность через корректность. А как запахло жаренным и стало ясно, что безопасность через корректность - это бред, и я за него с тебя спрошу... Так сразу, сам, без моей помощи, соскочил на личности, в очередной раз обрезав всю смысловую часть моей реплики. Это потому, что ты ведёшь разговор в кругу воображаемых зрителей. И тебя кажется, что ты свои "продолбы" такими незатейливыми способами сможешь скрыть или смягчить. Но это не так. Увы, не так.

>> К тому же, из достижимой на практике корректности напрямую не следует никаких свойств безопасности.
> Всецело согласен

Да брось, не всецело. Хм, хотя допускаю, что плюрализм мнений в твоей отдельно взятой голове делает такое согласие возможным. Но ровно до следующей реплики.

> я даже выступал с подобной позицией против NetBSDшника в какой-то недавней теме тут, который "надрачивал" на "наведение корректности". Тем не менее, я останусь при том, что озвучил ранее: я рад, что openbsd крайне осторожны с внедрением средств смягчения последствий эксплуатации уязвимостей.

Ну так и PaX/grsecurity крайне осторожны. Ты ведь намекаешь на обратное? Вот только они работают и у них есть результаты, лучшие из достигнутых на сегодняшний день именно для ОС общего назначения. А у опенбсдшников - защита памяти ядра с середины 10-ых годов, "для корректности", и KARL.

> Любой новый написанный код, в т.ч. "митигация" требует поддержки и может содержать дыры, внедрение и/или эксплуатация может быть "небесплатной" - и прочие остальные банальности.

И зачем ты мне эти банальности рассказываешь? Ты ведь намекаешь на то, что grsecurity поступает иначе. А факты где? Фактов нет. Вот их-то я с тебя и спрашивал ещё в предыдущем комменте.

>> А если чуть серьёзнее, то хватаешься за любую возможность показаться умным.
> Я не понимаю, это ты меня задеть пытаешься, или что?

Это я до тебя доношу очевидное (но не тебе): что эти твои внутренние скрытые переживания - на самом деле очевидны, типичны и предсказуемы.

> А если чуть серьёзнее, то следствия из того, что я написал про ядра довольно очевидны, но тебе интереснее плохо завуалированные оскорбления.

В моих "оскорблениях" присутствует содержание по существу, но тебе интереснее бегать от этого содержания в жалобы на побочные реплики и формат, который ты сам же и задал.

>> Не было опубликовано. Это больше говорит об интересе, а вернее, отсутствии такового со стороны исследователей безопасности.
> Может и так. Но вот тут недавно очень умные, без всяких шуток и иронии, ребята нашли N дыр в компонентах OpenBSD, в том числе и довольно серьёзные. Так что я не стал бы утверждать о полном отсутствии интереса.

И я не стал бы утверждать. О полном. А вот об отсутствии относительного и существенного, достаточного для формирования у публики обоснованнной оценки реального положения вещей - утверждаю.

>>> В целом, за grsec я перестал следить после того, как они закрыли код.
>> А раньше следил по публикациям в интернете? ;)
> Нет, в журнале "мурзилка".

А знаешь, походу именно в журнале "Мурзилка". Перл про MPROTECT, убивающий процессы, его вполне достоен.

>> Так это pledge опциональный. ...... пытаешься выставить недостатком.

Вооот, видишь, как ты удобно для себя вновь поскипал смысловую часть моей реплики. Ну ничего, я верну её в контекст, дабы не повторяться:

Так это pledge опциональный. В твоих фантазиях он есть везде, а на деле - чуть менее, чем нигде. И ни через флаги, ни посредством MAC, мандатно, ты его не включишь, если для тебя и за тебя его уже не включили. Только ручками, только в каждом отдельно взятом случае. Ну или хаками, которые тебе не нравятся. Придумал себе критерии опциональности и безальтернативности, в отрыве от какой-либо модели угроз, и пыжишься. Пытаешься свободу выбора для владельца системы повернуть изъяном безопасности. Возможность в одно действие получить защиту, для которой в случае pledge требуется пройти путь от исходников до бинарников в системе - пытаешься выставить недостатком. В цирк иди работай, по специальности, зрителей веселить.

> Твои хаки, которые на самом деле костыли, можно заменить тривиальным использованием execpromises,
> про то, зачем нужен оный в мане всё написано.

Вот. И это всё, что ты смог "ответить" по существу. Мне даже добавлять ничего не нужно.

Далее ты делешься своими новыми замечательными идеями. Ну, давай их рассмотрим.

> Т.е. написать pledge-враппер (на самом деле, тоже костыль) не очень сложно.

Это ты имеешь ввиду не рантайм-враппер в форме библиотеки, а процесс-враппер, который будет устанавливать ограничения для экзешника целевой прораммы. В код не смотрел, но уверен, что для setuid/setgid-экзешников execpromises, установленные в непривилегированном процессе, работать не будут. То есть, у такого враппера остаётся проблема, аналогичная игнорированию LD_PRELOAD.

> Но таких целей, насколько я знаю нет, потому что придётся выдавать приложениям куда больше прав, чем им по-факту в main loop нужно -> _потенциально_менее_безопасно_.

Действительно, твой процесс-враппер не сможет сравниться по гибкости и строгости с рантайм-враппером. Но что гораздо важнее, такой процесс-враппер придётся запускать явно (под этим я имею ввиду в том числе включение в PATH директории враппера с линками с именами реальных экзешников, перед директориями с реальными экзешниками). Так зачем он такой нужен? Чем он лучше рантайм-враппера? Тем, что у тебя получилось идею родить? Молодец, только идея совсем на поверхности лежала и сравнительными достоинствами, увы, не обладает, в отличие от сравнительных недостатков.

> Pledge опциональный, да. В том плане, что нельзя принудить к его использованию. Но если он уже внедрён, то его нельзя отключить, разве что такая логика предусмотрена в самом приложении.

И это также является недостатком. Выше я пояснил, в каких случаях поддкржка pledge может не давать желаемых ограничений.

> И в этом смысле он безальтернативен, нет никакой sysctl, которая выключит pledge глобально, нет никакого аналога setenforce=0.

Это я уже слашал и не считаю существенным. Как и те общие политики SELinux, которые обычно отключают.

>> Мечтай. Руки развязало.
> Ну т.е. ты искал повод, чтобы начать кидаться говном, нашёл его, и

Говном я в тебя не кидался, за словами-то следи. Повод я не искал, ты мне его сам дал и за одно не стеснил в средствах, только и всего. За что ты огребаешь, я тебе уже объяснял.

> с чистой совестью приступил - я всё верно понял? Поздравляю с успешно найденым оправданием для своего поведения! Лицемерненько так, ничо, мне нравится.

Нет никакого лицемерия. Ты сам, своим поведением обеспечил к себе соответствующее отношение. Не перекладывай отвественность на меня.

>> Огребаешь ты не за тыкания и физиологизмы, а за поведение в целом, каковое характерно для обширной группы лиц. Считай, что по случаю отдуваешься "за всех".
> Твоё восприятие реальности оторвано от оной.

Это тебе так кажется. В силу как раз того, что данное утверждение очень применимо к тебе.

> Ты выдаёшь желаемое за действительное или провоцируешь меня. Неконструктивно.

Я ничего не выдаю, а действую на своё усмотрение. И кстати, ничто не мешало и не мешает тебе умерить претензии, унять эмоции, перестать говорить за всех, начать вдумываться в то, что я тебе пишу, и перевести разговор в конструктивное русло. Но ты этого не сделаешь и изначально не был в этом заинтересован.

>> А я тебя и не прошу. У меня другие методы.
> У тебя самомнение, а не "методы". Ничем, к сожалению, не подкреплённое.

Это всё слова, а на деле я вижу результат, как ты виляешь с темы на тему и трёшь смысловую составляющую моих реплик. Цепляешься за знакомые слова и силишься что-то ответить ради ответа.

> Если предполагается, что я сейчас буду что-то доказывать или оправдываться, то - нет.

Вообще не предполагается. Мне твоя реакция не интересна и не нужна. Как не нужна реакция таракана или комара, которого я давлю.

> Я готов часами ходить кругами в спорах по существу вопроса,

Кругами вокруг существа вопроса, ты хотел сказать.

> но любые нападки на мою персону мне не интересны. Можешь продолжать, если тебе нравится.

Ах, я забыл спросить твою персону, интересно ли ей! Ты старательно даешь мне все основания. Не фактом своего существования или содержанием личного мнения, а поведением и только им.

>> Да грош цена твоему спасибо. Ты же ведёшь себя как малолетний невоспитанный хам, говнами всё вокруг клеймишь. Кого ты обмануть-то хочешь, меня или себя? Или крестик сними, или штаны надень.
> Боже, да какой же ты обидчивый!

На тараканов не обижаюсь.

> Слушай, правда, если я так тебя обидел чем-то - извини. Но умоляю, или пиши по существу вопроса,
> или не пиши, мне ну совсем не интересны твои моралфажеские замечания.

Не обидел, а подобно таракану вызываешь некоторое отвращение. И не сам по себе, как самостоятельная единица, а лишь постольку, поскольку.

> Ты тратишь своё время зря.

Если трачу, значит, зачем-то мне это нужно.

> Хам, не хам - это не твоё дело, тебе не жить со мной и детей не растить.

Ха! Ты меня ещё этикету поучи. Дело непосредственно моё, покуда хамишь ты мне, а не кому-то ещё.

> Хочешь говорить про pax и openbsd - давай, нет - заканчиваем.

У тебя есть вариант: не заметить вообще всё, что я пишу по существу, и слиться. Что ж ты до сих пор не воспользовался им?

>>> И да, экспертом я себя не считаю.
>> А кем ты себя считаешь?
> А ты-то кто ты такой, чтобы с меня спрашивать?

Я не _с тебя_ спрашиваю, а у тебя. Разницу понимаешь? Но ты уже ответил на исходный вопрос: в прошлом пользователь grsecurity в течение двух лет, на Arch Linux.

> Я никем себя не считаю, это бесполезное занятие.

Да? А по апломбу-то и ведь не скажешь! Диванный эксперт, не меньше.

> Но я имею некий опыт и видел некоторое говно. Мало знаю про то, как делать
> надо, но довольно много про то, как делать не надо. Как-то так.

Ооо, "довольно много"! Всё ясно. Человек, который не знает азов и делает ложные фактические утверждения - много знает "про то, как делать не надо", потому что видел некоторое говно. Спасибо, прояснил.