Исходное сообщение
"Проект CoreOS представил Rocket, конкурирующий с Docker инст..." Отправлено Xaionaro, 02-Дек-14 08:11
>>> chroot -- не средство безопасности. >> А что тогда? > https://en.wikibooks.org/wiki/Grsecurity/Appendix/Grsecurity... > Chroot это специально разработаное экспертами в области безопасности средство изоляции > процесов!!! > Виртуализация, контейнеры разрабатывались людьми далёкими от безопасности и больше для > решения задач администрирования. Не понял я, это был сарказм или вы серьёзно, но на всякий случай отвечу. Если вы возьмёте обычный chroot и тупо начнёте закрывать проблемы безопасности одну за одной, то выйдет примерно следующая сборная солянка: - chroot; - mount,pivot_root,umount; - capabilities drop; - unshare; - cgroups; - seccomp(?); - и т.п. В результате вы получите некоторое решение, которое работает со всем перечисленным с помощью малой userland утилиты. Чем и является LXC. Могу развивать дальше эту мысль, но надеюсь уже и так всё понятно.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>>> chroot -- не средство безопасности. >>> А что тогда? >> https://en.wikibooks.org/wiki/Grsecurity/Appendix/Grsecurity_and_PaX_Configuration_Options#Chroot_jail_restrictions >> Chroot это специально разработаное экспертами в области безопасности средство изоляции >> процесов!!! >> Виртуализация, контейнеры разрабатывались людьми далёкими от безопасности и больше для >> решения задач администрирования. > Не понял я, это был сарказм или вы серьёзно, но на всякий > случай отвечу. > Если вы возьмёте обычный chroot и тупо начнёте закрывать проблемы безопасности одну > за одной, то выйдет примерно следующая сборная солянка: > - chroot; > - mount,pivot_root,umount; > - capabilities drop; > - unshare; > - cgroups; > - seccomp(?); > - и т.п. > В результате вы получите некоторое решение, которое работает со всем перечисленным с > помощью малой userland утилиты. Чем и является LXC. Могу развивать дальше > эту мысль, но надеюсь уже и так всё понятно.
	Введите код, изображенный на картинке: