> Решает тот факт, что разницу видят профи: 0-day, 1-day, public, «продают школьники». Еще раз, при наличии рута есть более 9000 других способов нагадить в системе, некоторые из них знают даже школьники. Хуки после инсталла пакета в этом смысле ничем такие не специальные.
Установка пакетов пакетником как правило требует рут. И уж тем более изменение конфигурации пакетника. Если я могу менять вам конфиг пакетника, я могу вообще свои репы вкатить, а в них пакет который "апдейт" версии пакета подгонит. Заведомо более "новый" чем стоковый, и жыть вы теперь будете с вот этим. В этот момент я делаю с вами все что сочту нужным и всего лишь какие-то хуки на кернел - такая мелочь, право, если я могу в системе реконфигурять вообще совсем все. Так что атакующий ничего такого принципиально нового, что он бы еще не мог - не выигрывает.
С другой стороны, хуки очень полезная штука для реализации кастомных систем и логики вокруг. Ну и если хакер может там дескать влезть, вы облажались в дизайне системы. И вообще-то секурити систем строиться должна не на obscurity, "элитности", неочевидности операций и проч, а на каких-то более убедительных принципах. Типа секурбута, поддержания системы в актуальном состоянии (чему втрамбовка нового кернела даже в кастомную систему очень спососбствует) и адекватной цепочки доверия.
И таки да, даже школьник может трахнуть систему с старым кернелом. А чего такого сложного список CVE почитать? К тому времени эксплойты половина будет уже как раз на шару. И если в воооон той железке с ее флешкой хук новый кернел втрамбует из репы дистро, это скорее улучшит секурити чем испортит ее.
Если верить вам, вон те штуки с squashfs должны быть супер секурны. Там же вообще хрен чего обновишь. На практике разумеется хрен: общеизветные веши там просто живут "эфемерно", только в оперативочке, им нормалек. Их коллеги сканят себе подобных и даже если с пары девайсов вылетели при ребуте, и черт с ним, через некоторое время бот опять найдет их и заново заразит, ему не лень, он железный, а то что не удалось перманентно прописаться - и хрен с ним. Поэтому такие штуки могут быть бестелесными и при этом - жить в сети "вечно", без очевидной возможности выбить их насовсем. Это вполне валидный концепт, опробованый еще MSBLAST'ом древним, и с тех пор используемый довольно много кем. И это даже хуже школьника - приходит само, если дыра в принципе есть, от каникул не зависит, и вообще.
