>А какая разница, где они находятся? Главное, что и я, и зловред,
>внедрившийся в исполняемый браузером код, туда можем записать что-то. Если браузер
>взломали, скажем, через ошибку в libjpeg, то следующая программа, которой я
>открою этот файл (или просто файловым менеджером в папку зайду со
>включённым показом превьюшек), скорее всего, схлопочет тот же stack code execution. совсем не факт :)
>MAC в большинстве случаев не ставит стену против взломщика, а лишь сужает
>пролом. Если на сервере ещё как-то можно обычно поставить толковые ограничения,
>то на десктопе найти универсальные политики по определению нереально.
В корпоративной среде вполне реально, а для дома сойдут и какие-то обще-типовые варианты + сgroups.
+, как я уже сказала, имхо, готовые правла для кучи приложений будут рулить.
Зачем вот, например, mc возможность соединяться с портом 25 на удаленных машинах?
Поэтому зачем нужно будет создателям ботнетов пытаться с этим справиться? Можно будет как и раньше мучать винду, на которую и патчи выходят после появления эсплойта в паблике, и куча людей метасплойтом умеет пользоваться (труд таких кодеров более дешев), и нет ничего подобного MAC: ломаем любой сервис под SYSTEM, и получаем SYSTEM привелегии :)
>MS пробовали сделать роль Power Users — и что вышло?
У MS проблема кучи legacy софта, написанного криво, и требующего, для работы, административных привелегий.
>При большом желании можно выстроить политики для конкретного рабочего
>места, но не более. А сколько на это потребуется человеческих ресурсов?
Мое предсказание, что совершенный минимум, и что настройка обоев и кнопочек под вкус пользователя будет занимать у HelpDesk службы как и сейчас гораздо больше времени.
После того, как всех немного поколбасит, будут и готовые сценарии для того же Puppet, и искоробочные решения вроде Sandbox (если что, я его еще не смотрела, но радует существование таких начинаний)
>Например, я слабо представляю себе, как сделать MAC-политики для kdeinit, под
>которым выполняется куча сервисов, а-ля services.exe в винде.
В KDE, с интеграцией WebKit/khtml наступают, увы, на грабли Microsoft.
>А ещё домашние юзеры будут банально отключать MAC.
Сперва, на первой волне, да. Но это не неповоротливый Microsoft, и не смотря на то, что Windows фанатики все еще будут вопить про вирусы в Linux, так вдруг окажется, что этим можно будет удобно пользоваться.
+ еще будут удобные технологии вроде повсеместного выполнения таких приложений, как браузеры в контейнерах.
>К слову, вы и сами сказали, что MAC не пользуетесь,
На десктопе не пользуюсь, так как сейчас нет смысла. Зачем обвешивать хижину на необитаемом острове амбарными замками, противопожарными системами безопасности, и пр?
>и надеетесь,
>что не придётся.
Не совсем так: не хочу, что бы кто-то пытался проломить MAC на тех наших серверах, где он используется, а вдруг у него получиться?
Но вот его наличие греет душу.
