Исходное сообщение
"В ядре Linux 3.13 ожидается появление нового пакетного фильт..." Отправлено Адекват, 20-Окт-13 19:58
> Сам Линус никогда не был авторитетом в области проектирования и архитектуры ОС. И тем не менее - у него были аргументы того, каким должно быть _его_ ядро. Я вот например считаю, что если что-то вынести за пределы ядра, то это облегчит задачу для всякого рода хакеров и крекеров, по запуску своего кода с привилегиями ядра. Как видно из статьи, цитата: правила фильтрации компилируются в пространстве пользователя в  байткод и передаются в ядро через API Netlink То есть теперь не нужны права рута, чтобы сообщать ядру какие-то параметры. Я вижу 2 потенциальные угрозы безопасности: То что можно будет запустить вредоносный код с правами ядра, найдя уязвимость в ядре и передав ядру "специально сформированный байт-код", но запустив вредоносную программу с правами пользователя. Второе - "специальная связующая интерфейсная библиотека libnl" является дополнительным звеном в цепи, и сама по себе представляет источник уязвимости - теоретически ее можно подменить на такую же, но с бекдором. Все что я написал трудно выполнимо, но все-таки легче, чем в случае с iptables, который является надстройкой над netfilter - который монолитно вшит в ядро.