The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Представлен новый механизм защиты браузера Chrome в Linux"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от opennews (??) on 07-Сен-12, 21:34 
Разработчики web-браузера Chrome рассказали (http://blog.cr0.org/2012/09/introducing-chromes-next-generat...) о следующем поколении средств для обеспечения безопасности выполнения Chrome  на платформе Linux. Начиная с вышедшей на днях экспериментальной версии Chrome 23.0.1255.0 при работе в Linux применяется расширенный режим изоляции, реализованный в виде многоуровневой системы  sandbox-ов. Первый уровень защиты обеспечивает setuid-sandbox (http://code.google.com/p/setuid-sandbox/), блокирующий доступ к файловой системе, сети и  сторонним процессам (процесс помещается (http://code.google.com/p/chromium/wiki/LinuxSUIDSandbox)  через CLONE_NEWPID в отдельный PID namespace, выполняется chroot в пустую директорию и блокируется сеть через CLONE_NEWNET). Поверх setuid sandbox дополнительно реализован seccomp-bpf sandbox, который ограничивает доступ процесса только к системным вызовам, необходимым для выполнения штатных функций.


Работа seccomp-bpf sandbox базируется на интегрированной в ядро Linux 3.5 (https://www.opennet.ru/opennews/art.shtml?num=34387) поддержке механизма  seccomp filter (http://outflux.net/teach-seccomp/), позволяющий определять в приложении правила доступа к системным вызовам, в том числе учитывая передаваемые и возвращаемые аргументы. Например, seccomp filter можно применить для ограничения допустимых файловых путей при обращении к системному вызову open (можно разрешить только обращение к директории с данными браузера). Проверить активность нового режима изоляции можно через URL "about:sandbox". Режим Seccomp-BPF будет работать в 64-разрядных сборках Chrome только при наличии ядра Linux 3.5 или при использовании дистрибутива Ubuntu 12.04, в котором seccomp filter реализован через патчи.

URL: http://blog.cr0.org/2012/09/introducing-chromes-next-generat...
Новость: https://www.opennet.ru/opennews/art.shtml?num=34778

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Представлен новый механизм защиты браузера Chrome в Linux"  +4 +/
Сообщение от Аноним (??) on 07-Сен-12, 21:34 
> Первый уровень защиты обеспечивает setuid-sandbox, блокирующий доступ к файловой системе, сети и сторонним процессам (процесс помещается через CLONE_NEWPID в отдельный PID namespace, выполняется chroot в пустую директорию и блокируется сеть через CLONE_NEWNET).

Правильнее назвать это namespace-sandbox, или LXC-sanbox, т.к. он использует технологии Linux namespaces (PID NS, FS NS, Net NS), разработанные в рамках проекта LXC.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Представлен новый механизм защиты браузера Chrome в Linux"  –21 +/
Сообщение от pavlinux (ok) on 07-Сен-12, 22:08 
> разработанные в рамках проекта LXC.

Угу, говна самовар! Namespaces в Plan9 точно были, может в OS/390
Linux - это вообще, сборище костылей со всей планеты! Инноваций в ядре, чуть меньше нуля! :)

Они есть, но я вот так, с разбегу и не вспомню...

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

4. "Представлен новый механизм защиты браузера Chrome в Linux"  +7 +/
Сообщение от Аноним (??) on 07-Сен-12, 22:11 
> Угу, гoвна самовар, Namespaces в Plan9 точно были, может в OS/390

Но только в Linux их реализация оказалась пригодна для чего-то полезного :)

> Linux - это сборище костылей со всей планеты! Инноваций в ядре, чуть меньше нуля! :)

Щас лопнешь и всех забрызгаешь :)

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

7. "Представлен новый механизм защиты браузера Chrome в Linux"  –4 +/
Сообщение от pavlinux (ok) on 07-Сен-12, 22:33 
>> Угу, гoвна самовар, Namespaces в Plan9 точно были, может в OS/390
> Но только в Linux их реализация оказалась пригодна для чего-то полезного

Только с момента изобретения сие чудо посчитали избыточным,
от чего теперече в ядре пытаются избавится включая те же древние костыли
(Samepage Merging, ДеДупликация, и тыр и пыр.)


>> Linux - это сборище костылей со всей планеты! Инноваций в ядре, чуть меньше нуля! :)
> Щас лопнешь и всех забрызгаешь :)

А ты налей и отойди.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

10. "Представлен новый механизм защиты браузера Chrome в Linux"  +1 +/
Сообщение от Аноним (??) on 07-Сен-12, 23:03 
> Только с момента изобретения сие чудо посчитали избыточным,

Ты про кого?

> от чего теперече в ядре пытаются избавится включая те же древние костыли

а то из контекста непонятно.

> А ты налей и отойди.

Ок, отбежал за угол :)

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

15. "Представлен новый механизм защиты браузера Chrome в Linux"  –2 +/
Сообщение от pavlinux (ok) on 08-Сен-12, 00:23 
> Ты про кого?

Вспоминай, про что писал.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

17. "Представлен новый механизм защиты браузера Chrome в Linux"  –1 +/
Сообщение от Led (ok) on 08-Сен-12, 02:32 
>Они есть, но я вот так, с разбегу и не вспомню...

Фосфора похавай, то так скоро не вспомнишь как зовут.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

20. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Аноним (??) on 08-Сен-12, 02:59 
> Угу, гoвна самовар! Namespaces в Plan9 точно были, может в OS/390
> Linux - это вообще, сборище костылей со всей планеты!

И тем не менее, это вполне себе нэймспэйсы. И вообще, лично мне этот костыль нравится. Всего несколько флагов в clone() а такая полезняшка получается.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

23. "Представлен новый механизм защиты браузера Chrome в Linux"  +1 +/
Сообщение от pavlinux (ok) on 08-Сен-12, 04:47 
Да, с виду красиво, и вселяет чувство "защищённости".
Но любой СПЕЦИАЛИСТ по информационной безопастности,
пошлёт эти неймспейсы в детский сад, - пластелин охранять,
чтоб дети не сгрызли.

Лекции читать не буду, пару аксиом:

Два и более процесса имеющие единое ОЗУ - не защещены от взаимодействия!
Два и более процесса имеющие единое ЦПУ - не защещены от взаимодействия!
Процесс использующий алгоритмы динамической памяти - не защещен сам от себя!
Процесс использующий входные/вводимые данные - это жопа. :)

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

27. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от zhuk on 08-Сен-12, 09:44 
Собери класстер из 8080, водрузи на них dos. Обмен между ячейками сделай через перфокарту и бумажную почту:)
Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

32. "Представлен новый механизм защиты браузера Chrome в Linux"  +2 +/
Сообщение от Аноним (??) on 08-Сен-12, 10:32 
>Обмен между ячейками сделай через перфокарту и бумажную почту

М-де? С каких пор носитель данных может повлиять на их неверную последующую обработку?

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

39. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Аноним (??) on 08-Сен-12, 14:35 
>>Обмен между ячейками сделай через перфокарту и бумажную почту
> М-де? С каких пор носитель данных может повлиять на их неверную последующую
> обработку?

Со времен машины Тьюринга, чувак.

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

30. "Представлен новый механизм защиты браузера Chrome в Linux"  +1 +/
Сообщение от Аноним (??) on 08-Сен-12, 10:30 
>Два и более процесса имеющие единое ОЗУ - не защещены от взаимодействия! Два и более процесса имеющие единое ЦПУ - не защещены от взаимодействия! Процесс использующий алгоритмы динамической памяти - не защещен сам от себя! Процесс использующий входные/вводимые данные - это жопа. :)

Не у всех есть возможность запускать по компьютеру на каждую программу, а работать надо. Специалисту по безопасности отправится обратно в вакуум из которого он вылез.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

41. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от pavlinux (ok) on 08-Сен-12, 16:04 
> Специалисту по безопасности отправится обратно в вакуум из которого он вылез.

Кури требования к оборудованию и ПО на сертификацию по грифам ОВ и СС.  

Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

46. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Аноним (??) on 08-Сен-12, 20:26 
Угу, все поголовно работают с секреткой.
Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

49. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от pavlinux (ok) on 09-Сен-12, 00:33 
> Угу, все поголовно работают с секреткой.

2-шаг: Угу, все поголовно работают с ДСП
3-шаг: Угу, всем поголовно нужно шифрофание в браузерах
4-шаг: Вы ещё квартиру на замок закрывайте.
5-шаг: Да кому ты нафиг нужен...
6-шаг: Нет человека - нет проблем!
:)

Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

35. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от saNdro on 08-Сен-12, 13:15 
Это всё сферический конь в вакууме.
На первые два пункта как-раз и существует операционная система и "защищённый" режим процессора. Что б OS могла указывать "кому, куда и сколько" без ограничений, а все прочие только в рамках указанного.
На вторые - всё определятся тем, каким местом программист-автор предпочитает думать.
Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

50. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от pavlinux (ok) on 09-Сен-12, 00:49 
> Это всё сферический конь в вакууме.
> На первые два пункта как-раз и существует операционная система и "защищённый" режим
> процессора. Что б OS могла указывать "кому, куда и сколько" без
> ограничений, а все прочие только в рамках указанного.

А вот появляется программа которая не хочет работать в рамках указанного.
Вроде алгоритм написан академиками, проверен 10-ю институтами, 20 комиссиями,
утвержден на пленуме ЦК КПСС,... А вот она херакс и залезла не туда и слила
в свое пространство, пароль от пусковой установки и заслала на gmail.com.
  
А почему? А вот хрен её знает, - переполнение кэша, конфликт прерываний,
race condition, SMM-дыры, а засрать GTD в x86, как два байта об асфальт.

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

54. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от XDA on 10-Сен-12, 17:23 
чувак недоговорил, а от того и проблемы.
правильное утверждение выглядит так:
если две задачи исполняются на одном физическом процессоре и/или на одной физической памяти, то средства защиты ПОТЕНЦИАЛЬНО могут быть взломаны и задачи могут получить данные друг друга.

это всё равно, что у меня есть пистолет, то ПОТЕНЦИАЛЬНО я могу кого-то застрелить.
или если у меня есть х.. то ПОТЕНЦИАЛЬНО я могу кого-то изнасиловать. продолжать можно до  бесконечности :)

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

57. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от pavlinux (ok) on 12-Сен-12, 15:30 
> это всё равно, что у меня есть пистолет, то ПОТЕНЦИАЛЬНО я могу
> кого-то застрелить.
> или если у меня есть х.. то ПОТЕНЦИАЛЬНО я могу кого-то изнасиловать.
> продолжать можно до  бесконечности :)

Когда взведён курок, или "стоит", в одной бане с девками, то вероятность стремится к 1.0.
Пистолет в сейфе или мужик на диване приравниваются к отключенному компьютеру. :D

Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

28. "Представлен новый механизм защиты браузера Chrome в Linux"  +2 +/
Сообщение от cema (ok) on 08-Сен-12, 10:00 
>Linux - это вообще, сборище костылей со всей планеты!

Железная дорога второй век на костылях держится

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

47. "Представлен новый механизм защиты браузера Chrome в Linux"  +3 +/
Сообщение от Аноним (??) on 08-Сен-12, 20:36 
А вот и хрен там, костыли для рельсошпального скрепления применяются в основном для старых деревянных шпал, для ж/б шпал и для цельной ж/б подушки чаще применяют болты и армированные бетонные пробки. А уж тем более в случае с композитными и пластиковыми шпалами.

The_more_you_know.jpg

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

56. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от WhiteWind (??) on 12-Сен-12, 10:30 
Павлин совсем с катушек съехал. Бедняжка
Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

55. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Аноним (??) on 10-Сен-12, 18:59 
Проект LXC? Ну-ну

http://ru-openvz.livejournal.com/1970.html

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Я (??) on 07-Сен-12, 21:41 
И назовут потом всё это ChromeCubes-os, и та польская хакерша возглавит это всё
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

6. "Представлен новый механизм защиты браузера Chrome в Linux"  +2 +/
Сообщение от Crazy Alex (ok) on 07-Сен-12, 22:15 
Вся суть нынешнего веба - сначала берём неподходящий механизм а потом пытаемся его подкрутить до приемлемого состояния. Как здесь - сначала начинаем гонять недоверенный код на своей машине а потом заворачиваем его в десяток слоёв безопасности. Гугл съел всем мозг...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

19. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Led (ok) on 08-Сен-12, 02:35 
>сначала начинаем гонять недоверенный код на своей машине а потом заворачиваем его в десяток слоёв безопасности.

Это ты сейчас про изначально позиционирование Java?

>Гугл съел всем мозг...

Гугла тогда ещё не было. Бабушка с дедушкой тебе этого не рассказывали?

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

21. "Представлен новый механизм защиты браузера Chrome в Linux"  –1 +/
Сообщение от Crazy Alex (ok) on 08-Сен-12, 03:32 
К вам белка пришла и джавой пугает? Где вы в новости увидели хоть слово о джаве?

Нет, я о джаваскрипте и веб-приложениях. И гугл здесь понятно к чему - он умудрился всё это веселье чуть ли не в одиночку раскрутить.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

22. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Led (ok) on 08-Сен-12, 04:31 
> К вам белка пришла и джавой пугает? Где вы в новости увидели
> хоть слово о джаве?
> Нет, я о джаваскрипте и веб-приложениях. И гугл здесь понятно к чему
> - он умудрился всё это веселье чуть ли не в одиночку
> раскрутить.

Ты почитай историю: для чего изначально Java позиционировалась.

> И гугл здесь понятно к чему - он умудрился всё это веселье чуть ли не в одиночку раскрутить.

А Sun - не смог.

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

24. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Crazy Alex (ok) on 08-Сен-12, 05:22 
Ну да, "сетевые компьютеры" и всё такое. Плевать - мало ли у кого какие больные фантазии. Тем более что в нынешнем HTML это делается в куда более уродливом виде - ни тебе пакетов подписанных, ни байткода...
Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

26. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Led (ok) on 08-Сен-12, 06:50 
> Ну да, "сетевые компьютеры" и всё такое.

Нет. Читай дальше.


Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

48. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Аноним (??) on 08-Сен-12, 21:10 
Жава изначально предназначалась для эмбеддовки, потом просочилась всюду. Но причем тут она ваще? Выражайся яснее.
Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

8. "Представлен новый механизм защиты браузера Chrome в Linux"  +1 +/
Сообщение от Аноним (??) on 07-Сен-12, 22:39 
А как работает <input type="file">?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

25. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Тот_Самый_Анонимус on 08-Сен-12, 06:10 
Сколько же ресурсов потребует сие чудо?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

31. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Аноним (??) on 08-Сен-12, 10:31 
> Сколько же ресурсов потребует сие чудо?

почти не сколько


Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

40. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Аноним (??) on 08-Сен-12, 15:34 
"несколько" пишется слитно
Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

43. "Представлен новый механизм защиты браузера Chrome в Linux"  +2 +/
Сообщение от другой аноним on 08-Сен-12, 17:04 
и через "и" (если хотели сказать в смысле "ничего не требуется", а не "немного более двух штук")
Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

44. "Представлен новый механизм защиты браузера Chrome в Linux"  +1 +/
Сообщение от Аноним (??) on 08-Сен-12, 17:26 
отличный пример, как безграмотность может в корне изменить смысл фразы
Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

29. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Zenitur (ok) on 08-Сен-12, 10:29 
Состояние песочницы

Песочница SUID    Да
  Пространства имен PID    Да
  Сетевые пространства имен    Да
Seccomp-legacy sandbox    Нет
Seccomp-BPF sandbox    Нет
Вы находитесь в корректной тестовой среде

Я пошёл обновлять ведро.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

33. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от re on 08-Сен-12, 12:46 
Песочница SUID    Да
  Пространства имен PID    Да
  Сетевые пространства имен    Да
Seccomp-legacy sandbox    Нет
Seccomp-BPF sandbox    Да
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

38. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Anonim (??) on 08-Сен-12, 14:32 
Песочница SUID Да
  Пространства имен PID Да
  Сетевые пространства имен Да
Seccomp-legacy sandbox Да
Seccomp-godmode sandbox Да
Seccomp-BPF sandbox Да
Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

42. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от anonymous (??) on 08-Сен-12, 16:34 
Песочница SUID Да
  Пространства имен PID Да
  Сетевые пространства имен Да
Seccomp-legacy sandbox Да
Seccomp-godmode sandbox Да
Seccomp-BPF sandbox Да
Seccomp-GTFO sandbox Да
Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

34. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от re on 08-Сен-12, 12:47 
и как включить legacy?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

36. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Вася (??) on 08-Сен-12, 14:06 
--enable-seccomp-sandbox
Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

37. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Вася (??) on 08-Сен-12, 14:09 
Только смысла в этом уже не будет, наверное.

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

53. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от re on 10-Сен-12, 13:32 
--enable-seccomp-sandbox

не работает

Состояние песочницы

Песочница SUID    Да
  Пространства имен PID    Да
  Сетевые пространства имен    Да
Seccomp-legacy sandbox    Нет
Seccomp-BPF sandbox    Да
Вы находитесь в корректной тестовой среде

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

45. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от kurokaze (ok) on 08-Сен-12, 20:19 
>выполняется chroot в пустую директорию

А ежели он там файло создаст под завязку? Руту то будет доступно больше (если при создании фс не химичил, или после), а что насчет других юзеров?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

51. "Представлен новый механизм защиты браузера Chrome в Linux"  +/
Сообщение от Аноним (??) on 09-Сен-12, 08:10 
Я буду больше уверен в своей безопасности если буду использовать за место "дырявых комбайнов" uzbl или surf.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

52. "Представлен новый механизм защиты браузера Chrome в Linux"  +1 +/
Сообщение от Bvz on 09-Сен-12, 09:28 
А чо вот взять и просто написать профиль для AppArmor уже не кошерно да?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру