форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Представлен новый механизм защиты браузера Chrome в Linux"	+/–
Сообщение от opennews (??) on 07-Сен-12, 21:34
Разработчики web-браузера Chrome рассказали (http://blog.cr0.org/2012/09/introducing-chromes-next-generat...) о следующем поколении средств для обеспечения безопасности выполнения Chrome  на платформе Linux. Начиная с вышедшей на днях экспериментальной версии Chrome 23.0.1255.0 при работе в Linux применяется расширенный режим изоляции, реализованный в виде многоуровневой системы  sandbox-ов. Первый уровень защиты обеспечивает setuid-sandbox (http://code.google.com/p/setuid-sandbox/), блокирующий доступ к файловой системе, сети и  сторонним процессам (процесс помещается (http://code.google.com/p/chromium/wiki/LinuxSUIDSandbox)  через CLONE_NEWPID в отдельный PID namespace, выполняется chroot в пустую директорию и блокируется сеть через CLONE_NEWNET). Поверх setuid sandbox дополнительно реализован seccomp-bpf sandbox, который ограничивает доступ процесса только к системным вызовам, необходимым для выполнения штатных функций. Работа seccomp-bpf sandbox базируется на интегрированной в ядро Linux 3.5 (https://www.opennet.ru/opennews/art.shtml?num=34387) поддержке механизма  seccomp filter (http://outflux.net/teach-seccomp/), позволяющий определять в приложении правила доступа к системным вызовам, в том числе учитывая передаваемые и возвращаемые аргументы. Например, seccomp filter можно применить для ограничения допустимых файловых путей при обращении к системному вызову open (можно разрешить только обращение к директории с данными браузера). Проверить активность нового режима изоляции можно через URL "about:sandbox". Режим Seccomp-BPF будет работать в 64-разрядных сборках Chrome только при наличии ядра Linux 3.5 или при использовании дистрибутива Ubuntu 12.04, в котором seccomp filter реализован через патчи. URL: http://blog.cr0.org/2012/09/introducing-chromes-next-generat... Новость: https://www.opennet.ru/opennews/art.shtml?num=34778
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по ответам | RSS]

	1. "Представлен новый механизм защиты браузера Chrome в Linux"	+4 +/–
	Сообщение от Аноним (??) on 07-Сен-12, 21:34
	> Первый уровень защиты обеспечивает setuid-sandbox, блокирующий доступ к файловой системе, сети и сторонним процессам (процесс помещается через CLONE_NEWPID в отдельный PID namespace, выполняется chroot в пустую директорию и блокируется сеть через CLONE_NEWNET). Правильнее назвать это namespace-sandbox, или LXC-sanbox, т.к. он использует технологии Linux namespaces (PID NS, FS NS, Net NS), разработанные в рамках проекта LXC.
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	2. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Я (??) on 07-Сен-12, 21:41
	И назовут потом всё это ChromeCubes-os, и та польская хакерша возглавит это всё
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	3. "Представлен новый механизм защиты браузера Chrome в Linux"	–21 +/–
	Сообщение от pavlinux (ok) on 07-Сен-12, 22:08
	> разработанные в рамках проекта LXC. Угу, говна самовар! Namespaces в Plan9 точно были, может в OS/390 Linux - это вообще, сборище костылей со всей планеты! Инноваций в ядре, чуть меньше нуля! :) Они есть, но я вот так, с разбегу и не вспомню...
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	4. "Представлен новый механизм защиты браузера Chrome в Linux"	+7 +/–
	Сообщение от Аноним (??) on 07-Сен-12, 22:11
	> Угу, гoвна самовар, Namespaces в Plan9 точно были, может в OS/390 Но только в Linux их реализация оказалась пригодна для чего-то полезного :) > Linux - это сборище костылей со всей планеты! Инноваций в ядре, чуть меньше нуля! :) Щас лопнешь и всех забрызгаешь :)
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	6. "Представлен новый механизм защиты браузера Chrome в Linux"	+2 +/–
	Сообщение от Crazy Alex (ok) on 07-Сен-12, 22:15
	Вся суть нынешнего веба - сначала берём неподходящий механизм а потом пытаемся его подкрутить до приемлемого состояния. Как здесь - сначала начинаем гонять недоверенный код на своей машине а потом заворачиваем его в десяток слоёв безопасности. Гугл съел всем мозг...
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	7. "Представлен новый механизм защиты браузера Chrome в Linux"	–4 +/–
	Сообщение от pavlinux (ok) on 07-Сен-12, 22:33
	>> Угу, гoвна самовар, Namespaces в Plan9 точно были, может в OS/390 > Но только в Linux их реализация оказалась пригодна для чего-то полезного Только с момента изобретения сие чудо посчитали избыточным, от чего теперече в ядре пытаются избавится включая те же древние костыли (Samepage Merging, ДеДупликация, и тыр и пыр.) >> Linux - это сборище костылей со всей планеты! Инноваций в ядре, чуть меньше нуля! :) > Щас лопнешь и всех забрызгаешь :) А ты налей и отойди.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	8. "Представлен новый механизм защиты браузера Chrome в Linux"	+1 +/–
	Сообщение от Аноним (??) on 07-Сен-12, 22:39
	А как работает <input type="file">?
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	10. "Представлен новый механизм защиты браузера Chrome в Linux"	+1 +/–
	Сообщение от Аноним (??) on 07-Сен-12, 23:03
	> Только с момента изобретения сие чудо посчитали избыточным, Ты про кого? > от чего теперече в ядре пытаются избавится включая те же древние костыли а то из контекста непонятно. > А ты налей и отойди. Ок, отбежал за угол :)
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	15. "Представлен новый механизм защиты браузера Chrome в Linux"	–2 +/–
	Сообщение от pavlinux (ok) on 08-Сен-12, 00:23
	> Ты про кого? Вспоминай, про что писал.
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	17. "Представлен новый механизм защиты браузера Chrome в Linux"	–1 +/–
	Сообщение от Led (ok) on 08-Сен-12, 02:32
	>Они есть, но я вот так, с разбегу и не вспомню... Фосфора похавай, то так скоро не вспомнишь как зовут.
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	19. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Led (ok) on 08-Сен-12, 02:35
	>сначала начинаем гонять недоверенный код на своей машине а потом заворачиваем его в десяток слоёв безопасности. Это ты сейчас про изначально позиционирование Java? >Гугл съел всем мозг... Гугла тогда ещё не было. Бабушка с дедушкой тебе этого не рассказывали?
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	20. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Аноним (??) on 08-Сен-12, 02:59
	> Угу, гoвна самовар! Namespaces в Plan9 точно были, может в OS/390 > Linux - это вообще, сборище костылей со всей планеты! И тем не менее, это вполне себе нэймспэйсы. И вообще, лично мне этот костыль нравится. Всего несколько флагов в clone() а такая полезняшка получается.
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	21. "Представлен новый механизм защиты браузера Chrome в Linux"	–1 +/–
	Сообщение от Crazy Alex (ok) on 08-Сен-12, 03:32
	К вам белка пришла и джавой пугает? Где вы в новости увидели хоть слово о джаве? Нет, я о джаваскрипте и веб-приложениях. И гугл здесь понятно к чему - он умудрился всё это веселье чуть ли не в одиночку раскрутить.
	Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

	22. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Led (ok) on 08-Сен-12, 04:31
	> К вам белка пришла и джавой пугает? Где вы в новости увидели > хоть слово о джаве? > Нет, я о джаваскрипте и веб-приложениях. И гугл здесь понятно к чему > - он умудрился всё это веселье чуть ли не в одиночку > раскрутить. Ты почитай историю: для чего изначально Java позиционировалась. > И гугл здесь понятно к чему - он умудрился всё это веселье чуть ли не в одиночку раскрутить. А Sun - не смог.
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

	23. "Представлен новый механизм защиты браузера Chrome в Linux"	+1 +/–
	Сообщение от pavlinux (ok) on 08-Сен-12, 04:47
	Да, с виду красиво, и вселяет чувство "защищённости". Но любой СПЕЦИАЛИСТ по информационной безопастности, пошлёт эти неймспейсы в детский сад, - пластелин охранять, чтоб дети не сгрызли. Лекции читать не буду, пару аксиом: Два и более процесса имеющие единое ОЗУ - не защещены от взаимодействия! Два и более процесса имеющие единое ЦПУ - не защещены от взаимодействия! Процесс использующий алгоритмы динамической памяти - не защещен сам от себя! Процесс использующий входные/вводимые данные - это жопа. :)
	Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

	24. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Crazy Alex (ok) on 08-Сен-12, 05:22
	Ну да, "сетевые компьютеры" и всё такое. Плевать - мало ли у кого какие больные фантазии. Тем более что в нынешнем HTML это делается в куда более уродливом виде - ни тебе пакетов подписанных, ни байткода...
	Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

	25. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Тот_Самый_Анонимус on 08-Сен-12, 06:10
	Сколько же ресурсов потребует сие чудо?
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	26. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Led (ok) on 08-Сен-12, 06:50
	> Ну да, "сетевые компьютеры" и всё такое. Нет. Читай дальше.
	Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

	27. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от zhuk on 08-Сен-12, 09:44
	Собери класстер из 8080, водрузи на них dos. Обмен между ячейками сделай через перфокарту и бумажную почту:)
	Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

	28. "Представлен новый механизм защиты браузера Chrome в Linux"	+2 +/–
	Сообщение от cema (ok) on 08-Сен-12, 10:00
	>Linux - это вообще, сборище костылей со всей планеты! Железная дорога второй век на костылях держится
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	29. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Zenitur (ok) on 08-Сен-12, 10:29
	Состояние песочницы Песочница SUID    Да   Пространства имен PID    Да   Сетевые пространства имен    Да Seccomp-legacy sandbox    Нет Seccomp-BPF sandbox    Нет Вы находитесь в корректной тестовой среде Я пошёл обновлять ведро.
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	30. "Представлен новый механизм защиты браузера Chrome в Linux"	+1 +/–
	Сообщение от Аноним (??) on 08-Сен-12, 10:30
	>Два и более процесса имеющие единое ОЗУ - не защещены от взаимодействия! Два и более процесса имеющие единое ЦПУ - не защещены от взаимодействия! Процесс использующий алгоритмы динамической памяти - не защещен сам от себя! Процесс использующий входные/вводимые данные - это жопа. :) Не у всех есть возможность запускать по компьютеру на каждую программу, а работать надо. Специалисту по безопасности отправится обратно в вакуум из которого он вылез.
	Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

	31. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Аноним (??) on 08-Сен-12, 10:31
	> Сколько же ресурсов потребует сие чудо? почти не сколько
	Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

	32. "Представлен новый механизм защиты браузера Chrome в Linux"	+2 +/–
	Сообщение от Аноним (??) on 08-Сен-12, 10:32
	>Обмен между ячейками сделай через перфокарту и бумажную почту М-де? С каких пор носитель данных может повлиять на их неверную последующую обработку?
	Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

	33. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от re on 08-Сен-12, 12:46
	Песочница SUID    Да   Пространства имен PID    Да   Сетевые пространства имен    Да Seccomp-legacy sandbox    Нет Seccomp-BPF sandbox    Да
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	34. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от re on 08-Сен-12, 12:47
	и как включить legacy?
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	35. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от saNdro on 08-Сен-12, 13:15
	Это всё сферический конь в вакууме. На первые два пункта как-раз и существует операционная система и "защищённый" режим процессора. Что б OS могла указывать "кому, куда и сколько" без ограничений, а все прочие только в рамках указанного. На вторые - всё определятся тем, каким местом программист-автор предпочитает думать.
	Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

	36. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Вася (??) on 08-Сен-12, 14:06
	--enable-seccomp-sandbox
	Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

	37. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Вася (??) on 08-Сен-12, 14:09
	Только смысла в этом уже не будет, наверное.
	Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

	38. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Anonim (??) on 08-Сен-12, 14:32
	Песочница SUID Да   Пространства имен PID Да   Сетевые пространства имен Да Seccomp-legacy sandbox Да Seccomp-godmode sandbox Да Seccomp-BPF sandbox Да
	Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

	39. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Аноним (??) on 08-Сен-12, 14:35
	>>Обмен между ячейками сделай через перфокарту и бумажную почту > М-де? С каких пор носитель данных может повлиять на их неверную последующую > обработку? Со времен машины Тьюринга, чувак.
	Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

	40. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Аноним (??) on 08-Сен-12, 15:34
	"несколько" пишется слитно
	Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

	41. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от pavlinux (ok) on 08-Сен-12, 16:04
	> Специалисту по безопасности отправится обратно в вакуум из которого он вылез. Кури требования к оборудованию и ПО на сертификацию по грифам ОВ и СС.
	Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

	42. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от anonymous (??) on 08-Сен-12, 16:34
	Песочница SUID Да   Пространства имен PID Да   Сетевые пространства имен Да Seccomp-legacy sandbox Да Seccomp-godmode sandbox Да Seccomp-BPF sandbox Да Seccomp-GTFO sandbox Да
	Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

	43. "Представлен новый механизм защиты браузера Chrome в Linux"	+2 +/–
	Сообщение от другой аноним on 08-Сен-12, 17:04
	и через "и" (если хотели сказать в смысле "ничего не требуется", а не "немного более двух штук")
	Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

	44. "Представлен новый механизм защиты браузера Chrome в Linux"	+1 +/–
	Сообщение от Аноним (??) on 08-Сен-12, 17:26
	отличный пример, как безграмотность может в корне изменить смысл фразы
	Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

	45. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от kurokaze (ok) on 08-Сен-12, 20:19
	>выполняется chroot в пустую директорию А ежели он там файло создаст под завязку? Руту то будет доступно больше (если при создании фс не химичил, или после), а что насчет других юзеров?
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	46. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Аноним (??) on 08-Сен-12, 20:26
	Угу, все поголовно работают с секреткой.
	Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

	47. "Представлен новый механизм защиты браузера Chrome в Linux"	+3 +/–
	Сообщение от Аноним (??) on 08-Сен-12, 20:36
	А вот и хрен там, костыли для рельсошпального скрепления применяются в основном для старых деревянных шпал, для ж/б шпал и для цельной ж/б подушки чаще применяют болты и армированные бетонные пробки. А уж тем более в случае с композитными и пластиковыми шпалами. The_more_you_know.jpg
	Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

	48. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Аноним (??) on 08-Сен-12, 21:10
	Жава изначально предназначалась для эмбеддовки, потом просочилась всюду. Но причем тут она ваще? Выражайся яснее.
	Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

	49. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от pavlinux (ok) on 09-Сен-12, 00:33
	> Угу, все поголовно работают с секреткой. 2-шаг: Угу, все поголовно работают с ДСП 3-шаг: Угу, всем поголовно нужно шифрофание в браузерах 4-шаг: Вы ещё квартиру на замок закрывайте. 5-шаг: Да кому ты нафиг нужен... 6-шаг: Нет человека - нет проблем! :)
	Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

	50. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от pavlinux (ok) on 09-Сен-12, 00:49
	> Это всё сферический конь в вакууме. > На первые два пункта как-раз и существует операционная система и "защищённый" режим > процессора. Что б OS могла указывать "кому, куда и сколько" без > ограничений, а все прочие только в рамках указанного. А вот появляется программа которая не хочет работать в рамках указанного. Вроде алгоритм написан академиками, проверен 10-ю институтами, 20 комиссиями, утвержден на пленуме ЦК КПСС,... А вот она херакс и залезла не туда и слила в свое пространство, пароль от пусковой установки и заслала на gmail.com.    А почему? А вот хрен её знает, - переполнение кэша, конфликт прерываний, race condition, SMM-дыры, а засрать GTD в x86, как два байта об асфальт.
	Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

	51. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Аноним (??) on 09-Сен-12, 08:10
	Я буду больше уверен в своей безопасности если буду использовать за место "дырявых комбайнов" uzbl или surf.
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	52. "Представлен новый механизм защиты браузера Chrome в Linux"	+1 +/–
	Сообщение от Bvz on 09-Сен-12, 09:28
	А чо вот взять и просто написать профиль для AppArmor уже не кошерно да?
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	53. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от re on 10-Сен-12, 13:32
	--enable-seccomp-sandbox не работает Состояние песочницы Песочница SUID    Да   Пространства имен PID    Да   Сетевые пространства имен    Да Seccomp-legacy sandbox    Нет Seccomp-BPF sandbox    Да Вы находитесь в корректной тестовой среде
	Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

	54. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от XDA on 10-Сен-12, 17:23
	чувак недоговорил, а от того и проблемы. правильное утверждение выглядит так: если две задачи исполняются на одном физическом процессоре и/или на одной физической памяти, то средства защиты ПОТЕНЦИАЛЬНО могут быть взломаны и задачи могут получить данные друг друга. это всё равно, что у меня есть пистолет, то ПОТЕНЦИАЛЬНО я могу кого-то застрелить. или если у меня есть х.. то ПОТЕНЦИАЛЬНО я могу кого-то изнасиловать. продолжать можно до  бесконечности :)
	Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

	55. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от Аноним (??) on 10-Сен-12, 18:59
	Проект LXC? Ну-ну http://ru-openvz.livejournal.com/1970.html
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	56. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от WhiteWind (??) on 12-Сен-12, 10:30
	Павлин совсем с катушек съехал. Бедняжка
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	57. "Представлен новый механизм защиты браузера Chrome в Linux"	+/–
	Сообщение от pavlinux (ok) on 12-Сен-12, 15:30
	> это всё равно, что у меня есть пистолет, то ПОТЕНЦИАЛЬНО я могу > кого-то застрелить. > или если у меня есть х.. то ПОТЕНЦИАЛЬНО я могу кого-то изнасиловать. > продолжать можно до  бесконечности :) Когда взведён курок, или "стоит", в одной бане с девками, то вероятность стремится к 1.0. Пистолет в сейфе или мужик на диване приравниваются к отключенному компьютеру. :D
	Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема