jail

Просто не запускаю бинарный квн-блоб под рутом. У network-manager много поддержки разных протоколов vpn, пока их хватает

ну а броузер, торрент, медиаплеер?

Как вы от такого защищаетесь? Уповаете на passphrase?

Если у тебя взломали рута то тебе уже ничего не поможет. Именно поэтому рута надо охранять.

квн-блоб

А если ты добровольно запускаешь трояны всякие то ты идиот.

у меня все клиенты квн опенсурсные

тысячиглаз себя давно помножили на ноль + ты ведь их не сам собираешь, так ведь? не сам ведь?

Throne (open-source). Как и всё, что работает с сетью, запускается в пузыре bubblewrap.

бинарный [...]-блоб под рутом

Не надо так делать. Никогда.

Как вы от такого защищаетесь?

Я просто такого не допускаю. Приложению разрешено читать только свои конфиги и свои файлы в своём загончике.

jail

Да. jail(8) во FreeBSD хорошая штука. Плюс с 15.0-RELEASE (FIXME: вроде как?) svcj завезли, так что можно сервисы изолировать в контейнер вообще без телодвижений.

Или по хардкору поднимаете виртуалку

Да. Если приложение требует W^X, оно изолируется в виртуалку. Каждый в свою.

Плюс файерволл. Нефиг качать/отправлять несанкционированные данные несанкционированным хостам несанкционированных копрораций!

Как вы от такого защищаетесь?

Ну во-первых, я уж точно не запускаю бинарные блобы под рутом. Да и вообще мало что под ним запускаю.

А так, активнейше использую bwrap. firejail тоже годится, и начинать с него проще, но он не столь гибкий.

passphrase

Да, а что такого? На паролях вообще вся безопасность зиждется. Физический токен можно украсть, а чтобы пароль выведать, надо человека уговорить его выдать. Это качественно разные атаки.

Использую open source браузер, торрент-клиент и медиаплеер и не запускаю их под рутом

Не надо так делать. Никогда.

Я уверен, что и ты это делаешь. Любой квн клиент требует рута и ты его 100% ставишь бинарным не смотря код и не собирая из сорцов.

если приложение требует W^X

ы? Какое такое приложение требует W^X?

Плюс файерволл. Нефиг качать/отправлять несанкционированные данные несанкционированным хостам несанкционированных копрораций!

Хотелось бы увидеть твой pf.conf

Украденный приватный ключ можно брутфорсить оффлайн. Во времена nvidia+AI пароль форсится оооочень быстро.

Во времена nvidia+AI пароль форсится оооочень быстро.

Да нет, никакой магической техники типа масштабируемого квантового компа у них нет. Поэтому просто выбираем пароль подлиннее, и всё.

А ИИ здесь вообще ни причём. Она ничего нового во взломе не откроет. Всё её достижения - в результатах, для получени которых ей всё ражевали люди, которым решаемая проблема не была настолько интересна, чтобы они её сами посчитали на компе без ИИ.

Если ссышь, что твой RSA 4K взломают, просто выбираешь RSA 8K, и спишь спокойно.

Есть так называемый educated guess. LLM может очень быстро собрать информацию о тебе: от какого сервера ключ, твое имя, дата рождения, имена друзей/хомячков итп и построить словарь из этого. Хорошо, конечно, если ты помнишь 35 рандомных символов, но ведь нет же?

Это всё чушь полная. Мне достаточно выдумать один сложный пароль для открытия базы ключей.

да и кейлоггеры никто не отменял, особенно в бинарных блобах от рута

Ты что хочешь выяснить тут? Пора ли нам в дурку, как Андрею Губину?

passphrase, браузеры во флатпаке, игрушки под другим пользователем.

Ты сам этот пароль введёшь чтобы воспользоваться ключом, тут то его и заберут. Пароль (если он брутфорсостойкий) полезен только от единомоментной атаки, а если тебя затроянили и ты не сразу это заметил - все твои пароли утекут вместе с остальными доступами.

вот такого щас надо бояться: https://opensourcemalware.com/blog/trojanized-claude-code-extension-plants-pe...

1) твоё «квн клиент» - ненужно, большинство людей ими не пользуются, как бы ты ни надеялся что это не так

2) рут для таких штук тоже не нужен, рут нужен только для троянов

Ну и что? По-моему, очевидный ответ для того, кто априори что-то опасное запускает - не запускать это там, где есть какие-то общие ключи. Т.е. ssh ключи должны быть от песочницы, где данный конкретный зловред исследуется.

Кейлоггеры где? В репах дистрибутивов? Что-то не слышал о таком, даже в васянских дистрах типа Arch.

Ага. Ты заметил как chatgpt в броузере начинает тормозить уже после первого ответа? Явно что-то нехорошее делает на фоне.

По теме паранойи, вот в твой jail как раз логичнее вставить бэкдор, ну или хотя бы тайм-бомбу.

За базовую систему (применительно к нормальным ОС) я особо не опасаюсь. Но ты ведь понимаешь, что никто, то есть вообще никто не понимает и не знает и не хочет знать, как работают броузеры полностью. Разработка главных игроков на рынке броузеров, сколь угодно опенсорцных, давно превратилась в попил бабла. Люди основывают компании с одной целью – коммитить в большой броузер и доят эту корову годами. Там могут быть любые трояны от любых организаций и всем будет пофиг.

*вопрос со звездочкой: откуда бабло?

ведь любое запущенное приложение, тем более бинарный квн-блоб под рутом, может прочитать твои приватные ключи в ~/.ssh. Как вы от такого защищаетесь?

Не запускаю под рутом неизвестных науке зверей.

а чтобы пароль выведать, надо человека уговорить его выдать.

Иногда для начала надо человека уговорить его вспомнить.

Любой квн клиент требует рута и ты его 100% ставишь бинарным не смотря код и не собирая из сорцов.

С учетом того, что этот бинарный идёт от тех же людей что и сурсы из которых собран он и не только он претензия ну прям высосана из пальца.

бинарный квн-блоб

Темный Владыка Ситхов Дарт Буратиниус!

а если тебя затроянили и ты не сразу это заметил

То не только лишь о паролях беспокоиться надо.

С учетом того, что этот бинарный идёт от тех же людей что и сурсы из которых собран он и не только он претензия ну прям высосана из пальца.

Чойта. По-моему хорошая схема: выкладываешь белые и пушистые сорцы*, проводите аудит не заляпайтесь. А сам пихаешь троянов в бинарь и толкаешь. Не может быть, что я один такой умный.

*при этом делаешь всё возможное чтобы сборка на популярных дистрах превратилась в боль

Хорошо, конечно, если ты помнишь 35 рандомных символов, но ведь нет же?

Хорошо, конешно, что за меня их помнит хранилка паролей.

хранилка паролей

вот не знаю, я хранилки паролей воспринимаю как абсолютное зло

В любом случае, если нужен российский вариант, можно рассмотреть официальный заказ и установку Астра Линукс в варианте, где российский модуль LSM. Обложить бинарь ограничениями MAC, плюс файрвол, и вперед.

Дай угадаю, ты никогда не поддерживал системы, в которых нужна куча паролей.

угадал, я параноидальный админ локалхоста, за моими квантокриптостойкими ключами на впске скрывается фото моей кошки

ну так вот, в распределённой корпоративной среде лично я доверяю больше проприетарной хранилке паролей, которая у всех на виду, и которую, скорее всего, кто-то уже реверсинженирил, чем индусскому облачному админу, о котором я вообще ничего не знаю, и который имеет доступ ко всем моим файлам априори.

Ну и что же ты делаешь, если паролей хотя бы.. пять?

записываю на личточек и со временем запоминаю, сколько себя помню всегда так делал

так и ключик ssh запиши. И вводи каждый раз вручную, хексом.

Я уверен, что и ты это делаешь.

Ты ошибся.

Любой квн клиент требует рута

Разумеется, потому что ему нужно рулить своей сетью.

и ты его 100% ставишь бинарным

Разумеется. Код на си без компиляции не запускается же.

не смотря код

В код смотрели более надёжные люди. У них и опыта в безопасности побольше.

и не собирая из сорцов

Собирал. У меня теперь вообще всё компиляется на домашнем сервере: и базовые компоненты, и пакеты из портов. А что не компиляется — запускается в контейнере или виртуалке (в зависимости от того, что оно делает и каких прав хочет).

если приложение требует W^X

ы? Какое такое приложение требует W^X?

Любое на Java, NodeJS, C#. Может ещё какие, я перечислил только то, что запускается у меня на сервере.

Хотелось бы увидеть твой pf.conf

У меня их несколько.
Вот так выглядит на виртуалке, которая занимается ТОЛЬКО маршрутизацией трафика из одной сети в другую:

block in log on $if_net1 from !<REDACTED>/24 ! tagged GITSSH ridentifier 102
match in log on $if_net1 proto tcp from any to ($if_net1:0) port = 22000 tag GITSSH rdr-to <REDACTED> port 22 ridentifier 50505
match out log on $if_net0 proto tcp from any to <REDACTED> port = 22 tagged GITSSH nat-to ($if_net0:0) ridentifier 505011
# ...

не смотря код и не собирая из сорцов.

сейчас нет необходимости самому что-то смотреть, просто запускаешь клод, пишешь промт

Чойта. По-моему хорошая схема: выкладываешь белые и пушистые сорцы*, проводите аудит не заляпайтесь. А сам пихаешь троянов в бинарь и толкаешь.

Да как раздать разовый бинарь пользакам способов вагон, а вот на постоянной основе всё это дело уже не будет работать.

Причём тут рут? SSH-ключи находятся в $HOME.

Причём тут рут? SSH-ключи находятся в $HOME.

Ключи хоста находятся в /etc/ssh/ssh_host_*.

Подменять их не нужно, а вот с-3.14-здить и прикинуться этим хостом — сколько угодно!

Ну и что же ты делаешь, если паролей хотя бы.. пять?

записываю на личточек и со временем запоминаю, сколько себя помню всегда так делал

Пять паролей раз, пять паролей два, пять паролей три.... за годы у вас в голове должно скопиться весьма немалое кол-во этих паролей.

записываю на личточек и со временем запоминаю, сколько себя помню всегда так делал

У меня 140 активных (то есть тех, которыми я прям каждый день пользуюсь) паролей, длиной от 32 до 64 символов. И в целях безопасности я ни один из них не знаю (не «не помню»).

Я даже пароль своего пользователя забыл в целях безопасности. Пальцы знают куда давить, память в процессе не участвует.