LINUX.ORG.RU

Пользуетесь ли вы «песочницами» для основных программ?

 ,


2

4

Речь не про запуск чего-то подозрительного, а про софт, который используется каждый день, как например браузер, мессенджер, читалка почты, etc. Защищают ли лоровцы себя от потенциальных 0day?

  1. Нет, мне нечего скрывать от моих программ!270 (44%)

    ********************************************************************************************************************************************************************************************************************************************************************************************************************************

  2. Нет, сложно, не хочу разбираться247 (40%)

    ****************************************************************************************************************************************************************************************************************************************************************************************************

  3. Да, использую виртуализацию(qemu, virtualbox, etc)112 (18%)

    ************************************************************************************************************************************

  4. Да, запускаю всё в контейнерах(lxc, openvz, etc)47 (8%)

    *******************************************************

  5. Да, chroot38 (6%)

    *********************************************

  6. Да, пишу конфиги для AppArmor19 (3%)

    **********************

  7. Да, Firejail15 (2%)

    *****************

  8. Да, Bubblewrap5 (1%)

    *****

Всего голосов: 753, всего проголосовавших: 612

>>> Проголосовать



Проверено: Shaman007 ()

Боюсь представить асимметричность сего опроса. Даже проприетарщину немногие параноики по контейнерам и виртуалкам прячут, а уж с такой шизой проще AOSP/Replicant/Remix OS пользоваться, там это всё из коробки и имплаится приложениями, в отличие от.

bodqhrohro_promo ()

Нет, мне нечего скрывать от моих программ!

но это с поправкой на ASLR и gentoo, так что многие дыры могут превратиться в тыкву
Скорее всего максимум что получится сделать злоумышленнику с 0-day - крашнуть мне что-то. Хотя могут быть и исключения

mittorn ★★★★★ ()
Ответ на: комментарий от mittorn

ASLR не панацея, https://habr.com/post/429004/ да и возможен кейс, когда допустим в программе есть интерпретатор какого-нибудь питона с функцией open и сетевыми сокетами, а также уязвимость, которая позволяет твоему агенту КГБ прислать тебе нужный питониевый код для исполнения

devalone ()
Ответ на: комментарий от mittorn

но это с поправкой на ASLR

ASLR это не о том, что «больше невозможен ROP», а о том, что кроме уязвимости, позволяющей переход исполнения на произвольный адрес — нужно найти еще инфолик, который позволит восстановить базовый адрес и посчитать смещения для ROP.

Не говоря о том, что от логических уязвимостей подобные mitigation не защищают.

jollheef ★★★★★ ()
Ответ на: комментарий от jollheef

Я знаю, изучал ситуацию с этим. Просто теперь простого buffer overflow не достаточно чтобы реально что-то можно было сделать. Нужно ещё спалить указатели на что-то в этом же экземпляре процесса как минимум. Я мало как это можно сделать. Ну ещё опасно если где-то юзаются фиксированные адреса. Это потенциально создаст возможность выбраться из этого ROP и нагадить
Гораздо опаснее уязвимости вроде шеллшока или той что была в ffmpeg - ведь они могут навредить даже когда злоумышленник не знает какой архитектуры процессор. Вот тут с моим подходом можно хорошо лажануться

mittorn ★★★★★ ()

Гм. Куча народу использует песочницы snap и flatpak, но где они?

Aceler ★★★★★ ()
Ответ на: комментарий от Aceler

хм, можно было б добавить, но голосование всё равно

(не подтверждено)

devalone ()
Последнее исправление: devalone (всего исправлений: 1)

Не использую. По иногда в chroot-е с другого дистра чиню основной, но это совсем другая история.

CryNet ★★ ()

программы тоже делятся на два вида — десктопные и серверные.

разработчики 100% создают продакшн-окружение в виртуалках, просто потому что так нужно девелопить. и на самом продакшене, скорее всего тоже уже каждая серверная программа в отдельности имеет своё окружение.

но мне например проще железку воткнуть лишнюю, чем заморачиваться с обслуживанием софта. разница есть, нажать одну кнопку чтоб включить ПК, или напердолить скрипт и потом ещё разбираться почему оно не работает, от окружения это зависит или ещё от чего. а ПК — вот он, роутер — вот он, свич — вот он... ну и так далее.

вместо виртуалок я обмазался бомже-сборками ПК под различные задачи. вплоть до того, что на одном из них стоит Windows 10. чтобы без всяких заморочек взять любую софтину, потестировать и знать как оно работает. а не в бессилии кричать на форумах «НЕТУ ПАДЛИНАКС? НИНУЖНА!».

надо потестить работает ли нужная фича в линуксах? включаю ПК с убунту, тестирую, если работает, значит смогу завести на своём CRUX. если нет — то нет.

захотел поковырять новый дистрибутив? включаю ПК... ну так в самом деле проще и быстрее. чем тратить время на решение каких-то косвенных проблем. типа как с systemd, если что-то не работает, сначала пытаешься разобраться с systemd, а уже потом решаешь основную задачу. нет. мне проще сразу приступить к решению задачи, даже если для этого придётся воспользоваться Windows 10. не вижу в этом ничего такого.

Spoofing ★★★★★ ()

Нет, но подумываю начать.

greenman ★★★★★ ()

Нет, сложно, не хочу разбираться

Потому что мне надо чтоб ссылка из чатика открывалась в браузере, игрался звук в ютубе, скайп меня снимал через вебку и печатались документы из офиса. Как это все пробрасывать и настраивать взаимодействие друг с другом, тем более в случае с виртуалками - у меня даже представления нет.

Стоит отметить, что всякий веб-ориентированный софт, что-то временное (и не требующее взаимодействия с другими компонентами системы), всякие проекты и прочее я держу в контейнерах. Не потому что безопасность, а для того чтоб была возможность снести все в полторы команды.

micronekodesu ()

Все игры в chroot и ещё телега там же

vasyan ()
Ответ на: комментарий от Aceler

flatpak не особо песочница. Вот snap да, там apparmor профиль сверху. Но по мне, профиль, который тебе прислали, а не ты сам его написал, считай, его нет.

turtle_bazon ★★ ()

Нет, только браузер работает под отдельным пользователем.

slovazap ★★★★★ ()
Ответ на: комментарий от turtle_bazon

Вот snap да, там apparmor профиль сверху.

 > snap interfaces vlc
...
:home
:network
...

Ну так и делай, что хочешь в приложении :D

fornlr ★★★★★ ()
Последнее исправление: fornlr (всего исправлений: 1)

Да, пишу конфиги для AppArmor

Во всяком случае для софта, который ходит в сеть.

aidaho ★★★★★ ()

Иногда пользуюсь lxc, потому что контейнеры крайне удобно переносить с сервера на сервер и не надо перенастраивать. Есть мечта вообще все свои серверные программы распихать по контейнерам и вообще не париться о версии ОС на хосте.

Rinaldus ★★★★★ ()
Последнее исправление: Rinaldus (всего исправлений: 1)

«нет, сложно». Многими пытался пользоваться. Контейнеры создают имбецилы, или просто для галочки сами сотрудники МС или еще какой проприетарщины. Для полной функциональности проще установить в opt и надеть шапочку из фольги.

PtiCa ★★★★★ ()

Слишкам сложна, но иногда завожу что-нибудь потыкать в виртуалочке (virtualbox), просто чтобы не пачкать рабочую систему.

no-such-file ★★★★★ ()

Проприетарщину и кривые поделия заворачиваю в bubblewrap. Я в восторге от простоты этой тулзы, «just works». Стал даже использовать не как песочницу, а как удобный инструмент перебиндить/сделать ридонли части ФС с целью защиты от засирания.

snizovtsev ★★★ ()

Нет, не нашёл удобных решений, некоторые проги запускаю в отдельных иксах из под отдельного пользователя.

FedyaPryanichkov ()

ИЧСХ Selinux в опрос даже не включен.

goingUp ★★★★★ ()
Ответ на: комментарий от jollheef

Получается типа QubesOS, но через kvm и spice?
Интересно, однако, с учетом того, что это обычный remote-viewer из virt-manager, какая-то интеграция есть, кроме расшаренной папки? Например, смотрю на скрине evince в отдельной виртуалке - можно ли просто щёлкнуть по pdf, чтобы она открылась в своей виртуалке. Или щёлкнут по ссылке из thunderbird, чтобы она открылась в ВМ с браузером

TheAnonymous ★★★★★ ()
Ответ на: комментарий от Spoofing

например проще железку воткнуть лишнюю, чем заморачиваться с обслуживанием софта

вместо виртуалок я обмазался бомже-сборками ПК под различные задачи

Это конечно Ъ с точки зрения безопасности, но где разместить столько пекарен в квартире? Хотя если это бомже-ноутбуки, то может быть.

Windows 10. чтобы без всяких заморочек взять любую софтину, потестировать и знать как оно работает

Виртуалка с проброшенной видеокартой свои задачи тоже выполняет, один раз только надо напердолить (хотя сейчас с современным libvirt и virt-manager вроде вообще из коробки, можно мышкой натыкать)

TheAnonymous ★★★★★ ()

Слегка, использую NixOS.

t184256 ★★★★★ ()
Ответ на: комментарий от nomathere

При запуске там тоже изоляция покруче многих, пусть и через obscurity.

t184256 ★★★★★ ()

Пробовал QubesOS, но не прижилась, потому что ресурсоёмкая. Вот если бы она была на контейнерах, а не на виртуалках, то всё бы у них получилось (наверное).

Einstok_Fair ★★ ()
Ответ на: комментарий от TheAnonymous

Мне конкретно docker не нравится (абстрактно, не знаю чем). Есть же LXD

Einstok_Fair ★★ ()

Дырявый софт живёт только в виртуалке, для подозрительного используется firejail, проприетарный софт живет в клетке apparmor-а.

peregrine ★★★★★ ()
Ответ на: комментарий от Aceler

Оно не песочница. Оно дырявое. Это такой пакетный менеджер, который тянет с собой все зависимости, не более того.

peregrine ★★★★★ ()
Последнее исправление: peregrine (всего исправлений: 1)
Ответ на: комментарий от peregrine

И ты такой щас, хоп и расскажешь, как из snap приложения получить доступ к чему нет прав.

fornlr ★★★★★ ()
Ответ на: комментарий от fornlr

Молча. Берешь и получаешь. По крайней мере к единственному, что есть ценного в компьютере пользователя — хомяку (сама ОС никакой ценности для взломщика не представляет, майнер рута не требует, как и всё остальное что есть ценного на машинах пользователей).

peregrine ★★★★★ ()
Ответ на: комментарий от peregrine

Ну так и знал... Врун как всегда.

И как получить доступ к хомяку, если его нет в правах snap приложения?

А майнер бесполезен без сети.

fornlr ★★★★★ ()
Последнее исправление: fornlr (всего исправлений: 2)
Ответ на: комментарий от peregrine

Очень у многих. Я конечно понимаю, что туго соображаешь.

Но реально много можно приводить примеров программ, которым не нужен доступ к хомяку.

https://snapcraft.io/yandex-weather-cli

Поэтому такой тебе привычный максимализм с крайностями всё же туповат

fornlr ★★★★★ ()
Последнее исправление: fornlr (всего исправлений: 1)
Ответ на: комментарий от fornlr

Хранить конфиги вне привязки от пользователя — моветон.

peregrine ★★★★★ ()
Ответ на: комментарий от peregrine

Чего? Ну ты хоть бы малейшей представление о snap бы поимел, а потом писал бы...

ЗЫ: вот точно мышление уровня крайностей

fornlr ★★★★★ ()
Последнее исправление: fornlr (всего исправлений: 1)
Ответ на: комментарий от turtle_bazon

flatpak не особо песочница

Правда что ли? man bubblewrap

Вот snap как раз не особо песочница, точнее совсем не песочница.

intelfx ★★★★★ ()
Последнее исправление: intelfx (всего исправлений: 2)
Ответ на: комментарий от TheAnonymous

какая-то интеграция есть, кроме расшаренной папки?

Буфер обмена.

В остальном — повышение интеграции есть повышение поверхности атаки, поэтому там реализовано минимально возможное для сохранения удобства.

jollheef ★★★★★ ()

Софт во флатпаке считается?

xDShot ★★★★ ()

на домашнем ПК ненужно

eR ★★★★★ ()
Ответ на: комментарий от TheAnonymous

виртуалка с проброшенной видеокартой

А если видеокарта только одна? Как раз хотел винду в виртуалку загнать, но в итоге забил, потому что производительность просела дико

SeTSeR ()
Ответ на: комментарий от fornlr

Ну я там где-то отмечал, что или доверяйся чужим профилям, что тоже не ахти, но зато формат поддерживает.

turtle_bazon ★★ ()
Ответ на: комментарий от intelfx

Да, я попутал. Я с appimage попутал. Вот flatpak есть песочница. А по поводу снапа - ну так по сути песочница и есть, хренатень, которая позовляет ограничивать приложение. Её реализация это, конечно, уже тема для обсуждений, но суть то песчоница.

turtle_bazon ★★ ()
Закрыто добавление комментариев для недавно зарегистрированных пользователей (со score < 50)