LINUX.ORG.RU

Пользуетесь ли вы «песочницами» для основных программ?

 ,


2

4

Речь не про запуск чего-то подозрительного, а про софт, который используется каждый день, как например браузер, мессенджер, читалка почты, etc. Защищают ли лоровцы себя от потенциальных 0day?

  1. Нет, мне нечего скрывать от моих программ! 275 (44%)

    ********************************************************************************************************************************************************************************************************************************************************************************************************************************

  2. Нет, сложно, не хочу разбираться 257 (41%)

    ***********************************************************************************************************************************************************************************************************************************************************************************************************

  3. Да, использую виртуализацию(qemu, virtualbox, etc) 113 (18%)

    ***********************************************************************************************************************************

  4. Да, запускаю всё в контейнерах(lxc, openvz, etc) 48 (8%)

    *******************************************************

  5. Да, chroot 38 (6%)

    ********************************************

  6. Да, пишу конфиги для AppArmor 19 (3%)

    **********************

  7. Да, Firejail 15 (2%)

    *****************

  8. Да, Bubblewrap 5 (1%)

    *****

Всего голосов: 770, всего проголосовавших: 628

★★

Проверено: Shaman007 ()
Последнее исправление: Shaman007 (всего исправлений: 1)

Боюсь представить асимметричность сего опроса. Даже проприетарщину немногие параноики по контейнерам и виртуалкам прячут, а уж с такой шизой проще AOSP/Replicant/Remix OS пользоваться, там это всё из коробки и имплаится приложениями, в отличие от.

bodqhrohro_promo
()

Нет, мне нечего скрывать от моих программ!

но это с поправкой на ASLR и gentoo, так что многие дыры могут превратиться в тыкву
Скорее всего максимум что получится сделать злоумышленнику с 0-day - крашнуть мне что-то. Хотя могут быть и исключения

mittorn ★★★★★
()
Ответ на: комментарий от mittorn

ASLR не панацея, https://habr.com/post/429004/ да и возможен кейс, когда допустим в программе есть интерпретатор какого-нибудь питона с функцией open и сетевыми сокетами, а также уязвимость, которая позволяет твоему агенту КГБ прислать тебе нужный питониевый код для исполнения

devalone ★★
() автор топика
Ответ на: комментарий от mittorn

но это с поправкой на ASLR

ASLR это не о том, что «больше невозможен ROP», а о том, что кроме уязвимости, позволяющей переход исполнения на произвольный адрес — нужно найти еще инфолик, который позволит восстановить базовый адрес и посчитать смещения для ROP.

Не говоря о том, что от логических уязвимостей подобные mitigation не защищают.

Deleted
()
Ответ на: комментарий от Deleted

Я знаю, изучал ситуацию с этим. Просто теперь простого buffer overflow не достаточно чтобы реально что-то можно было сделать. Нужно ещё спалить указатели на что-то в этом же экземпляре процесса как минимум. Я мало как это можно сделать. Ну ещё опасно если где-то юзаются фиксированные адреса. Это потенциально создаст возможность выбраться из этого ROP и нагадить
Гораздо опаснее уязвимости вроде шеллшока или той что была в ffmpeg - ведь они могут навредить даже когда злоумышленник не знает какой архитектуры процессор. Вот тут с моим подходом можно хорошо лажануться

mittorn ★★★★★
()

Ноу. Только оффлайн жи есть.

Deleted
()
8 января 2019 г.
Ответ на: комментарий от Aceler

хм, можно было б добавить, но голосование всё равно

(не подтверждено)

devalone ★★
() автор топика
Последнее исправление: devalone (всего исправлений: 1)

Не использую. По иногда в chroot-е с другого дистра чиню основной, но это совсем другая история.

CryNet ★★★★★
()

программы тоже делятся на два вида — десктопные и серверные.

разработчики 100% создают продакшн-окружение в виртуалках, просто потому что так нужно девелопить. и на самом продакшене, скорее всего тоже уже каждая серверная программа в отдельности имеет своё окружение.

но мне например проще железку воткнуть лишнюю, чем заморачиваться с обслуживанием софта. разница есть, нажать одну кнопку чтоб включить ПК, или напердолить скрипт и потом ещё разбираться почему оно не работает, от окружения это зависит или ещё от чего. а ПК — вот он, роутер — вот он, свич — вот он... ну и так далее.

вместо виртуалок я обмазался бомже-сборками ПК под различные задачи. вплоть до того, что на одном из них стоит Windows 10. чтобы без всяких заморочек взять любую софтину, потестировать и знать как оно работает. а не в бессилии кричать на форумах «НЕТУ ПАДЛИНАКС? НИНУЖНА!».

надо потестить работает ли нужная фича в линуксах? включаю ПК с убунту, тестирую, если работает, значит смогу завести на своём CRUX. если нет — то нет.

захотел поковырять новый дистрибутив? включаю ПК... ну так в самом деле проще и быстрее. чем тратить время на решение каких-то косвенных проблем. типа как с systemd, если что-то не работает, сначала пытаешься разобраться с systemd, а уже потом решаешь основную задачу. нет. мне проще сразу приступить к решению задачи, даже если для этого придётся воспользоваться Windows 10. не вижу в этом ничего такого.

Spoofing ★★★★★
()

Нет, но подумываю начать.

greenman ★★★★★
()

Нет, сложно, не хочу разбираться

Потому что мне надо чтоб ссылка из чатика открывалась в браузере, игрался звук в ютубе, скайп меня снимал через вебку и печатались документы из офиса. Как это все пробрасывать и настраивать взаимодействие друг с другом, тем более в случае с виртуалками - у меня даже представления нет.

Стоит отметить, что всякий веб-ориентированный софт, что-то временное (и не требующее взаимодействия с другими компонентами системы), всякие проекты и прочее я держу в контейнерах. Не потому что безопасность, а для того чтоб была возможность снести все в полторы команды.

micronekodesu ★★★
()

Все игры в chroot и ещё телега там же

vasyan
()
Ответ на: комментарий от Aceler

flatpak не особо песочница. Вот snap да, там apparmor профиль сверху. Но по мне, профиль, который тебе прислали, а не ты сам его написал, считай, его нет.

turtle_bazon ★★★★★
()

Нет, только браузер работает под отдельным пользователем.

slovazap ★★★★★
()

Да, пишу конфиги для AppArmor

Во всяком случае для софта, который ходит в сеть.

aidaho ★★★★★
()

Иногда пользуюсь lxc, потому что контейнеры крайне удобно переносить с сервера на сервер и не надо перенастраивать. Есть мечта вообще все свои серверные программы распихать по контейнерам и вообще не париться о версии ОС на хосте.

Rinaldus ★★★★★
()
Последнее исправление: Rinaldus (всего исправлений: 1)

«нет, сложно». Многими пытался пользоваться. Контейнеры создают имбецилы, или просто для галочки сами сотрудники МС или еще какой проприетарщины. Для полной функциональности проще установить в opt и надеть шапочку из фольги.

Deleted
()

Слишкам сложна, но иногда завожу что-нибудь потыкать в виртуалочке (virtualbox), просто чтобы не пачкать рабочую систему.

no-such-file ★★★★★
()

Проприетарщину и кривые поделия заворачиваю в bubblewrap. Я в восторге от простоты этой тулзы, «just works». Стал даже использовать не как песочницу, а как удобный инструмент перебиндить/сделать ридонли части ФС с целью защиты от засирания.

snizovtsev ★★★★★
()

Нет, не нашёл удобных решений, некоторые проги запускаю в отдельных иксах из под отдельного пользователя.

FedyaPryanichkov ★★
()
Ответ на: комментарий от Deleted

Получается типа QubesOS, но через kvm и spice?
Интересно, однако, с учетом того, что это обычный remote-viewer из virt-manager, какая-то интеграция есть, кроме расшаренной папки? Например, смотрю на скрине evince в отдельной виртуалке - можно ли просто щёлкнуть по pdf, чтобы она открылась в своей виртуалке. Или щёлкнут по ссылке из thunderbird, чтобы она открылась в ВМ с браузером

TheAnonymous ★★★★★
()
Ответ на: комментарий от Spoofing

например проще железку воткнуть лишнюю, чем заморачиваться с обслуживанием софта

вместо виртуалок я обмазался бомже-сборками ПК под различные задачи

Это конечно Ъ с точки зрения безопасности, но где разместить столько пекарен в квартире? Хотя если это бомже-ноутбуки, то может быть.

Windows 10. чтобы без всяких заморочек взять любую софтину, потестировать и знать как оно работает

Виртуалка с проброшенной видеокартой свои задачи тоже выполняет, один раз только надо напердолить (хотя сейчас с современным libvirt и virt-manager вроде вообще из коробки, можно мышкой натыкать)

TheAnonymous ★★★★★
()

Слегка, использую NixOS.

t184256 ★★★★★
()
Ответ на: комментарий от Deleted

При запуске там тоже изоляция покруче многих, пусть и через obscurity.

t184256 ★★★★★
()

Пробовал QubesOS, но не прижилась, потому что ресурсоёмкая. Вот если бы она была на контейнерах, а не на виртуалках, то всё бы у них получилось (наверное).

Einstok_Fair ★★☆
()
Ответ на: комментарий от TheAnonymous

Мне конкретно docker не нравится (абстрактно, не знаю чем). Есть же LXD

Einstok_Fair ★★☆
()

Дырявый софт живёт только в виртуалке, для подозрительного используется firejail, проприетарный софт живет в клетке apparmor-а.

peregrine ★★★★★
()
Ответ на: комментарий от Aceler

Оно не песочница. Оно дырявое. Это такой пакетный менеджер, который тянет с собой все зависимости, не более того.

peregrine ★★★★★
()
Последнее исправление: peregrine (всего исправлений: 1)
Ответ на: комментарий от fornlr

Молча. Берешь и получаешь. По крайней мере к единственному, что есть ценного в компьютере пользователя — хомяку (сама ОС никакой ценности для взломщика не представляет, майнер рута не требует, как и всё остальное что есть ценного на машинах пользователей).

peregrine ★★★★★
()
Ответ на: комментарий от peregrine

Ну так и знал... Врун как всегда.

И как получить доступ к хомяку, если его нет в правах snap приложения?

А майнер бесполезен без сети.

fornlr ★★★★★
()
Последнее исправление: fornlr (всего исправлений: 2)
Ответ на: комментарий от peregrine

Очень у многих. Я конечно понимаю, что туго соображаешь.

Но реально много можно приводить примеров программ, которым не нужен доступ к хомяку.

https://snapcraft.io/yandex-weather-cli

Поэтому такой тебе привычный максимализм с крайностями всё же туповат

fornlr ★★★★★
()
Последнее исправление: fornlr (всего исправлений: 1)
Ответ на: комментарий от peregrine

Чего? Ну ты хоть бы малейшей представление о snap бы поимел, а потом писал бы...

ЗЫ: вот точно мышление уровня крайностей

fornlr ★★★★★
()
Последнее исправление: fornlr (всего исправлений: 1)
Ответ на: комментарий от turtle_bazon

flatpak не особо песочница

Правда что ли? man bubblewrap

Вот snap как раз не особо песочница, точнее совсем не песочница.

intelfx ★★★★★
()
Последнее исправление: intelfx (всего исправлений: 2)
Ответ на: комментарий от TheAnonymous

какая-то интеграция есть, кроме расшаренной папки?

Буфер обмена.

В остальном — повышение интеграции есть повышение поверхности атаки, поэтому там реализовано минимально возможное для сохранения удобства.

Deleted
()

на домашнем ПК ненужно

eR ★★★★★
()
Ответ на: комментарий от TheAnonymous

виртуалка с проброшенной видеокартой

А если видеокарта только одна? Как раз хотел винду в виртуалку загнать, но в итоге забил, потому что производительность просела дико

SeTSeR
()
Ответ на: комментарий от fornlr

Ну я там где-то отмечал, что или доверяйся чужим профилям, что тоже не ахти, но зато формат поддерживает.

turtle_bazon ★★★★★
()
Ответ на: комментарий от intelfx

Да, я попутал. Я с appimage попутал. Вот flatpak есть песочница. А по поводу снапа - ну так по сути песочница и есть, хренатень, которая позовляет ограничивать приложение. Её реализация это, конечно, уже тема для обсуждений, но суть то песчоница.

turtle_bazon ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.