Linux From Scratch -- zvládnul jsem, funguje

25.8.2011 13:30 | Přečteno: 2440× | LFS | | poslední úprava: 25.8.2011 13:29

Jelikož jsem hračička, tak jsem poslední dobou pošilhával po Linux From Scratch. Pokud by někdo nevěděl, o co se jedná, tak ve zkratce je to kniha (návod), podle které vytvoříte "vlastní" distribuci GNU/Linuxu kompletně ze zdrojových kódů. Přičemž jsou vynechány "zbytečnosti", kompilují se tedy jenom "nutné programy", které jsou nezbytné pro kompilaci/start/fungování této "vlastní" distribuce. Součástí tedy není "grafický režim" (X).

Moje poznámky k LFS

Vůbec nejtěžší byla samozřejmě kompilace kernelu (tedy Linuxu). Každý si totiž musí zvolit takovou konfiguraci, aby fungovala s jeho hardwarem.

Ještě rád poznamenám, že po přečtení LFS má člověk lepší rozhled -- tedy minimálně vidí, že linuxové distribuce jsou pouhou "skládačkou" určitých programů.

Dodám, že díky této knize se člověk navíc zdokonalí v používání příkazové řádky a vůbec v kompilování.

Upozornění

Téměř celá kniha je psána "počítačovou angličtinou", takže pokud zvládnete číst anglické manuálové stránky, tak by neměl být problém. Předpokládá se, že jste kamarádi s příkazovou řádkou.

       

Komentáře

[Marián Kyral]

Super, teď ještě aby ti to vydrželo. Instalace je jedna věc, aktualizace druhá. To můžou být problém.

Já mám raději Gentoo

[Begleiter]

Díky. Na normální práci mám Arch Linux. Přiznám se ale, že Gentoo mě silně láká.

Jinak rekompilace mě děsí.

[kralyk z abclinuxu]

No, ta kompilace kernelu by zas neměl bejt takovej problém, ne? Já teda LFS nikdy nezkoušel, ale kdysi jsem si hrál s Gentoo a imho kernel ještě docela šel.

By mě zajímalo, jestli v LFS doporučují spíš nakompilovat všecko na míru staticky do kernelu, nebo jet přes initramfs? <flame> Imho v 90% je lepší initramfs </flame>

[Begleiter]

LFS does not use an initrd

Viz http://www.linuxfromscratch.org/hints/downloads/files/kernel-configuration.txt

[Begleiter]

Co se týká jádra, tak problémem hlavně bylo to, že konfigurace obsahuje hrozně moc položek.

[zajca]

Přesně tak. Orientovat se v tom množství položek a vědět co potřebuju pro sebe a svůj počítač je náročné. Dokonce jsem z LFS dělal i bakalářku, je to výborná hračka.

[Mrkva]

Tak jasně, dokonce jsem někde měl i sadu skriptů která mi hezky každou aplikaci nacpala do /usr/pkg/$jmeno-$verze a nasymlinkovala. Ale stejně se to mizerně udržuje - hlídat u byť jen stovky aplikací jestli nevyšla nová verze je k zbláznění.

Ale jako bakalářka? Není to trochu málo? (Ale spíš mám jen zkreslené představy).

[kralyk z abclinuxu]

Offtopic...

Veni vidi vici!!! (Kdo dohrál VVVVVV, chápe)

+1! Ale je to vo nervy

[Mrkva]

Ještě by to chtělo dohrát to v no death mode :)

[Atrament]

LFS není určené pro lidi co chtěj mít furt úplně všechno v nejaktuálnější verzi...

[Václav "Darm" Novák]

On mluvil jen o nejaktuálnější verzi? Ony se nové verze hlídají i kvůli bugfixům. A s backporty oprav do starších verzí balíčků v LFS asi moc počítat nemůžeš :)

[Atrament]

bugfixy přinášejí nové bugy...

[kralyk z abclinuxu]

Imho LFS je určeno především pro lidi, co si chtějí zkusit LFS

[Atrament]

naprostý souhlas :)

[Jendа]

Že někdo má nervy to udržovat… Moje trpělivost končí u Debianu Unstable a Archu - oproti LFS vlastně bezúdržbové distribuce.

K LFS bych asi šel jenom kdybych potřeboval nějakou nestandardní distribuci (třeba embedded).

[Atrament]

LFS je jediné opravdu bezúdržbové distro široko daleko. Systém si uděláš a máš. Dál na něj doopravdy sahat nemusíš... prostě funguje dokud nezemře hardware...

[Jendа]

No, to nemusím sahat ani na Debian. Jenže časem programy a knihovny zestárnou, najdou se v nich bezpečnostní díry a nebudu si moct zkompilovat nové programy (protože budu mít staré knihovny). Údržbou jsem myslel hlavně aktualizaci.

[Atrament]

v LFS knihovny nestárnou tak rychle jako v klasických distribucích

[Atrament]

jo a co se týče té aktualizace tak obvzláště u Archu se o bezúdržbovosti vůbec mluvit nedá - mám teď Arch na notebooku více než půl roku a prakticky každá aktualizace znamená následné googlení nějakých úplných prkotin, které před aktualizací jely v pohodě a po najednou ne... Pokud se rozhodnu něco zaktualizovat v LFS tak to sice nebude otázka jednoho příkazu, ale na druhou stranu, když už se do toho pustím, tak to udělám pořádně...

[Václav "Darm" Novák]

A než se k tomu odhodlám, mám systém plný již objevených bezpečnostních děr :)

[Atrament]

proto říkám, že LFS není určeno pro lidi co chtěj mít všechno co nejaktuálnější ať už z jakýchkoliv důvodů. Chceš mít pocit, že máš systém aspoň jakžtakž zabezpečený díky bezpečnostním aktualizacím? Pak je jasné, že raději použiješ třeba Debian. Pokud je ti to ukradené jako třeba mně, protože se tu doufám nebavíme o serverech ale o desktopu, pak při použití LFS získáš systém na který nemusíš sáhnout kolik měsíců a přesto když se ti zlíbí nějaká nová aplikace, tak ji nainstaluješ bez nutnosti napřed upgradovat půlku systému a následně řešit půl dne co kde jaká aktualizace pokazila. Někomu se LFS prostě hodí a někomu ne. A v mých očích a podle mých zkušeností je to právě LFS, které jediné si může doopravdy nárokovat titul "bezúdržbový".

[Václav "Darm" Novák]

Aha, v tomhle se náš přístup dost liší :) Debian, RHEL, SuSE jsou všechno ukázky toho, že zabezpečený díky aktualizacím != nejaktuálnější. A osobně, u desktopu který mám 24/7 na internetu, s veřejnou IP a na kterém mám certifikát k bance a pár SSH klíčů beru bezpečnost celkem vážně. LFS chápu spíš pro nějakou embedded krabičku doma, kde potřebuji co nejštíhlejší systém šitý na míru účelu (a samozřejmě na výuku)

Mimochodem, nepadne ta bezúdržbovost trochu ve chvíli kdy se ona kritická bezpečnostní díra objeví v nějaké ze základních knihoven, kvůli čemuž je pak potřeba rekompilovat půl systému?

[Mrkva]

Mimochodem, nepadne ta bezúdržbovost trochu ve chvíli kdy se ona kritická bezpečnostní díra objeví v nějaké ze základních knihoven, kvůli čemuž je pak potřeba rekompilovat půl systému?

Tak oprava nějaké bezpečnostní chyby moc často nezpůsobí rozbití ABI.

[Jendа]

Jenže když máš rok starou libfoo-0.1 a oprava se objeví v aktuální libfoo-0.3, můžeš si ji leda tak zkusit backportovat.

[Mrkva]

Pravda.

[Atrament]

Pokud se najde nějaká kritická bezpečnostní chyba, která by mně donutila nějakou tu základní knihovnu upgradnout, nějak nechápu proč bych kvůli tomu měl překompilovávat půlku systému, od toho jsou ty knihovny přece sdílené - překompiluju novou verzi postižené knihovny, restartuju aplikaci co postiženou knihovnu používá a ona si načte novou verzi a hotovo...

Jo kdybych měl desktop s veřejnou IP a s nějakými kritickými věcmi tak se k tomu taky stavím jinak.

[Mrkva]

Jo kdybych měl desktop s veřejnou IP a s nějakými kritickými věcmi tak se k tomu taky stavím jinak.

Tak ono se hodí vždy zhodnotit riziko. Když jsem jediný uživatel, tak mě třeba local root trápit nemusí.

[Jendа]

nějak nechápu proč bych kvůli tomu měl překompilovávat půlku systému, od toho jsou ty knihovny přece sdílené

Viz výše, změna ABI (opravu by se mi na koleně backportovat nechtělo).

Jo kdybych měl desktop s veřejnou IP

Stačí buffer overflow v libpng (ano, stalo se) a webová stránka nebo mail, do kterého někdo vložil „správný“ obrázek. A nemusí to být zrovna stránky s dětským pornem, klidně si ten obrázek může někdo nastavit jako avatara na AbcLinuxu. To je mj. důvod, proč jsem začal radši prohlížet web pod jiným uživatelem, který nemá přístup k mým soukromým klíčům a podobným datům.

a s nějakými kritickými věcmi

To jsem tu vážně jediný, kdo má na disku SSH klíče k docela kritickým serverům?

[Atrament]

Já jsem obyčejný Franta uživatel obyčejného desktopu - tzn. internet, office, komunikace, multimédia. Žádné servery nespravuju, žádné tajné dokumenty neschraňuju. Takže si s bezpečností příliš hlavu nelámu, což je očividně ten hlavní rozdíl mezi námi. Já mám radši neměnné prostředí jednou nainstalovaného a vyladěného systému, než tu anarchii která se mi odehrává na notebooku před mýma očima při použití Archu :)

Kdybych měl vzdáleně spravovat nějaké kritické servery, bylo by vytvoření speciálního uživatele, určeného jenom k tomuto účelu to první co bych udělal. A pravděpodobně bych ten účet ani nepoužíval v prostředí X, ale pouze v klasické konzoli jen tak pro sichr. A samozřejmě bych "běžnému" účtu zamezil jakýkoliv přístup k datům tohoto speciálního účtu. Rozhodně bych s takovým účtem nelezl na web, ani na to Ábíčko :)

K tomu ABI, to je právě o tom zhodnocení rizika a rozhodnutí zda je to v tvém případě nutné či ne. Tvá situace mluví proti použití LFS, moje pro. Pokud chceš systém průbežně aktualizovat aspoň kvůli vychytávání kritických bezpečnostních bugů, nepoužívej LFS, opravdu bys z toho zmagořil...

[pavlix]

Takže si s bezpečností příliš hlavu nelámu

Ošklivá otázka: Máš internetové bankovnictví?

[Atrament]

Ano mám, zabezpečený rozhodně jinak než pouhou iluzí, že používám bezpečný, upgradovaný Linux...

[pavlix]

Ano mám, zabezpečený rozhodně jinak než pouhou iluzí, že používám bezpečný, upgradovaný Linux...

Jistě. K dispozici jsou i jiné iluze.

[Atrament]

Jakým způsobem mi chceš vybrakovat bankovní účet přes neupdatované knihovny v mém desktopu? Jako nedělám si iluze, že to technicky nejde, ale hádám, že bys mi musel nějak odposlouchávat a dešifrovat komunikaci s bankou, přičemž ale podotýkám, že v tom bankovnictví obvykle strávím tak 30 sekund a přihlašovací údaje se s každým přihlášením mění. A když se ti to přece povede tak prostě zajdu do banky a nahlásím zneužití účtu.

[Jendа]

Jakým způsobem mi chceš vybrakovat bankovní účet přes neupdatované knihovny v mém desktopu?

Že by instalací backdooru a následným ukradením session?

hádám, že bys mi musel nějak odposlouchávat a dešifrovat komunikaci s bankou

Ano, to samozřejmě s backdoorem jde.

Pokud používáš ještě SMS klíč nebo nějakou podobnou metodu nezávislou na počítači, pak bude nabourávání složitější. I když SMS se dají odposlechnout s rozpočtem pár tisícikorun (mobil s OsmocomBB), případně se dá rovnou podvrhnout číslo cílového účtu, pokud ti fakturační údaje chodí mailem nebo si je necháváš vystavit na webu.

A když se ti to přece povede tak prostě zajdu do banky a nahlásím zneužití účtu.

Jsem toho názoru, že škodu za zneužití účtu by si měl řešit ten konkrétní postižený sám a neměli by mu to platit ostatní, kteří se chovají bezpečně.

[Atrament]

Pokud používáš ještě SMS klíč nebo nějakou podobnou metodu nezávislou na počítači, pak bude nabourávání složitější.

Používám SecureKey, přihlašovací kód generující (není mu posílán žádnou formou SMS nebo něčím podobným, takže abys ten kód zjistil, musel bys mně o ten SecureKey fyzicky obrat. (nebo hacknout počítače v bance, zjistit sériové číslo mého SecureKey a podle něj si to nějspíš nějak dopočítat, a ještě zjistit moje osobní přihlašovací údaje)

A zapomínáš na limity u operací přes internetové bankovnictví, které případnému útočníkovi taky docela znemožní napáchat nějak významnou škodu.

A s tou škodou nemáš pravdu - banka je zodpovědná za to aby byli moje peníze u ní v bezpečí, to je její prvotní účel. Banka dělá zabezpečení a já jako uživatel jsem povinen jej používat, a v případě že jej používám a i přesto je můj účet nějak kompromitován, je to chyba banky, ne moje.

[Mrkva]

Používám SecureKey, přihlašovací kód generující (není mu posílán žádnou formou SMS nebo něčím podobným, takže abys ten kód zjistil, musel bys mně o ten SecureKey fyzicky obrat. (nebo hacknout počítače v bance, zjistit sériové číslo mého SecureKey a podle něj si to nějspíš nějak dopočítat, a ještě zjistit moje osobní přihlašovací údaje)

A nebo prostě podvrhnu transakci, která se na ten SecureKey posílá.

A s tou škodou nemáš pravdu - banka je zodpovědná za to aby byli moje peníze u ní v bezpečí, to je její prvotní účel. Banka dělá zabezpečení a já jako uživatel jsem povinen jej používat, a v případě že jej používám a i přesto je můj účet nějak kompromitován, je to chyba banky, ne moje.

Takže když nechám někde platební kartu, zezadu s napsaným pinem a někdo mi vybere účet, je to problém banky? LOL.

[Atrament]

Na SecureKey se nic neposílám, kdybys četl co píšu tak by sis této informace všiml.

Takže když nechám někde platební kartu, zezadu s napsaným pinem a někdo mi vybere účet, je to problém banky? LOL.

Pokud někde necháš kartu s napsaným pin, jsi zcela jednoznačně idiot a zároveň si porušil ona bezpečnostní pravidla nastavená bankou (o tom jak nakládat a nenakládat se svěřeným pinem býváš informován už když ten pin dostáváš). Tudíž nemáš nárok na žádnou kompenzaci a navíc by ses měl jít v zájmu celé společnosti dobrovolně nechat zpopelnit...

Pokud se chceš vměšovat do nějaké diskuse, prosím 1) čti pořádně příspěvky na které reaguješ 2) vyhni se argumentaci ad absurdum

[Mrkva]

Na SecureKey se nic neposílám, kdybys četl co píšu tak by sis této informace všiml.

Tak jestli to je tenhle SecureKey pak jo, ale myslel jsem, že to je tenhle SecureKey. Nicméně, pokud to je ten od HSBC, je útok ještě jednodušší, protože pokud dobře koukám, HSBC tu hračku používá jen pro přihlášení. A transakcí po přihlášení pak můžu udělat kolik chci.

Pokud někde necháš kartu s napsaným pin, jsi zcela jednoznačně idiot a zároveň si porušil ona bezpečnostní pravidla nastavená bankou (o tom jak nakládat a nenakládat se svěřeným pinem býváš informován už když ten pin dostáváš). Tudíž nemáš nárok na žádnou kompenzaci a navíc by ses měl jít v zájmu celé společnosti dobrovolně nechat zpopelnit...

Pokud necháš systém neaktualizovaný a děravý, jsi zcela jednoznačně idiot a zároveň si porušil ona bezpečnostní pravidla nastavená bankou (o tom že si máš zabezpečit počítač býváš informován už když si ebanking zřizuješ). Tudíž nemáš nárok na žádnou kompenzaci a navíc by ses měl jít v zájmu celé společnosti dobrovolně nechat zpopelnit...

[Atrament]

A pokud věříš, že máš-li svůj Debian či ArchLinux up-to-date tak jsi v bezpečí víc než já tak jsi prostě naivní. Někdo kdo se tímto zabývá "profesionálně" a opravdu takto luxuje bankovní účty se takovému způsobu zabezpečení akorát tak vysměje. Myslím si, že v tomto případě prostě neexistuje nějaké více či méně bezpečný systém, pouze napadnutelný a nenapadnutelný. Přičemž nenapadnutelný není žádný a napadnutelné jsou všechny. Proto banka vymýšlí takové zabezpečení, která jsou na systému uživatele co nejméně závislá (jako třeba ten SecureKey)

Btw proč to dělat všechno tak složitě? Nestačilo by prostě kdyby útočník vnikl ke mně domů - SecureKey by našel v šuplíku u stolu, mně by mohl třeba mučením donutit vydat mu mé přihlašovací údaje a měl by to imho mnohem jednodušší a rychlejší (okno prakticky nezavírám tak by ani nemusel dělat kravál jeho rozbíjením). Toto se mi jeví jako daleko jednodušší způsob jak kompromitovat můj bankovní účet než všechno to hackování. Mám si snad začít na okno montovat mříže?

[Mrkva]

Ale jo, up-to-date systém je skoro vždycky bezpečnější než neaktualizovaný. Neříkám, že je neprůstřelný, ale bezpečnější je.

Myslím si, že v tomto případě prostě neexistuje nějaké více či méně bezpečný systém, pouze napadnutelný a nenapadnutelný

Ale jo, existuje. Zatímco připojit dneska neaktualizované Windows k síti je poukázka na členství v botnetu, správně nakonfigurovaný a aktualizovaný systém odolá většině automatizovaných ale i cílených útoků.

[Atrament]

Neříkám, že je neprůstřelný, ale bezpečnější je.

Ale není doopravdy bezpečný, stejně jsou tam díry a myslím si že těch neobjevených bude daleko více než objevených. A na mně je tedy abych zvážil možnost rizika a posoudil zda se tím zabývat chci a nebo nechci. A já nechci.

[kralyk z abclinuxu]

a myslím si že těch neobjevených bude daleko více než objevených

To je možné (osobně si myslim, že jich bude asi tak stejně, no ale to je teď jedno), nicméně je potřeba si uvědomit tohle: Ty už objevené díry, pokud je nemáš zalepené, jsou mnohem nebezpečnější než ty neobjevené - protože se o nich ví.

[Atrament]

Asi jo, ačkoliv se na to taky dá koukat tak, že zlý crackeři si ty nejlepší vochcávky nechávají pro sebe a pečlivě je tají, aby je mohli vesele používat. A jednou objevené chyby, ve většině normálních distribucí vzápětí opravené, už je zajímat nebudou, natož aby pátrali po jednom zapadlém LFS kde by se mohli vyřádit...

[Jendа]

Mně občas chodí mailem odkazy na stránky (spamy) a když jsem si tu stránku opatrně stáhl a podíval se na zdroják, zjistil jsem, že se snaží zneužívat různé staré chyby - IE, Firefoxu, Flashe a Acrobat Readeru. Ono se stačí podívat na nedávnou kauzu vykrádání hesel na FTP z TotalCommanderu - kdy byla vydána oprava a kdy se ještě objevovaly napadené stránky. Stejně tak SSL Observatory našla netriviální množství certifikátů vygenerovaných na Debianím OpenSSL, část z nich dokonce s platným podpisem nějaké uznávané CA (!!!). Také tvůrce RSA SecurID hackli přes nějakou známou díru ve Flashi.

Myslím si, že automatizované botnety zkouší různé známé remote exploity (na Windows, protože jich je nejvíc), ale data k tomu nemám, protože IDS ani honeypot neprovozuju.

I když nemáš banking, cracknutí tvého počítače stejně bude obtěžovat lidi okolo - útočníci ho pravděpodobně použijí k posílání spamů a dalším útokům.

[Jendа]

Používám SecureKey, přihlašovací kód generující

A ten kód opisuješ na klávesnici. A já ovládám tvoji klávesnici!

A s tou škodou nemáš pravdu - banka je zodpovědná za to aby byli moje peníze u ní v bezpečí, to je její prvotní účel. Banka dělá zabezpečení a já jako uživatel jsem povinen jej používat, a v případě že jej používám a i přesto je můj účet nějak kompromitován, je to chyba banky, ne moje.

Moje banka má v podmínkách k IB, že mám používat legální OS, pravidelně aktualizovat, neklikat na e-maily které se tváří „jako od nich“ a nevím, co ještě.

a i přesto je můj účet nějak kompromitován, je to chyba banky, ne moje

Jenže banka nemůže ovlivnit, jestli nemáš začervený počítač a mobil, jestli ti útočník nekouká přes rameno a kde co.

[Atrament]

A ten kód opisuješ na klávesnici. A já ovládám tvoji klávesnici!

To sice jo, ale kód přestane být takřka okamžitě aktuální :)

Btw co přesně tě vede k domněnce, že v pečlivě updatovaném Debianu/Ubuntu/Mandrivě/jánevímcopoužíváš jsi proti takovému útoku v bezpečí? Nedávno jsem četl článek o odposlouchávání klávesnice v Xorg ne díky žádné chyby či exploitu, ale prostým využitím nějaké featury Xorgu. Jakmile ten článek vyhrabu tak to sem hodím je to docela zajímavé čtení.

[Mrkva]

Nedávno jsem četl článek o odposlouchávání klávesnice v Xorg ne díky žádné chyby či exploitu, ale prostým využitím nějaké featury Xorgu. Jakmile

Jasně, ale aktuální a bezpečný aplikace a knihovny přicházející do styku s vnějším světem by právě měly být aktuální z toho důvodu, aby útočník nemohl žádnou takovou škodlivou aplikaci spustit. A je jedno, jestli jde o backdoorovanou verzi prohlížeče nebo keylogger, důsledek je vždycky stejný.

[Atrament]

To o čem se psalo v tom článku fungovalo v aktuálním a aktualizovaném Archu úplně bez problémů sám jsem si to tehdy zkoušel. Takže prakticky cokoliv co jsem měl v té chvíli nainstalované bylo schopno naslouchat tomu co píšu na klávesnici. Jinými slovy, každý kdo tvoří balíčky pro Arch mohl lehce odposlouchávat moji klávesnici, a nebylo k tomu potřeba vůbec nějakého kritického bugu v nějaké knihovně. A jelikož to nebyl bug ale featura tak pochybuju, že to bylo nějak opraveno.

[Atrament]

Tak jsem to našel

[Jendа]

Ale pořád musí útočník tu aplikaci u tebe nepozorovaně spustit.

Baliče Archu nebo programátory kernelu holt musíš považovat za trusted lidi…

[Atrament]

Takže najednou je prostá důvěra v úplně cizí lidi, kterým každý den po celou dobu co jseš online defacto svěřuješ svůj počítač s rootovskými oprávněními v pořádku? Ale když si dovolím dát přednost funkčnímu a stabilnímu ale holt nepříliš aktualizovanému systému, tak mám hned očekávat armádu zlých crackerů číhajících až se na minutku přihlásím jednou měsíčně do internetového bankovnictví abych zaplatil nájem, aby se mi tam hned vloupali?

[kralyk z abclinuxu]

Takže najednou je prostá důvěra v úplně cizí lidi, kterým každý den po celou dobu co jseš online defacto svěřuješ svůj počítač s rootovskými oprávněními v pořádku?

1) v pořádku to není
2) toto se neděje
3) ani skutečná situace v Archu není v pořádku, na nápravě se pracuje

[Jendа]

To sice jo, ale kód přestane být takřka okamžitě aktuální :)

Už z principu s tím kódem lze provést alespoň jedna transakce → lze s ním tedy provést alespoň jedna podvodná transakce.

Btw co přesně tě vede k domněnce, že v pečlivě updatovaném Debianu/Ubuntu/Mandrivě/jánevímcopoužíváš jsi proti takovému útoku v bezpečí?

Ale jo, to já taky vím, že tohle v Xkách jde. Bohužel se mi nepodařilo použitelně rozchodit nested X server .

[Atrament]

Nevím jak přesně to funguje, ale myslím, že nejde se do toho bankovnictví jen tak přihlásit odněkud jinud v okamžiku kdy už tam přihlášený jsem. A v okamžiku kdy se odhlásím tak kód zaniká. Kdepak myslím, že odposlechnutím toho kódu si moc nepomůžeš.

[Jendа]

Jde o to, že útočník ti klidně může pouštět úplně jiný banking, nebo ti třeba v inputboxu s číslem účtu zobrazí jiné číslo než se skutečně odešle.

[Atrament]

Podívej úplně stejné argumenty ti já můžu předhazovat, když ti budu chtít pomluvit distribuční aktualizace - jak velký problém pro útočníka takových kvalit jakého tu popisuješ asi bude kompromitovat repozitáře nějaké distribuce a nasadit tam něco zákeřného? Můžeš začít mluvit o zabezpečení těch repozitářů jak chceš, já stejně jako ty teďka můžu vymýšlet způsoby jakými by se tam útočník mohl dostat. To nikam nevede.

Můžeme to shrnout tak, že já jsem ochoten pro své vlastní pohodlí teda trochu riskovat a asi o jednu desetinu promile si snížit bezpečnost systému tím, že nenainstaluju opravy těch pár chybiček co se najdou a opraví. Doufám totiž že ten SecureKey a vůbec celé zabezpečení toho internetového bankovnictví je dostatečné a že mi tak žádné vybrakování účtu nehrozí.

Je to moje volba. Klidně se vsadím, že když se sejdem za 50 let tak stejně budu muset konstatovat, že mi i přes moje "riskatní" chování ten účet nikdo kromě mne a inflace nevybrakoval :)

[kralyk z abclinuxu]

A s tou škodou nemáš pravdu - banka je zodpovědná za to aby byli moje peníze u ní v bezpečí, to je její prvotní účel.

A před kým má ty peníze chránit, před zloději i před tebou? To asi ne, spíš před zloději ano, před tebou ne. Takže musí nějak odlišit zloděje a tebe. No a od teho jsou právě ta bezpečnostní doporučení - když je nedodržuješ, nemůžeš mít bance za zlé, že tě považovala za zloděje, nebo naopak, považovala zloděje za tebe.

[Atrament]

v bezpečnostních doporučeních mojí banky jsou doporučená aktualizovaná Windows nebo MacOS, o Linuxu ani ťuk. Takže podle tvé logiky bych v případě reklamace nepochodil ani kdybych měl přepečlivě aktualizovaný Debian

[kralyk z abclinuxu]

Máš si vybírat banku s rozumnými podmínkami.

[Atrament]

já jsem se svou bankou nadmíru spokojený .)

[pavlix]

Já jsem zase nadmíru spokojený se svým hajzlpapírem.

[Atrament]

Tak to já naopak ne, neměli růžovej tak mám nudnej bílej :(

[pavlix]

Přesně jak jsem říkal, k dispozici jsou i jiné iluze.

[kralyk z abclinuxu]

v libtiff byl podobný problém, hackli pomocí teho sony psp.

[zajca]

V bakalářce šlo hlavně o to vytvořit scripty pro automatickou kompilaci LFS. Do určité míry je to i automatické. Všechno mám na githubu kdybys chtěl kuknůt. https://github.com/zajca

[pavlix]

Já měl taky skripty pro automatickou kompilaci LFS... stáhl jsem to někde na http://www.gentoo.org/.

[Marián Kyral]

Zase na druhou stranu, nakonfiguruji si to jen jednou a pak už řeším jen změny. Taky jsem jádro pro Gentoo konfiguroval na několikrát. Vždy jsem na něco zapomněl

[Kvakor]

Přesně tak. Orientovat se v tom množství položek a vědět co potřebuju pro sebe a svůj počítač je náročné.

No, zas tak moc náročné to není, i když dost záleží na to, do jaké distribuce se jádro překládá. Napříklat rozličná *butnu používají mohutně patchovaná jádra se spoustou vlastních vychytávek (a když něco zapomentente, tak se pomalu ani nedozvíte, co to bylo), zatímco například Debian běžně jede i s vanilla jádry (tedy pokuď není jádro vůči userspace příliš nové).

Nutnou podmínkou je znalost vlastního hardware. Pravý linuxák, co si překládá vlastní járo, sice nemusí znát nepostatné věci jako např. datumy svátků a narozenin svého příbuzenstva (od čeho jsou skritpy, ne? ), ale pamatuje si, jaký čipset má na desce (včetně věcí jako I2C rozhraní soutbridge a typu SuperIO), okolo jakých čipů jsou postavené přídavné karty a hlavně jaké ovladače jsou třeba pro jejich funkčnost (obzvlášť u komplikovaných obludek typu analogové TV tunery).

Pokud nechcete používat initramdisk/initramfs, tak je důležité, aby v jádře bylo zakompilováno toto (z věcí, co mohou být modularizovány):

• Podpora blokové vrstvy
• Podpora SCSI (nikdo příčetný dnes nebude používat /dev/hd*)
• Podpora SCSI disků (tohle je obzvlášť zákeřná option)
• Podpora ovladače disků (dnes typicky SATA AHCI)
• Podpora partitions (u DOSobvských stačí defaulní)
• Podpora souborových systémů, na které se sahá do startu udev
• Podpora jazykové sady (jen u některých souborových systémů)
• Podpora spustitelného formátu ELF

Velmi vhodné je zakompilovat minimálně částečnou poporu ACPI (některé desky bez toho nechodí nebo chodí divně), APIC (aby se netřískala přerušení), mimo toho jsou nutné "nezmodulovatelné" ovladače jako ovladač blokové vrstvy, PCI(e) sběrnice, zakladů power managementu (suspend/standby) a podobně.

Osobně doporučuju i podporu devtmpfs včetně automagické správy /dev, protože zaprvé udevu to nijak nevadí v činnosti a systém bude nějak fungovat, i pokud se místo initu použije třeba bash (optinmální je statické binárka busyboxu).

[Mrkva]

<flame> Imho v 90% je lepší initramfs </flame>

Používám initramfs. Ale bez modulů. :)

[Jendа]

<flame> Imho v 90% je lepší initramfs </flame>

/me approves :)

Dříve či později stejně narazíš na situaci, kdy pro připojení / musíš něco zkonfigurovat z user-space - RAID, LVM, síť, šifrování…

[mimi.vx]

initramfs? co to je ? za poslednich 15 let jsem to nepouzil ...

[Kvakor]

Ono to tam tak dlouho není, je to záležitost jader od verze 2.6.13. Pro srovnání:

initramdisk je běžný sbalený image souborového systému, který se musí natáhnou zvlášť a jádro musí umět suborový systém na něm použitý (i když minimalistický romfs má na x86 jen cca. 4KB) a pokud se na něj má zapisovat, musí tam být vyhrazené místo (které, stejně jako u klasického ramdisku, nejde k ničemu jinému použít) a hlavně se chová (stejně jako ramdisk) jako blokové zařízení, tudíž jádro drží v paměti stránky dvakrát. Což je důležité obzvlášť na embedded systémech, kde jediný možný upgrade paměťi znamená opravdu dobře to umět s pájkou a horkovdušnou odpájovací soupravou

Oprotitomu initramfs je přímo součástí jádra a nepotřebuje žádný ovladač souborového systému, protože interně je to CPIO archiv "zakompilovaný" do samotného jádra, co se rozbalí při startu do ramfs (resp. rootfs), který je vždy přítomen. Protože ramfs (a tmpfs) jsou vlastně jen mountovatelné paměťové cache VFS, je bez problému libivolně zapisovatelný (dokud nedojde paměť), cokoliv smazaného okamžitě uvolní použitou paměť a žádná stránka není držena dvakrát.

[Karel Benák]

Gratuluji, s LFS jsem kvůli nedostatku času (rodina, práce, ...) skončil někdy v roce 2009, ačkoliv i teď se občas podívám, co nového přidali a jak pokračují.

No a teď šupky hupkny na BLFS, ať je to uživatelsky trošku použitelné Jo a není od věci se inspirovat některými částmi z projektů CLFS a CBLFS

Pro mě bylo svého času největší problém přeložit XFree86, musím uznat že to bylo opravdu maso.

[Begleiter]

Děkuju. Vynasnažím se -- BLFS už pročítám. Právě kompiluju X Window (Xorg).

[Atrament]

jakým způsobem si udržuješ pořádek v tom co instaluješ? Děláš si nějaké vlastní balíčky? Nebo na to kašleš a rveš to rovnou někam do /usr?

[Begleiter]

Protože se to zatím spíš učím a není to systém, který bych potřeboval k práci, tak to "rvu rovnou někam do /usr". Přičemž se snažím o dodržování Filesystem Hierarchy Standard (FHS), protože *LFS tento standard dodržují.

Ale koketuju s tím, že bych použil správce balíčků ze Slackware nebo Arch Linuxu, přičemž balíčky bych si dělal sám (kdo jiný ).

[kralyk z abclinuxu]

Protože se to zatím spíš učím a není to systém, který bych potřeboval k práci, tak to "rvu rovnou někam do /usr".

Windows-style

Ale koketuju s tím, že bych použil správce balíčků ze Slackware nebo Arch Linuxu, přičemž balíčky bych si dělal sám (kdo jiný ).

Případně abs No ale, pradva, to už by jsi z teho měl napůl Arch...

[Begleiter]

Windows-style je "neorganizovaný bordel", zatímco toto je "organizovaný bordel".

Taky mě napadlo udělat si vlastní Arch Linux za pomocí abs.

[Begleiter]

Jinak je to super zábava! Lepší než jakákoli jiná hra.

[Atrament]

Dungeon Master je lepší :)

Já jsem se v začátcích snažil dělat balíčky (deb), ale po čase mně to přestalo bavit. Nejvíc se mi osvědčil systém, kdy jsem takový ten základ co je v LFS dával rovnou do /usr a potom všechno navíc co už je v BLFS do vlastních adresářů v /opt a do /usr... to jenom linkoval podle potřeby.

Co nevidět budu kupovat nový desktop tak už se vyloženě těším jak se do LFS zase pustím a Arch pošlu do pryč :) Po tvém zápisku jsem chvíli koketoval s myšlenkou, že bych se do toho LFS pustil už teď na tom notebooku, který je momentálně mým jediným strojem, ale pak jsem si to rozmyslel. Přece jenom na té šunce bych to tvořil týden a to se mi fakt už nechce.

[Begleiter]

Co se týká formátu balíčků, tak je mi sympatický Slackware. Jeho balíčky jsou de facto prosté .tar.gz (.tgz) archivy. Nebo už se to změnilo?

Přeju ti hodně zábavy při kompilování na novém (budoucím) desktopu. A díky za reakce. Není nad to udělat si vlastní GNU/Linux kompletně ze zdrojových kódu.

[Karel Benák]

X Window z Xorgu ne ní to co XFree86. To už jsou od sebe oddělené knihovničky a prográmky a je to relativně pěkně modulární. XFree86, to bylo maso :) To se mi kompilovalo třeba půl dne a když se vyskytl problém ... to ještě používali nějaký imake či jak se to jmenovalo ... nakonec Xorg to měl do verze 6.X taky tak, na ty modulární balíčky přešli ve verzi 7.X

Zkus si pak do toho zapojit Qt, KDE, Gnome .... ale jak říkám, už to není to co bývalo ......

[Begleiter]

Díky za reakci. Vím, že Xorg je modulární. KDE, Gnome apod. vynechám. Stačí mi úplně nějaký lehkotonážní správce oken typu pekwm.

Jinak to muselo bejt maso, když se to kompilovalo i půl dne.

[Atrament]

No já se právě proto na tomto notebooku do toho už nepouštím, protože už jsem si to na něm kdysi vyzkoušel, tuším, že to bylo gcc co se mi kompilovalo celou noc :) Říkal jsem si tehdy taky že mi bude stačit nějaký primitivní window manager, ale nakonec jsem to dotáhl až na KDE4, to se dalo pohodlně udělat pomocí kdesrc-buld ale taky to trvalo celou noc. Stejně jsem pak ale používal XFCE, bylo to přece jenom svižnější.

[Begleiter]

Já mám ke KDE (Gnome) určitou averzi. Prostě miluju lehkotonážní správce oken -- používám spokojeně Pekwm.

[Atrament]

to já jsem si v poslední době oblíbil LXDE

[Karel Benák]

Na stařičkém Pentiu II s 256 MB RAM to opravdu maso bylo Co se správce oken týče, hned po twm jsem začal používat FluxBox. Velmi malý, svižný správce oken. Vlastně jsem to dělal tak, že jsem zkompiloval LFS, následně několik základních knihoven (OpenSSL, jpeg, libpng, libtiff, libgif, alsa) a několik základních prográmků (OpenSSH, Lynx, Links, gpm) a pak šupky hupky na XFree86. S ním se nainstalovalo twm, což je poměrně zběsilý správce oken, ale hned potom jsem stáhnul binární verzi firefoxu a pustil se do stáhnutí a kompilace FluxBoxu. Po Fluxboxu pak už následovaly všechny základní knihovny pro Qt, KDE a Gnome.

No jestli se Tomík bude zajímat o počítače, určitě mu Linux a kouzelný svět UNIXu ukážu. Ale třeba se bude zajímat o něco úplně jiného

[Begleiter]

No jestli se Tomík bude zajímat o počítače, určitě mu Linux a kouzelný svět UNIXu ukážu.

To je určitě tvů syn, že jo? Tak přeju, aby ho svět Unix(-like) systémů chytil tak jako tátu. Já taky neteře nenásilně "zasvěcuju" do světa GNU/Linuxu.

Jinak tvůj postup se mi líbí a postupuju podobně.

[Begleiter]

Našel jsem zajímavý dokument, který velmi pomůže s pochopením LFS: Introduction to cross-compiling for Linux.

[Atrament]

a co tohle? ;)

[Begleiter]

Díky. Ani mě nenapadlo hledat na root.cz.