Portál AbcLinuxu, 19. dubna 2024 04:37
Stručně a obrázkově – jeden z mnoha důvodů, proč mám radši GNU/Linux než Windows. To takhle člověk zapne (virtuální) počítač, protože chce pracovat (otestovat webovou aplikaci v MSIE) a pracovat nemůže, protože na něj vyskočí několik různých upozornění na aktualizace aplikací a systému.
Naprostý chaos a nejednotnost, každý program si to řeší po svém. Docela chápu BFU, že nemají rádi počítače a jsou vzteklí – když se moří s Windows platformou, není se čemu divit.
Tohle jsou chvíle, kdy jsem opravdu vděčný za GNU/Linux a balíčkovací systémy. Nebo když mi včera v hospodě kamarád povídal o svých peripetiích s nějakým zálohovacím programem – prý se po X zazálohovaných gigabajtech zastaví a musí se koupit placená verze. Hlavou se mi honilo akorát „WTF?“. Nějak už jsem odvykl
Tiskni
Sdílej:
A to nemam rad Windows 
vim ~/.emacs
A tak dále, je toho hodně. Balíčkování je imho otázka času, páč je to víceméně nevyhnutelné...
Admin účet nepoužívaný pro běžnou činnost (Vista). Zabezpečení, práva uživatelů, přístupová práva na souborech (Vista)Akorát že UAC to dotahuje podstatně dál než se Linuxu kdy snilo. A vista/win7 zavádí podepisování kernel-mode ovladačů. A ve win8 se to ještě posune.
</ironia>
2.10.2010 10:37
danaketh | skóre: 6
| blog: Sick Mind
| Praha
Akorát že UAC to dotahuje podstatně dál než se Linuxu kdy snilo.No nevim...
A vista/win7 zavádí podepisování kernel-mode ovladačů.Ta možnost byla v XP (a 2000?) taky. Akorát to nebylo poviné...
[Windows 7 vulnerable to 8 out of 10 viruses]A na linuxu by se asi dalo říci 10/10. Nevím co mi na linuxu zabrání nainstalovat si malware. Víte, linux není bezpečný svým designem ale tím že prostě nepřitahuje tvůrce malware.
Krom toho na linuxu je SELinux nebo AppArmor - imho o dost vyspělejší řešení...A pár dalších. Dokonce existují i distribuce které se snaží security moduly zapínat. Zabezpečení na serverech ještě nějak funguje ale na desktopu je to v počátcích. Takže o vyspělosti bych nemluvil.
Ta možnost byla v XP (a 2000?) taky. Akorát to nebylo poviné...A tudíž k ničemu.
Víte, linux není bezpečný svým designem ale tím že prostě nepřitahuje tvůrce malware.Je vidět, že rád používáš toto klišé. Tvrzení, že linux není bezpečný svým designem, je relativní... a pokud to vztáhneme k windows, věř, že nemáš pravdu. Stačí, když si něco o tom designu i historických změnách něco málo zjistíš. Ani není potřeba jít technicky do hloubky, stačí povrchní pohled na to, kdy a jak se zabezpečení zavádělo. Že linux nepřitahuje tvůrce malware, to bych se docela divil, při jeho zastoupení na serverech. Takže zřejmě se omezuješ na desktop linux... kde existuje určitá výhoda nerozšířenosti... Jenže opomínáš ještě jednu výhodu linuxu, a to, že to není distribuován jen jednou institucí, a tudíž je linuxový svět daleko rozmanitější, tedy ani v případě, že by linux měl hypoteticky 80% desktopového trhu, neznamenalo by to, že většina desktopů má jednu stejnou verzi outlooku a internet exploreru (jen příklad). Zkus někdy opustit klišé a dívat se na věc vlastníma očima.
3.10.2010 12:43
danaketh | skóre: 6
| blog: Sick Mind
| Praha
)
Tím jsou všichni frantové joudové odkázáni do user-mode, kde můžou psát ovladače taky, ale neshodí jimi celý systém.To by mě zajímalo, jak se dá napsat ovladač k zařízení, který nemá k tomu HW přístup, pač na to nemá práva :) Ad 2 jak jsem několikrát viděl, tak i ty nejoudové produkují zmetky, které dokážou poslat celý systém do kolen (což s přednastavenými autoupdaty je naprosto super věc, když se člověk jednoho dne probudí a server támhle kdesi mu nejede :) ).
To by mě zajímalo, jak se dá napsat ovladač k zařízení, který nemá k tomu HW přístup, pač na to nemá práva :)Práva na to dostane, ale jen na to, a ne ke kompletnímu HW a paměťovému prostoru.
i ty nejoudové produkují zmetky, které dokážou poslat celý systém do kolenO to přesně jde. Bugy jsou ve všem, právě proto je nejlepší toho mít v kernel-modu co nejmíň.
Podepisování balíků v distribucích je na to, abyste si mohl ověřit že balík vydal skutečně výrobce, ale už je docela jedno jestli to podepsal franta z horní dolní který ví o psaní driverů nebo čehokoliv jiného prd.No jo, ale to přece já z toho podpisu poznám, jestli je ten balík podepsaný společností RedHat, Inc., nebo Frantou z Horní Dolní. A podle toho taky posoudím věrohodnost.
Tím jsou všichni frantové joudové odkázáni do user-mode, kde můžou psát ovladače taky, ale neshodí jimi celý systém.Taková je teorie, ale jak to funguje v praxi?
No jo, ale to přece já z toho podpisu poznám, jestli je ten balík podepsaný společností RedHat, Inc., nebo Frantou z Horní Dolní. A podle toho taky posoudím věrohodnost.No, tak si tam franta napíše že pracuje pro redhat, nebo se to nainstaluje z nějakého skriptu kde neproběhne kontrola podpisu. Chápejte že jde o dva úplně jiné principy, na straně jedné je obyčejný program - balíčkovací systém, který dovoluje kontrolovat integritu *svých* balíků a můžete nebo nemusíte ho používat (závisí to na vás), na straně druhé je jádro OS které nelze obejít i když se snažíte (nezávisí to na vás).
Takže když nějaký výrobce napíše shitský driver, MS to skoukne, jestli to není nějak zásadně nebezpečný, ale to je všecko. A ten driver stejně pak třeba shodí systém, páč je v něm kdesi chyba. Viz zmínka o RTL výše.Tak ještě jednou - viz výše - bugy jsou a budou ve všem, ergo je lepší mít v kernelu jen to nejnutnější.
Krom toho, taky se již stalo, že certifikáty byly zcizeny - viz úspěšný vir Stuxnet, který tak získal přistup do kernel-mode.Já nevím, ale snažíte se říct že "X je k ničemu protože existuje způsob jak X obejít"?
Čili něčemu to možná pomáhá, ale nějaká výhra to není, rozhodně ne by-design...Ne, je to právě designově lepší, o to jde.
No, tak si tam franta napíše že pracuje pro redhat, nebo se to nainstaluje z nějakého skriptu kde neproběhne kontrola podpisu.Ále prosímtě. Tohle na mě nezkoušej a radši si zjisti, jak ty certifikáty fungujou
(závisí to na vás), na straně druhé je jádro OS které nelze obejít i když se snažíte (nezávisí to na vás).To je právě ta iluze, kterou to podepisování kernel driverů dává. Ve skutečnosti můžeš to jádro vochcat úplně stejně jako balíčkovací systém...
Tak ještě jednou - viz výše - bugy jsou a budou ve všem, ergo je lepší mít v kernelu jen to nejnutnější.To už je ale úplně jiná diskuse, a sice monolithic vs hybrid vs micro kernel. Do toho se pouštět nebudu...
Já nevím, ale snažíte se říct že "X je k ničemu protože existuje způsob jak X obejít"?Ne, snažím se říct, že v systému Y+X je Y k ničemu vzhledem k tomu, že X jde obejít úplně stejně jako Y a tudíž X nezvyšuje bezpečnost systému.
Ne, je to právě designově lepší, o to jde.Designově lepší by to bylo, pokud by to bylo dotáhnuto do konce podobně jako např. u PlayStation 3, kde je podepsáný veškerý kernel-code odzhora až dolů, neexistujou výjimky, ověřování je v HW a certifikát vlastní jedna entita (firma/osoba).
Tohle na mě nezkoušej a radši si zjisti, jak ty certifikáty fungujouNevidím v této větě faktický přínos k diskusi.
To je právě ta iluze, kterou to podepisování kernel driverů dává. Ve skutečnosti můžeš to jádro vochcat úplně stejně jako balíčkovací systém...A to jak? Samozřejmě lze systém vypnout a hrabat se v souborech na disku - nějak to "cracknout". Ale vemte si to z pozice útočníka který nesedí u PC. Na Linuxu prostě uděláte "insmod rootkit" a tím hra končí.
PlayStation 3 ... ověřování je v HWTo je ale uzavřený systém, což PC není. Otevřená HW platforma tuhle věc nikdy nebude mít, jak již poznali různí výrobci DRM. Ale narozdíl od PS3 a DRM pointou podepisování kernel mode kódu není omezování uživatele nebo dodavatele. Uživatel to může vždy na vlastní riziko vypnout a dodavatel může vždy použít nástroje pro user mode drivery (a měl by). Je to jen nástroj jak vyčistit jádro a učinit instalaci kernel mode rootkitu obtížnější.
řetěz je tak pevný jako jeho nejslabší článekNo a zdá se, že ten článek je tuna bastlu bežící v kernel modu.
To už je ale úplně jiná diskuse, a sice monolithic vs hybrid vs micro kernel.Spíš je to o monolithic versus blastlolithic.
Na Linuxu prostě uděláte "insmod rootkit" a tím hra končí.Před tím, ale musí být root – já bych tedy řekl, že hra končí už ve chvíli, kdy útočník na našem stroji dostane práva roota. Chránit jádro přes podepsané moduly už situaci moc nespasí. Leda že by se vyžadovaly podpisy i u běžných uživatelských binárek, jenže pak tu jsou stále ještě skripty – třeba v perlu, pythonu a vlastně i v tom bashi se dají udělat zadní vrátka do systému.
Akorát že ten bod jedna zase kromě útočníkovi snižuje práva i jeho vlastníkovi... člověk si tam nemůže udělat co chce, protože mu to nedovolí.Za prvé hodně lidí po tom ani netouží, hrabat se v kernelu. Jsou rádi že to nějak funguje a součástí toho fungování je i to, že se jádro umí samo ochránit. Za druhé vlastník to může vždy vypnout nebo nějak odstranit - když ví co dělá. Nevidím ani problém v tom si na nějakém otevřeném OS nechat do jádra nainstalovat vlastní certifikát a ovladače pak podepisovat tím. Nejde o to jak to udělal Microsoft ale jde o ten princip.
Nehledě na to, že pokud útočník již roota má, tak pokoušet se zavést kernel modul mu už stejně moc nepomůže...Tenhle argument je tady už asi po padesáté, tak mi nějak zkuste vysvětlit proč si myslíte, že to tak je. Protože já si myslím že mezi oprávněním kernelu a oprávněním roota v userspace je dost velký rozdíl.
do jádra nainstalovat vlastní certifikát a ovladače pak podepisovat tím.Když už, tak by to chtělo podepisovat všechny spustitelné soubory (nějaké řešení pro Linux jsem už viděl, jen to tehdy moc nefungovalo) – ale stejně mi to nepomůže proti backdoorům napsaným jako skripty. To už víc věřím takovým věcem, jako je AppArmor nebo omezení komunikace po síti pro konkrétní uživatele pomocí
5.10.2010 03:30
iptables (resp. povolení komunikace jen vybraným uživatelům na vybrané cíle).
Pokud to může vypnout vlastník, může to vypnout i útočník a tudíž smysl toho celého padá...Záleží na mechanizmu vypnutí. Buď je na to potřeba nastartovat systém ve speciálním režimu který nemůže útočník zvenčí provést (boot parametr, nebo boot z CD a vypnutí něčeho atd.) Nebo je potřeba osobně vpravit do kernelu vlastní klíč a podepsat nějaký kus kódu - opět nelze provést automaticky bez zapřičinění uživatele. Srovnejte s "spustím instalátor nějakého SW (pod rootem) a on si nainstaluje do jádra co chce aniž bych o tom věděl".
Napadá vás nějaký běžný racionální důvod, k čemu by útočníkovi byl jeho kód v kernelu?Ano, maskování malware před antivirem. Tahle válka se hraje už od dávnověku (sorry, ne na Linuxu, ale to jen znamená že schovat malware na Linuxu je triviální). Většina AV má nějakou ochranu proti nabourání sebe sama nebo možnost zjistit "pravdu o systému" a to právě pomocí nějakého kernel mode driveru. Pokud běží malware v user mode a odposlouchává třeba klávesnici, nebo se snaží zamaskovat svoje soubory tak to právě ten driver umí poznat. Pokud malware běží v kernelu tak může jednoduše antivir odstavit.
Ať už je to odeslání miliard spamu nebo zcizení dat na disku - ale na tohle útočník kernel modul zavádět nepotřebuje.Pokud je to jednorázová akce tak nepotřebujete ani roota, ale to by zase byla jiná debata (opět tady moc standardní konfigurace Linuxu neexceluje). Ale většina malwaru má v tom botnetu nějakou dobu vydržet a na to potřebuje nějaké maskování. Tady ke slovu přichází právě ten kernel modul.
Pokud je to jednorázová akce tak nepotřebujete ani roota, ale to by zase byla jiná debata (opět tady moc standardní konfigurace Linuxu neexceluje).Pokud se standardním nastavením myslí výchozí konfigurace, je potřeba rozlišovat distribuce. Jsou mezi nimi velké rozdíly. Jinak konfigurace nástrojů typu sudo není těžká.
Chránit jádro OS i když má útočník právo instalovat SW apod. ("root")Tedy jestli to dobře chápu, tak tahle funkcionalita znamená, že jediným vládcem systému je Microsoft a jím podepsaný software. V tomhle vidím velký přínos balíčkovacích systémů... kde o systému rozhoduje sám jeho vlastník a ne nějaká externí firma (byť dodavatel).
Ale vemte si to z pozice útočníka který nesedí u PC. Na Linuxu prostě uděláte "insmod rootkit" a tím hra končí.Jak už poznamenal Franta, neudělám, pokud nemám root. A jak mám roota, tak s jádrem provedu kejkle ať už vyžaduje podepsanej kód nebo ne...
Je to jen nástroj jak vyčistit jádro a učinit instalaci kernel mode rootkitu obtížnější.Jj, je to ten silný článek přidaný do toho řetězu
No a zdá se, že ten článek je tuna bastlu bežící v kernel modu.Co přesně je bastl běžící v kernel-mode?
Jak už poznamenal Franta, neudělám, pokud nemám root. A jak mám roota, tak s jádrem provedu kejkle ať už vyžaduje podepsanej kód nebo ne...Je to zase to samé dokola. Neexistuje jen svět kde je root všechno. Pokud rootovi odeberete právo hrabat se v kernelu tak žádné kejkle neprovede. Nebo mi popiště způsob jak to má udělat.
Jj, je to ten silný článek přidaný do toho řetězuJo, ten který byl předtím slabý. Teď se můžou soustředit na další články. Nevidím na této metodice nic špatného.
Co přesně je bastl běžící v kernel-mode?Na Linuxu je to už téměř tradice - z důvodů výkonu srát věci do jádra - začalo to u khttpd, dnes tam máme kompletní NFS a další srágory, mluví se o implementaci D-BUSu v kernelu (ehm). Nedávno se přesunulo do jádra ovládání grafiky - KMS a vůbec tuna ovladačů může běžet mimo kernel už dnes, ale k tomu se nikdo moc nemá. Na windowsech je situace ještě horší, protože tam má každá krávovina ovladač třetí strany, kde ten kód může už být opravdu libovolnej.
žádné kejkle neprovede
Když je někdo cizí root na mém serveru, tak:
To, že si bude moci zavést jaderný modul je mi s prominutím víš kde – megaprůšvih jsou už ty body 1-4.
Jinak jsem ale taky celkem pro, aby toho v jádře bylo co nejméně – ale k tomu musí dospět ti vývojáři – těžko se toho dosáhne podepisováním jaderných modulů – musela by tu být nějaká autorita, která by rozhodovala, co podepsat a co ne – to je v rozporu s filosofií linuxu a svobodného softwaru, resp. jeho uživatelů.
Dneska vlastně taky není jen tak, dostat svůj modul do vanilkového nebo distribučního jádra, taky to musí někdo schválit a neschválené moduly si tam musíš doinstalovat ručně. Jak by pomohlo podepisování oproti současnému stavu? Akorát bys místo ruční instalace/kompilace někde povolil nepodepsané moduly.
ukradne důvěrná data (maily, databáze, soukromé klíče atd.)Pokud se bavíme o komerční špionáži přes nabourání pracovní stanice - což je typičtější, tak ano, obvykle se dostanete k tomu, k čemu má ten člověk přístup. Ale to nemusí mít nutně velkou cenu, cenu spíš má chvíli na tom systému pobýt a uživatele sledovat. Stačí se (jen) podívat jednou za čas do novin abychom si tento use case potvrdili. A pokud chcete na nějakém systému dlouhodobě přežít potřebujete rootkit. Na body 3 4 a 5 (výkon) se vztahuje totéž.
Jak by pomohlo podepisování oproti současnému stavu? Akorát bys místo ruční instalace/kompilace někde povolil nepodepsané moduly.Ne, povolil bych jen ten jeden modul který jsem skompiloval. Pokud by si něco nebo někdo bez mého vědomí něco skompilovalo tak by si to nemohlo nahrát do jádra.
musela by tu být nějaká autorita, která by rozhodovala, co podepsat a co ne – to je v rozporu s filosofií linuxu a svobodného softwaru, resp. jeho uživatelů.Ta autorita může být klidně vlastník systému, jak jsem napsal dříve, jde o princip, ne o konkrétní implementaci MS. MS má proprietární systém a nepotřebuje delegovat autoritu. Ale principu taková delegace nevadí. Není to o tom, aby se vlastníkovi sebrala vláda nad systémem, ale naopak aby se mu ta vláda dostala.
Ta autorita může být klidně vlastník systému, jak jsem napsal dříve, jde o princip, ne o konkrétní implementaci MS. MS má proprietární systém a nepotřebuje delegovat autoritu. Ale principu taková delegace nevadí. Není to o tom, aby se vlastníkovi sebrala vláda nad systémem, ale naopak aby se mu ta vláda dostala.Zajímavé, najednou se bavíme obecně
To už jsem ale zmiňoval na začátku, že by to mohlo fungovat (asi) pokud by to bylo dotažené do konce...
Pokud rootovi odeberete právo hrabat se v kernelu tak žádné kejkle neprovede.A jak se pak bude jmenovat ten uživatel, který se v kernelu hrabat může? Nebo takový nebude? To je ale pak pěkně na***o systém, když se člověk nemůže hrabat v kernelu. Security thru obscurity.
Jo, ten který byl předtím slabý. Teď se můžou soustředit na další články. Nevidím na této metodice nic špatného.Jak už jsem říkal, mělo by to smysl, kdyby to dotáhli do konce. Jenže to by pak zas nikdo z kernelem nemohl nic dělat, a to by bylo nahouby. Takže je lepší zabezpečit systém jako celek, a nedělat "řešení" typu "Userland je děravej jak cedník, tak 'zabezpečíme' alespoň kernel-space".
A jak se pak bude jmenovat ten uživatel, který se v kernelu hrabat může?Pokud už nevíte jak ten koncept uchopit, tak si můžete představit že to je nějaký super-root, který musí sedět fyzicky u toho stroje a musí každou takovou akci nějak stvrdit (např. podpisem). Takže to není že se tam nemůže hrabat "člověk" ale spíš o tom který člověk se tam může hrabat. Pokud raději preferujete systém ve kterém se může hrabat někdo jehož identita je ověřena dost chabě, tak proč ne, proti gustu žádný dišputát, ale zkrátka dostanete to co si koupíte, sníte to co si navaříte a jste to co jíte, atp.
Security thru obscurity.To si trochu pletete pojmy.
Takže je lepší zabezpečit systém jako celek, a nedělat "řešení" typu "Userland je děravej jak cedník, tak 'zabezpečíme' alespoň kernel-space".Neříkejte. Asi o tom víte víc, než lidi kteří vymysleli pojem "trusted computing base".
Pokud už nevíte jak ten koncept uchopit, tak si můžete představit že to je nějaký super-root, který musí sedět fyzicky u toho stroje a musí každou takovou akci nějak stvrdit (např. podpisem).Uvědomuješ si ale, že substitucí root ← super-root se dostáváme tam, kde jsme byli na začátku?
Pokud raději preferujete systém ve kterém se může hrabat někdo jehož identita je ověřena dost chaběOdkud sis tohle vycucal? Chápu, že na windows je pojem 'administrator' za taléta poněkud sežvejkaný a zdiskreditovaný, toto se ale linuxového roota netýká (většinou, rozhodně ne tolik). Nevím jak u tebe, ale u mě root není "chabě ověřerná identita". A kdo na svém serveru roota chabě ověřuje, je trubka
To si trochu pletete pojmy.Pravda, je to o něco jiný princip, nicméně ta filozofie té bezpečnosti je podobná - odepření přístupu všem včetne admina = bezpečí.
Neříkejte. Asi o tom víte víc, než lidi kteří vymysleli pojem "trusted computing base".Už jsme tu měli od tebe slippery slope, teď argument ad hominem...
Uvědomuješ si ale, že substitucí root ← super-root se dostáváme tam, kde jsme byli na začátku?Pointa je tu substituci nedělat a nechat to jako dvě oddělené věci.
Nevím jak u tebe, ale u mě root není "chabě ověřerná identita".Na linuxu je to obvykle jakýkoliv proces který má uid 0. Což nemusí mít nic společného s osobou která vlastní počítač.
Myslím si že jste opět klasifikoval špatně. Ale abychom si rozuměli tak svou větu vyjádřím jinak: řekl jste kravinu, která odporuje zavedeným pojmům o bezpečnosti. Není to na Vás žádný logický trik, je to prostě fakt.Neříkejte. Asi o tom víte víc, než lidi kteří vymysleli pojem "trusted computing base".Už jsme tu měli od tebe slippery slope, teď argument ad hominem...
Pointa je tu substituci nedělat a nechat to jako dvě oddělené věci.Ne, já nemyslím skutečně, ale jen myšlenkově, chápeš?
Na linuxu je to obvykle jakýkoliv proces který má uid 0. Což nemusí mít nic společného s osobou která vlastní počítač.No a na windoze to je snad jinak?
Ale abychom si rozuměli tak svou větu vyjádřím jinak: řekl jste kravinu, která odporuje zavedeným pojmům o bezpečnosti. Není to na Vás žádný logický trik, je to prostě fakt.Jo, tak co kdybys konečně to konečně něčím podložil - kde přesně jsem řek tu kravinu?
Ne, já nemyslím skutečně, ale jen myšlenkově, chápeš?Nechápu. Buď jsou to dvě identity nebo jedna. Pointa celého systému je že to jsou dvě.
Na linuxu je to obvykle jakýkoliv proces který má uid 0. Což nemusí mít nic společného s osobou která vlastní počítač.Za prvé je to jinak - technicky - sou tam tokeny a ne uid, což vede k trochu jinému modelu. Za druhé token administrátora nemá právo instalovat nepodepsané drivery, o tom se celou dobu bavíme.No a na windoze to je snad jinak?
Jo, tak co kdybys konečně to konečně něčím podložil - kde přesně jsem řek tu kravinu?Že je potřeba zabezpečit celý systém a nedělat rozdíl mezi user a kernel space.
Nechápu. Buď jsou to dvě identity nebo jedna. Pointa celého systému je že to jsou dvě.Stěžoval sis, že root by neměl mít právo nahrávat nepodepsaný kód do jádra, protože to je zneužitelné. Kvůli tomu zavedeš "super-roota". Substitucí root → super-root se dostáváme k tomu, že super-root by neměl mít právo nahrávat nepodepsaný kód do jádra, protože to je zneužitelné. V té chvíli možná přijdeš se "super-super-rootem"
Už chápeš, že tudy cesta nevede? Je jedno, jestli se root jmenuje "root", "admin", nebo "super-root" nebo "super-super-root". Prostě musí být nějaký způsob, jakým admin (živý člověk) administruje počítač. Nějaký adminovský účet. A z toho plyne, že bude i způsob, jak to zneužít. Proto je podstatné dobře zabezpečit už userland a přístup k rootu, protože v opačném případě ani paranoidně zabezpečený kernel nijak zvlášť nepomůže.
Za prvé je to jinak - technicky - sou tam tokeny a ne uid, což vede k trochu jinému modelu.Stěžoval sis, že "Na linuxu je to obvykle jakýkoliv proces který má uid 0. Což nemusí mít nic společného s osobou která vlastní počítač." Na windows máš zaručeno, že proces s adminovským tokenem je spuštěný osobu, která vlastní počítač? Na to jsem se ptal.
Za druhé token administrátora nemá právo instalovat nepodepsané drivery, o tom se celou dobu bavíme.
Že je potřeba zabezpečit celý systém a nedělat rozdíl mezi user a kernel space.A tohle jsem řekl přesně kde? Tohle totiž opravdu je kravina, ale já jsem to neřekl. Možná by nebylo od věci si pořádně přečíst, co píšu, než na to reaguješ.
Nicméně "měnit programy" potřebuje spousta programů a "měnit jádro" potřebuje podstatně menší množina programů.Tohle by chtělo nějak podložit. Kolik programů potřebuje "měnit programy"? Které?
Dále "měnit jádro" má podstatně silnější bezpečnostní dopad pokud je zneužito.Tohle imho není pravda. Jakmile máš roota, máš všechna data, všechny daemons/services, všechny uživatele, síť, atd. Kernel-space už je v podstatě bonus navíc, který ti obvykle zas až tolik nepomůže.
Existujou jen více a méně bezpečné systémy proti určitým druhům hrozeb.Já to chápu. Vem taky na vědomí, že nekritizuju podepisování kernel kódu, jen říkám, že 1) aby to k něčemu bylo, musí to být dotažené 2) není to sice nahouby, ale není to až taková výhra. Dobré zabezpečení userlandu má vyšší prioritu.
Kolik programů potřebuje "měnit programy"? Které?Pro začátek každý instalátor ...
Jakmile máš roota, máš všechna data, všechny daemons/services, všechny uživatele, síť, atd. Kernel-space už je v podstatě bonus navíc, který ti obvykle zas až tolik nepomůže.Myslím že tohle jsme už jednou probrali (viz výše) a nejen já jsem řekl že se v tomhle mýlíte. Pokud tomu nevěříte s tím nic nenadělám.
Dobré zabezpečení userlandu má vyšší prioritu.... čehož se dosahuje mimo jiné správnou intervencí kernelu na správných místech.
Pro začátek každý instalátor ...Čili na linuxu jediný program (inteligentní OS totiž mají správu balíků). Ještě něco? Mám dojem, že tím to zhruba končí...
Myslím že tohle jsme už jednou probrali (viz výše) a nejen já jsem řekl že se v tomhle mýlíte. Pokud tomu nevěříte s tím nic nenadělám.Žádné přesvědčivé argumenty v tomhle směru nepadly. Mimochodem, znova připomínám, že netvrdím, že zásahem do kernel-space útočník nic nezíská, tvrdím, že to zas není taková výhra. Jen něco trochu navíc, třešnička na dortu.
... čehož se dosahuje mimo jiné správnou intervencí kernelu na správných místech.Ano, taky, samozřejmě. Z toho samotného ale neplyne nic pro podepisování kernel kódu.
inteligentní OS totiž mají správu balíků... který se svými právy pro vás udělá cokoliv co mu balík přikáže. Včetně natažení driveru do jádra.
Žádné přesvědčivé argumenty v tomhle směru nepadly.V tom případě zůstanete nepřesvědčen. Předpokládám ale že bezpečnost není hlavní téma vašeho povolání takže se nakonec nic moc nestane.
... který se svými právy pro vás udělá cokoliv co mu balík přikáže. Včetně natažení driveru do jádra.Samozřejmě. No a co?
V tom případě zůstanete nepřesvědčen. Předpokládám ale že bezpečnost není hlavní téma vašeho povolání takže se nakonec nic moc nestane.Kdyby byla na mě bezpečnost nějakého serveru, tak bych klidně podepisování kernel kódu nasadil. Ale udělal bych to, 1) protože jsem paranoidní, a 2) až po řádném zabezpečení user-space.
14.10.2010 12:47
xkucf03 | skóre: 49
| blog: xkucf03
udělá cokoliv co mu balík přikáže. Včetně natažení driveru do jádra.Ty jsi tím jádrem úplně posedlý.
Významné je už to, že balíček může obsahovat skript, který se spustí s právy roota. Což je docela problém u uzavřených nebo jinak nedůvěryhodných programů. Hodilo* by se mít nějaký zvláštní druh balíčků (třeba pro komerční uzavřené hry, nebo i programy typu Skype), které by měl balíčkovací systém naprosto pod kontrolou – balíček by nemohl kecat do instalace (spouštět skripty jako root), rozbalit by se mohl jen do vybrané složky (pravděpodobně v /opt) a veškeré soubory zanesené tímto balíčkem do systému by byly pod kontrolou (žádné suid bity, kontrola vlastníků, zákaz přepisování jiných souborů atd.) a běh programu by byl omezen pomocí AppArmoru – program by běžel pod právy běžného uživatele a měl by navíc omezený přístup k souborům (např. aby nemohl krást soukromé klíče nebo třeba e-maily daného uživatele) a přístup k síti (aby nemohl odesílat data ven nebo naopak zvenku přijímat příkazy) by byl omezen na minimum (u nesíťových aplikací nic, ani ping na localhost, u síťových velmi přísná omezení, princip minimálních práv).
Jde tedy v první řadě o to, aby nedůvěryhodná aplikace nemohla dělat nic jako root a i jinak měla omezená práva (důvěrné uživatelské soubory, síť). Zavádění jaderných modulů je až druhý stupeň – na ten ale ani nedojde, protože aplikaci nedáme roota.
*) tedy alespoň těm lidem, kteří mermomocí potřebují nesvobodné nebo nedůvěryhodné programy používat.
Dále "měnit jádro" má podstatně silnější bezpečnostní dopad pokud je zneužito.Bezpečnostní dopad na koho? Na uživatele nebo na filmový a hudební průmysl, kvůli kterému to bylo pravděpodobně zavedeno? Pokud myslíš opravdu na uživatele, máš to nějak podložené? Jako uživatel si v systému cením nejvíc svých dat... převážně je potřebuju ochránit proti ztrátě, malou část (ssh klíče, osobní korespondence, pracovní data) potřebuju chránit. Něco málo vyžaduje i integritu, tedy aby nedošlo k úmyslné či neúmyslné změně dat. Systémová data (tedy aplikace, jádro, konfiguraci) je potřeba chránit jenom do té míry, kdy ohrozí uživatelská data nebo kdy je v nich práce, která by trvala moc dlouho. U víceuživatelských systémů se systémová data často cení více než prostor individuální uživatele, protože zpřístupňuje prostor všech uživatelů. Spousta věcí nepatří s jistotou do kernel-space ani do user-space, na různých systémech je to tedy zařazeno různě. Docela by mě zajímalo, co legitimního je v kernel-space potřeba chránit i před vlastníkem systému, pokud to teda není nějaká DRM šmejďárna. Útočník, kterému už patří všechna data, do jádra zase tak nutně nepotřebuje. Skutečný vlastník stroje zase do jádra může nějakým způsobem vždycky, pokud je uloženo na běžném médiu typu připojitelný disk apod. Tzn i to DRM se dá vzít do laborky a spoustu lidí to baví luštit :). Pořád nemůžu najít tu skulinku, která by toto řešení činila bezpečnějším pro toho, kdo za něj platí.
No, tak si tam franta napíše že pracuje pro redhatNejdřív si doplň základní znalosti, pak kritizuj :).
Co čekáte po zapnutí neaktivovaného a nenastaveného systému spolu s dalšími programi?No rozhodně ne takovéhle problémy. Všimněte si, že ostatní systémy je nemají.
Vždyť na screenshotu jsou jen naaranžované okna žádající potvrzení zásadních věcí, které je potřeba provést jednou.Flash, Chromium, ani Java se naupdatují jednou. Krom toho, je jedno, jestli se ty okna objeví najednou, nebo jestli otravují uživatele průběžně to vyjde asi tak nastejno.
Já naprosto chápu, že někdo k životu centralizované updaty potřebuje.Ale tady vůbec nejde o centralizované updaty. V linuxu klidně můžeš mít hafo různých navzájem na sobě nezávislých repozitářů, ve kterých můžou být různé balíky od různých autorů/organizací. Pointa je v tom, že všechny tyto repozitáře, balíky a jejich aktualizace mají v systému svoje pevně dané místo a mají pevně daný způsobkonfigurace a nastavení práv. Čili není potřeba, tak jako na windows, jít od programu k programu a u všech nastavit to samý specifickým způsobem. Jde prostě o to, jestli je v systému bordel (windows), nebo pořádek (většinou, ne vždy, linux).
1.10.2010 18:58
robotics | skóre: 29
| blog: o_vsem_moznem
1.10.2010 19:01
David Watzke | skóre: 74
| blog: Blog...
| Praha
1.10.2010 19:24
robotics | skóre: 29
| blog: o_vsem_moznem
. Jen sem se k tomu ještě nedostal.
1.10.2010 19:25
robotics | skóre: 29
| blog: o_vsem_moznem
1.10.2010 19:27
Michal Fecko | skóre: 31
| blog: Poznámkový blog
1.10.2010 19:43
robotics | skóre: 29
| blog: o_vsem_moznem
1.10.2010 19:46
Michal Fecko | skóre: 31
| blog: Poznámkový blog
1.10.2010 19:56
robotics | skóre: 29
| blog: o_vsem_moznem
Za druhe existuje dd for windowsAno, měl jsem tu čest. 6,5 MB/s na novém SATA II disku. Děkuji nechci. To už byla rychlejší dokonce i fuse verze ntfs-3g z 2 roky starého live-cd. (nemluvě o tom úžasně přehledném označování hdd a particí ve windows)
. Současná verze ntbackup umí jen obnovovat ze zálohy, ale zálohovat nikoli. Leda nacpat do win starou verzi z 2003, což je ošklivá věc.
2.10.2010 10:50
danaketh | skóre: 6
| blog: Sick Mind
| Praha
Navíc balíčky někdo udržuje a většinou je na něj v balíčku, nebo na webu dané distrubuce, nějaký kontakt a můžete se ozvat a říct "hele, tohle mi tu nefunguje/udělalo takovýhle průser". V případě MS není kam psát a když už se ozvete, tak melou dokola naprosto hloupé a zbytečné rady, aby vám nakonec řekli, že oni za to nemohou a zřejmě máte poškozené PC.Proč bych měl v případě nějakého problému s upgradem nějaké aplikace otravovat Microsoft, pokud tedy není autorem aplikace? Je snad logištější otravovat přímo vývojáře dané aplikace, ne? Kontakty jsou například běžně v nějaké té nápovědě O aplikaci.
často bez vědomí uživatel ten počítat sami zrestartují:)nesmysl, visty i V7 se uživatele ptají zda mají udělat restart a velice málo aktualizací od MS chce nyní restart. Updaty chodí přece i od Javy,Chrome,Adobe apod. každá lepší - nějaká windows aplikace má svůj aktualizátor. Pokud jde o systémové věci někdy se člověk nevyhne restartu.
a občas po tom ten počítač už ani nenajede :)to nemá co společného s MS, to dělají spíše ovladače pro nějaké zařízení.
3.10.2010 12:35
danaketh | skóre: 6
| blog: Sick Mind
| Praha
velice málo aktualizací od MS chce nyní restart.Každá aktualizace chce restart. Jediná výjimka jsou aktualizace Windows Defender. Za tenhle týden dva restarty. V Linuxu restartuju jen když chci nahrát nové jádro.
to nemá co společného s MS, to dělají spíše ovladače pro nějaké zařízení.Ale ano, to je v režii MS. Protože Windows Update obsahuje Microsoftem podepsané ovladače, takže pokud podepíšou něco, co nefunguje, jsou za to odpovědní.
2.10.2010 13:45
=^..^= AmigaPower® | skóre: 30
| blog: BLB
| Praha
2.10.2010 14:36
=^..^= AmigaPower® | skóre: 30
| blog: BLB
| Praha
2.10.2010 20:59
otasomil | skóre: 39
| blog: puppylinux
Tak to chce novou aktivaci.
Pro obcasne testovani ve virtual widlich je staci parkrat do roka ve virtualu znovu nainstalit. 30 dni jedou neomezene pak se jeste dost dlouho po 2 hodinach vypinaji a pak novy install jez je hotov za 15 - 20 minut coz se da behem cteni zprav a podobne nenarocne cinnosti. Toto vse u win 7
2.10.2010 22:29
=^..^= AmigaPower® | skóre: 30
| blog: BLB
| Praha
7.10.2010 18:49
1.10.2010 18:53
1.10.2010 18:55
1.10.2010 20:59
Pokud tedy instalujete systém jen na omezenou dobu z důvodu testování, může být užitečné jej neaktivovat. Po instalaci běží tzv. „grace period“ 30 dní, během které je čas na zadání aktivačního klíče. Nestačí-li vám tato doba, lze ji ke konci tohoto období prodloužit o dalších 30 dní pomocí příkazu (z příkazového řádku Windows): slmgr ‑rearm. Tento příkaz je možné zadat maximálně 3×. Díky tomu se dá používání bez aktivace na jednom stroji protáhnout až na 120 dní, což může pro většinu testovacích scénářů vyhovovat.
Skutečně to funguje.
mám tu asi tři licence (bohužel) na widle a nepoužívám ani jednyPokud by ses jich chtěl zbavit (a pokud je to vůbec možné), dost možná bych věděl o lidech, co by to koupili...
2.10.2010 15:11
danaketh | skóre: 6
| blog: Sick Mind
| Praha
2.10.2010 18:42
danaketh | skóre: 6
| blog: Sick Mind
| Praha
2.10.2010 20:56
otasomil | skóre: 39
| blog: puppylinux
Tak teda cumim ... si aplikace neumite nastavit tak, aby Vas to nesralo ?
Nejsem zadny priznivec MS.
si aplikace neumite nastavit takTenhle zápisek se jmenuje „Proč mám rád Linux“ – v něm právě tyhle věci řešit nemusím, nemusím zvlášť nastavovat všechny aplikace a vypínat blbosti, které nepotřebuji. P.S. vykat mi nemusíš
Umím ten screenshot vyvěsit na blog a použít jej jako záminku k pošpinění oponenta.Mohl bys přesně odcitovat ze zápisku kde došlo k "pošpinění oponenta"? Mně přijde, že ten fanatik jsi spíš ty...
... je zajímavé, že my nepotřebujeme...Hlavně je zajímavý, že "vy" potřebujete chodit sem, abyste tady trollovali. Jděte do kelu, nemáte "nám" co říct.
"Docela chápu BFU, že nemají rádi počítače a jsou vzteklí – když se moří s Windows platformou, není se čemu divit." To je obsahově jasná nepravda.Jo tak jasná jo?
A v čem je to obsahově nepravda?Umím ten screenshot vyvěsit na blog a použít jej jako záminku k pošpinění oponenta.Tohle ale nejsou nějaké JPEGy stažené Internetu – to je skutečná obrazovka z mých Windows. Nijak jsem tomu nepomáhal, jen jsem zapnul počítač a posunul ta okna, aby byla vidět všechna najednou. Jestli tu došlo k nějakému pošpinění, tak se pošpinily Windows* samy sebou
*) jako platforma, ne jako samotný systém.
Když někdo neudělá potřebnou věc ze strachu, je to jeho věc. Já bych to netrpěl.Jenže ty jsi radikální... ale dcera gtz má zřejmě dobrý prospěch, což jí může pomoct v pokusech o další studium. Tohle klidne může být typ učitelky, která když jí někdo dá najevo, že nemá pravdu, tak 1-2 změní na 3. To víš, vzdělávání není anonymní, *každý učitel vnáší do hodnocení žáků svoje osobní dojmy. Já jsem třeba s trojkou z fyziky skončil tuším třetí na fyzikální olympiádě :). Na další škole mě zase cizí angličtinářka, taková vlezdoprdelka ředitelky, oslovila na chodbě s tím, že se diví, že jsem se dobře umístil na angličtině... a já vůbec nevěděl proč. Pak jsem teprv zjistil, že už v tu dobu bylo rozhodnuto že dostanu za 3. Pro srovnání vlezdoprdelka ze třídy, který neuměl prakticky vůbec nic a ani se nesnažil si opravit hroznou výslovnost, měl 2. Někdy si říkám, že kdyby **děckám na základce a hlavně na střední zkrátili školu o některé neperspektivní učitele i za cenu toho, že za ně třeba nebude náhrada, že by ti lidi šli do života připraveni lépe, než když jejich kousky talentu ubije někdo takový. * co že znamená ten lidový kvantifikátor a používám ho správně? :) ** v ostravském smyslu, nedovolil bych si 15-18-letým studentům říkat děti, neni mi 70
Rozumný jednotlivec nebo firma nekupuje hardware, který funguje pouze na jedné platformě. Kdo koupí hardware vázaný na Windows, může si za to sám, a dobře mu tak.Skoro všichni si kupují HW na Windows-platformě jen proto, aby jim vše fungovalo ,proto opakuji jak je donutit, aby si vybrali naše řešení?
Vždyť na Windows (i ty poslední) všichni nadávaj.Kdo to znamená všichni? Všichni tví spolužáci? Instaloval jsem Windows 7 docela slušnému počtu známých, kteří pochopili že XP už mají svoji éru beznadějně za sebou a slyším jenom samé pochvalné ódy. Takže všichni na ně asi nenadávají...
Je to blbost i s těmi foťáky, scannery, telefony, chybějícím či nedostačujícím software a celkovou neodladěností systému. Pokud někdo koupí zařízení fungující pouze pod Windows, je hloupý, protože existuje spousta, mnohdy kvalitnějších, alternativ fungujících všude.Pojď to vysvětlit kamarádovi s profi zrcadlovkou za 50litrů, proč musel v Ubuntu před rokem a půl několik dní googlit, než přišel na to jak to vůbec k počítači připojit, a proč to i potom párkrát fungovalo, a párkrát ne, zatímco ve Windows XP to fungovalo nádherně bez problémů (a funguje i dnes ve Windows 7) Uvědom si že fotograf si nikdy nebude vybírat foťák podle toho zda pak nebude mít problém s Linuxem, když při použití Windows se takovýmito věcmi vůbec zabývat nemusí...
Z aplikací je v repozitářích všechno co člověk nebo firma může chtít potřebovatNení ani zdaleka. Až dospěješ a budeš třeba někdy v nějaké firmě pracovat, tak to pochopíš sám...
Nevěřím. GIMP umí drtivou většinu věcí stejně dobře jako Photoshop.LOL. Jak moc znáš Photoshop? Já teda na něj nejsem žádnej odborník (není to můj obor), ale ty zřejmě nemáš páru
5.10.2010 08:26
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
a mají divnou potřebu dělat ve Photoshopu každou pitomost, kterou zvládne i TuXPaint
Jo. A vzápětí tam dělají věc, kterou GIMP bude možná umět za deset let.
5.10.2010 10:57
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
5.10.2010 12:38
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
Apache ano, ten jsem měl napsaný jako příklad. Pak jsem ho smazal, protože jsou jiné a lepší webservery. Jen nejsou tak rozšířené. Apache byl první a de facto s ním začal masově použitelný web.
Linux, tím je myšleno jádro? Opravdu neexistuje jádro na technologicky lepší úrovni? Co takový Solaris? QNX? Staré UNIXy?
Firefox. LOL Větší technologický šmejd těžko pohledat. Za jeho rozšířením stojí jen marketing.
Drupal. Je skvělý. Ale opravdu neexistuje lepší CMS?
Podívej, když na server není nic lepšího než Linux, přičemž servery jsou mnohem kritičtější věc než nějaké desktopy, znamená to, že svobodný model vývoje funguje velice dobře.
No ale i ten Linux na servery se kupuje, že jo. Enterprise distribuce s garancí chodu na daném HW. Apod.
5.10.2010 13:18
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
QNX a starý Unixy opravdu netuším jak můžou bejt lepší, když jsou se nedaj pro nic použít.
Řízení atomové elektrárny? Mainframy? Tak jestli je to nic...
Neřekl jsem, že je Firefox nejlepší prohlížeš, ale je rozhodně lepší než jeho proprietární konkurence.
Opera?
Možná existuje lepší CMS (Joomla, Plone), ale ne proprietární.
Mno, nebudu tu šířit reklamu. Komerčních CMS je hafo, proč si myslíš, že lidi platí tučný prachy za redakčák, když existuje něco zdarma?
Už z principu věci, totiž komerční aplikace může vzniknout poučením se od free + přidáním něčeho nového, proprietálního. Výsledek je lepší než to původní free. To je snad jasné.
5.10.2010 08:22
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
Nevím co to může bejt za zrcadlovku, ale každá slušná podporuje mass storage a takovou, která ho nepodporuje si může koupit jenom debil; pak mu dobře tak.
Je vidět, že jsi na to fakt expert. MassStorage je při koupi foťáku za 50tis. až ta úplně poslední vlastnost. (Hint: Kartu lze vytáhnout jednou rukou a obsah pak přečíst ve čtečce.)
Mimochodem, foťák za 50 tisíc je ještě levný konzumní cvakadlo.Jo, to určitě...
Někdo umí fotit, jinej si to musí kompenzovat drahym foťákem :)))Mimochodem, foťák za 50 tisíc je ještě levný konzumní cvakadlo.Jo, to určitě...
Nevím co to může bejt za zrcadlovku, ale každá slušná podporuje mass storage a takovou, která ho nepodporuje si může koupit jenom debil; pak mu dobře tak.No, tohle tak úplně pravda není... typicky Canoňácké zrcadlovky mass storage nemají a při tom zrovna to jsou dost kvalitní produkty. Akorát že u nich neni ani důvod to používat - rychlejší stejně je vyndat kartu z foťáku a dát jí do čtečky. Při připojení kabelem k PC se dá foťák z PC ovládat, čehož se dá využít ve studiech/etc... a to upřímně zas tak mnoho lidí nepotřebuje
5.10.2010 10:43
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
Možnost vytáhnout kartu a strčit jí do čtečky považuju za podporu Mass Storage.
V tom případě ale M-S umí každý foťák z vyjímatelnou kartou. Tolik k tomu nedorozumění.
Co to bylo zač? Mám zrcadlovku canon (sice ne za 50) a s Linuxem funguje bezvadně – připojím kabel a stáhnu fotky přes digiKam – nebylo potřeba instalovat žádné ovladače, nic konfigurovat, program zrcadlovku okamžitě detekoval a nabídl stažení fotek. Jede to přes standardní PTP protokol (i když větší radost by mi udělalo USB mass storage, které se dá připojit jako běžný disk). Že by měl Nikon a s ním to nefungovalo?
5.10.2010 15:56
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
To sice mají (foťák se dá ovládat přes počítač, ale to jsem ještě nepotřeboval)
To je ale super Foťák s teleobjektivem na stativu, na 24" LCD live obraz. Vysoce použitelné.
To, že je Linuxové jádro kvalitní, o tom se hádat rozhodně nebudu, ačkoliv jsou věci které by se mu vytknout daly. Ano, některé věci jako třeba tebou zmiňované KDE4, Compiz se dají pokládat za jisté průkopníky ve svých oborech.Dobře, tak absence nesouhlasu, nebo aspoň zdůvodněného nesouhlasu, protože co je na centrálním balíčkovacím systému špatného nebylo uvedeno. Microsoft, mimochodem, nejspíš silně zvažuje v budoucnu do Windows přidat nějaký balíčkovací systém, takže je to jen další oblast, kde je GNU/Linux daleko před Windows.
5.10.2010 08:51
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
si můžu všechno zkompilovat sám
To nepochybně můžeš. Ale dokážeš to také všechno zkontrolovat? Pokud ne, tak jsi v tomtéž stavu, co s binární distribucí. Jen jsi ztratil procesorový čas kompilováním.
5.10.2010 11:06
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
ti co používají Windows nemají
Opět nemáš pravdu. Zdrojový kód Windows prověřovala i Česká BIS. Nedávno Rusko. Takže stát tuto možnost má. IMHO i významná firma se na kouknutí do kódů může s MS domluvit.
Linuxové ovladače k tiskárnám mi nepřipadají zrovna jako žádáné zboží v době, kdy většina distribucí toto zahrnuje.No nevím spousta tiskáren je nepodporovaná, stačí si nainstalovat nějaký multi-funkce od HP, totální masakr to rozchodit pro BFU natož pro lidi co Linux neznají. o ostatních věcech jako jsou scannery a telefony jsem psal již jinde a pokud to jde tak to není nic pro lamy.
5.10.2010 08:34
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
Lidi v linuxovým světě se klidně můžou dohodnout
Ty máš pocit, že by se lidé kolem linuxu někdy na něčem dohodli? Flamy okolo scheduleru, alokátoru, FS, DE, editoru; stovky různých distribucí lišící se pozadím a barvou opravdu nedávají důkaz a naději, že by se na něčem mohli dohodnout.
5.10.2010 11:25
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
Zde by opravdu pomohlo prásknout do stolu a říct: "bude jen jeden FS" a ten vyšperkovat tak, aby uměl vše. Protože jinak to bude jen o tom, kterou vlastnost zrovna teď oželím. A to jsem to srovnal s desktopovým OS/FS.
Počkej, ty považuješ NTFS za filesystém hodný úvahy? Srovnáváš NTFS s linuxovými filesystémy? Jako vážně? Tak to vážně nechápu.
Napsals to tak, že to vypadá, jakoby NTFS filesystém uměl vše a na pro Linux nebyla žádná konkurence. Pravda však je, že zatímco NTFS je pomalý, nespolehlivý a podléhá fragmentaci, Linuxové filesystémy jsou mnohem lepší po všech stránkách.
Říkáš, že by pomohlo prásknout do stolu a vyšperkovat jeden FS. Ono se děje to, že už se sakra dlouho šperkuje EXT2,3 a dnešní EXT4, a to je sakra filesystém. Ostatní jsou dost okrajové a nevěřím, že jejich existence vývoji EXT4 škodí. Jináč teď prásknul do stolu Oracle (kurfrem plným peněz) a, hle, máme BTRFS.
Takže srovnání s Windows vypadá tak, že zatímco Linux má plno kvalitních použitelných filesystémů z nichž každý má něco nevíc proti ostatním, Windows mám pouze jeden, který sice na papíře vypadá, že má každou vlastnost pod sluncem, ale je relativně pomalý, fragmentující se a nespolehlivý. Ano, užil jsem si s NTFS svoje trápení a FS v Linuxu považuju za dar z nebes, který mi snížil stres a tím prodloužil život.
5.10.2010 13:05
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
Napsals to tak, že to vypadá, jakoby NTFS filesystém uměl vše a na pro Linux nebyla žádná konkurence.
Ano a za tím si stojím. Ukaž mi FS, který umí vše co NTFS. Takový pro linux (bohužel) není.
máme BTRFS
Máme? Do produkční úrovně mu chybí ještě minimálně 6 let.
dnešní EXT4, a to je sakra filesystém
No, to teda je. No comment. Už to má konečně online defrag, o kterém se mluvilo ještě před započtením úpravy ext3 na ext4dev? Nemá. A kecy o tom, že se to nemusí defragmentovat si nech pro malé děti.
Takže srovnání s Windows vypadá tak, že zatímco Linux má plno kvalitních použitelných filesystémů z nichž každý má něco nevíc proti ostatním
Sorry, ale to vypadá, že vůbec nevíš o čem mluvíš. To má něco navíc znamená se dá taky napsat: něco mu chybí. A je to tak. Nejlépe tomu vyhovuje XFS, ovšem ten se neumí zmenšovat. Tuto vlastnost jsem musel oželet.
5.10.2010 13:42
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
Počet funkcí není přece směrodatný pro výběr filesystému.
K čemu přesně je mi takový FS dobrý, když neumí to co potřebuji?
Nejsou to žádný kecy, že se defragmentovat nemusí. Nikdo to nedělá a všem funguje velmi dobře
To je argument jak noha. Nikdo to nedělá --> není to potřeba. On to nikdo nedělá proto, že nemá k disposici nástroj. Schválně si projdi mailinglisty a fóra. Lidé se po přechodu (zkopírováním) na jiný FS (kterýkoliv) radují, jak rychle jim to běhá. Jistě, na tom novém FS to mají krásně srovnané. Za rok to bude úplně stejně pomalé jako to bylo, bezohledu na FS. Extermí fragmentaci se nelze vyhnout.
Například výrobce XFS doporučuje pouštět xfs_fsr pravidelně v cronu. JFS na AIX má defrag také. Proč asi.
Tím neříkám, že nebude fajn až bude.
Do té doby nezbývá než to vzít a přelít na jiný storage.
Vím dobře o čem mluvím a pokud myslíš, že ne, uveď proč.
Připadá mi to tak z této diskuse. Pokud tomu tak není, a zabýváš se FS od ZŠ (jako já), tak se ti omlouvám. Ale napsat o EXT4, že je to "sakra filesystém" (je to evoluce ext123 s použitím některých technologií, které ostatní FS mají už 20 let -- rozsahy, delay allocation*, ale statické tabulky nodů to má stále) to už chce odvahu, obzvláště po té, co sám jeho autor věnuje své síly jinému (btrfs) a v podstatě říká, že už žádný další ext nebude.
*) Které potom vykastrovali, protože se někomu na nestabilním HW ztratila data z aplikací od takyprogramátorů.
5.10.2010 15:17
Heron | skóre: 53
| blog: root_at_heron
| Olomouc
Co všechno? Potřebuji ACL, quoty se hodí, rozumné zacházení s větším počtem souborů (kde větší je 300 mil.), s malými soubory (nemusel by vždy zabrat celý blok, takže uložení do directory nebo MFT, žádný pomalý tailing), zvětšení, zmenšení výhodou. To vyhrál XFS i z hlediska rychlosti (zápisu). Má sice kapánek rychlostní problém s metadaty a neumí (a nebude umět shrink). Kdyby XFS uměl shrink, tak je to the best of linux filesystems .
Jako co si budeme vykládat, stejně to půjde do DB, protože to žádný FS neutáhne.
No a není snad EXT4 "sakra filesystém"?
ext3: Je to takový "just works". Nenadchne a neurazí. Já ho mám hodně rád, fsck sice běží několik hodin, ale dá to do pořádku. Umí shrink. Používal bych ho, ale má poněkud nízko limity na velikost storage. Proto mám XFS. Na ext4 si počkám do vydání RHEL 6. V 5.5 je takový nepoužitelný. Každopádně, podle této tvé definice je vlastně každý sakra filesystém.
Nicméně hlavní (empiricky získanou) vědomost, že NTFS je lepší se vyhýbat, mám.
Já mám přesně opačnou. U mountu zafunguje žurnál, ntfs se umí opravit za běhu. Ale opravdu nechci začínat další flame na téma spolehlivost toho kterého FS, protože se vždy najde někdo, komu se nikdy nic neztratilo a tomu druhému všechno zmizelo po jednom rebootu.
)
Microsoftí svět není na distribucí binárních blobů "odkázanej" - on si to prostě může dovolit, kdežto Linuxový svět ne.Vidíš a mě připadá, že je to právě naopak. Na linuxových distribucích tradičně nacházím binární i zdrojové balíky. Pro windows těch zdrojových balíků nejenom vidím komparativně méně, ale i jejich použití bývá složitější a méně zdokumentované.
5.10.2010 09:56
Gilhad | skóre: 20
| blog: gilhadoviny
5.10.2010 10:09
make distISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.