$gamma = new cluster_node(3, "vpsFree.cz") (diskuse)

[Vskutečnosti Saýc]

O vic o cloudvpn urcite zajem je :)

Jinak, chtel jsem se zeptat jak je to u vas s trafficem? Pro pripad ze by si nekdo chtel pustit treba freenet node, nebo tak.

[Ondrej 'SanTiago' Zajicek]

Proc CloudVPN? Pokud mate verejne IP adresy a poradne (nijak neblokovane) pripojeni, tak snad nema smysl uvazovat nad cimkoliv jinym nez nad GRE tunely, ne?

(Leda tedy v pripade, kdyz byste chteli opravdu 'private' tedy sifrovane spojeni bez nody, ale neni me jasne, k cemu by to bylo.)

[Ondrej 'SanTiago' Zajicek]

Tedy ten muj komentar byl zamyslen na autora puvodniho clanku, ne na predchozi komentar.

[snajpa]

CloudVPN je velice zajímavá technologie. Umí vyrábět VPN síť nejrůznějších tvarů, funguje jak s mesh, tak hvězdou, tak kruhem, klidně kombinovaně. Takže z tohohle důvodu, protože je to zajímavé a vyvíjí to kamarád, tak nějaký "support" by tam byl, výměnou za v podstatě pravidelné testování jeho výtvoru.

[snajpa]

No, zrovna s freenet nody - je to dost podobné přímému provozování Bittorentu a podobných p2p. Nechci ze sebe dělat svatouška, že bych takové věci osobně nepoužíval, ale na serverech vpsFree.cz bych neviděl rád. Kdyby byly jiné politické podmínky, tak klidně. Ale ne v těchto, kdy bychom tím potenciálně mohli riskovat rozpuštění sdružení, zabavení serverů a podobně.

[Ondrej 'SanTiago' Zajicek]

Mimochodem, mate nejake opatreni proti kernel-based local root exploitum? Pokud se nepletu, tak pouzivate OpenVZ, ktere zadnou takovou ochranu nema, a tech kernel-based local root exploitu za poslednich nekolik let uz bylo docela dost.

Kdyz clovek provozuje webhosting, tak muze aspon nastavit system tak, aby omezil moznost vzdalenym utocnikum ziskat lokalni pristup pomoci lamerskych php skriptu jednotlivych uzivatelu, a tim zabranit utocnikum nasledne aplikovat local root exploity. Ale kdyz nekdo takhle provozuje VPS hosting, tak prakticky nema moznost zabranit tomu, aby uzivatele provozovali snadno nabouratelne sluzby.

[faha]

Co jsem se koukal, tak je snaha dat dohromady openvz + grsecurity, ale asi to bude trochu kumst a prej to neni stable.

http://bugzilla.openvz.org/show_bug.cgi?id=601

Mno a tak se rozhodli, ze kdyz nemuzou pouzit cele grsecurity, tak vemou jen "most requested features".

Cituji
--------
Starting from 2.6.18-028stab047.1 stable kernels OpenVZ kernels support 
TPE grsecurity feature out of the box. Which means root user can 
configure TPE inside VE as usual, i.e. via the following /proc files:

    * /proc/sys/kernel/grsecurity/grsec_lock
    * /proc/sys/kernel/grsecurity/tpe
    * /proc/sys/kernel/grsecurity/tpe_gid
    * /proc/sys/kernel/grsecurity/tpe_restrict_all 

To enable TPE feature in a standard way just type:

# echo GID > /proc/sys/kernel/grsecurity/tpe_gid
# echo 1 > /proc/sys/kernel/grsecurity/tpe
' lock grsecurity settings
# echo 1 > /proc/sys/kernel/grsecurity/grsec_lock

[snajpa]

Upřímně, bránit se tomu úplně nejde nijak. Útěchou budiž, kterýkoliv local root exploit jsem zkoušel, ani jeden neprošel. A teoreticky, pokud by prošel, měl by získat roota jenom ve VPS - je tam nějaká vrstva kódu, která se stará o oddělení oprávnění. Co by OpenVZ kernel určitě neustál, by byl exploit přímo mířený na chybu v openvz patchi, jenže to je tak s každým softwarem.

[Ondrej 'SanTiago' Zajicek]

> A teoreticky, pokud by prošel, měl by získat roota jenom ve VPS - je tam nějaká vrstva kódu, která se stará o oddělení oprávnění

Z toho, co vim o OpenVZ, si to vubec nemyslim. kernel-based local root exploit obvykle vede ke spusteni utocnikova kodu se stejnym opravnenim, s jakym bezi jaderny kod. A ten u OpenVZ (AFAIK) bezi stejne jako v normalnim jadre s plnym opravnenim.

[snajpa]

Jasně, jenže to dost záleží na druhu exploitu a na co přesně útočí. Zatím žádný dostupný neprošel.

[Shadow]

Shadow->System->Out->Gratulace(VELKA, "vpsFree.cz", "new cluster node");
Shadow->System->Out->Message("vpsFree.cz", "jen tak dál");