Patche „lockdown“ na cestě do Linuxu 5.4

„Lockdown“ je funkcionalita jádra operačního systému, která znemožňuje provádění vybraných operací i superuživateli (root). V upstreamu Linuxu doposud chyběla, ale Linus Torvalds nyní v rámci začleňovacího okna vývojového cyklu 5.4 přijal patche, které ji implementují skrze bezpečnostní modul (Linux Security Module). Přehledový popis poskytují např. ZDNet či Linux Weekly News.

30.9.2019 22:20 | Fluttershy, yay! | Nová verze

Komentáře

[Harvie.CZ]

A WireGuard zas nic :-/ Ne ze bych byl nedockavej, ale je potreba uvazit, ze po zacleneni do jadra bude trvat 15 let nez se to dostane do mikrotiku, tak bych se toho rad jeste dozil

[Fluttershy, yay!]

Visí to na Zincu, resp. upstream chce, aby WireGuard používal stávající jaderné API a Zinc se řešil zvlášť.

[Harvie.CZ]

To reseni se mi libi. Neni potreba zdrzovat WireGuard kvuli Zincu.

Aspon bude vic casu doladit Zinc ke spokojenosti vsech stran a bude tak vetsi sance, ze se casem ujme i v dalsich castech kernelu, nez jen ve WG. Mezitim uz muze WG ziskavat usery a zabezpecovat nasi infrastrukturu.

[Harvie.CZ]

A popravde i na ten prehistorickej kernel co udajne pouziva Mikrotik se to bude nejspis snadneji backportovat, kdyz to bude pouzivat starsi crypto api.

[Max]

Mikrotik používá v RoS 6 kernel 3.3.5, nedávno vyšel RoS 7 beta a ten je založen na poslední LTS verzi kernelu 4.14.131, který má podporu do roku 2024. Takže za 5 let, až skončí support, budeme asi moci očekávat RoS 8 a další LTS verzi kernelu, tzn., za nějakých 6-7let.
Zdar Max

[Michal Kubeček]

Zdá se, že došlo k průlomu, Jason Donenfeld připustil, že bude lepší nejdřív přepracovat wireguard, aby fungoval se současným crypto API, a sloučení crypto API a zinc řešit samostatně.

Na druhou stranu to neznamená, že teď už půjde všechno hladce a wireguard bude hned v 5.5. Je potřeba si uvědomit, že síťová část wireguardu ještě neprošla prakticky žádným review a že ještě minule byla celá poslaná jako jeden ~8000 řádků dlouhý megapatch, což se obvykle považuje za nepřijatelné.

[dustin]

Takhle se to má dělat, postupné menší kroky. Velký třesk snad nikdy nefunguje.

[Harvie.CZ]

Přesně tak, salámová metoda. Stačí se podívat, jak daleko to s ní dotáhnou někteří z našich zákonodárců

[MP]

Idealni pro nejake *ware.

[jiwopene]

Nijak jsem to nezkoumal, ale už z principu fungování by tam měl/mohl být nějaká volba jádra, která to vypne.

[531]

Uz Kernel 5.3.1 ktery dnes pristal v Tumbleweedu je pro mne prulomovy. Konecne funguje HDMI/DP zvukovka u GP104

[Michal Kubeček]

Pro dobrodružné povahy už máme i 5.4-rc1. :-)

[531]

Zkousel jsem pred tim i jine repo jako kernel-stable, brad-x i s predinstalovanim nvidia driveru ale nedarilo se nabootovat, sice zadny kernel panic ale nekde u nacitani sluzeb se to zaseklo. Takze jsem tam zase vratil 5.2.X. Ted asi nema cenu nijak upgradovat dokud tam nepribudou optimisticke zlepsovaky k Wine, laptop je herni povahy. Jinak u tech repo jsem se snazil zjistit jak jsou konfigurovana ale to se mi moc zjistit nedarilo, ze ma pridomek desktop jeste asi neznamena ze pobezi na kazdem laptopu jako ten vychozi.