Re: [openbsd] fwd: [nick@holland-consulting.net: Supporting OpenBSD]

[Eugeni Akmuradov <e.akmuradov@gmail.com>]

имхо, далеко ходить не надо - в самой философии есть подходы которые
можно было бы изменить и все-таки не выставлять колючки тем,
изменениям, которые подвинут проект к лучшему

9 сентября 2009 г. 19:09 пользователь Pavel Labushev
(p.labushev@gmail.com) написал:
> Sergey Prysiazhnyi пишет:
>> ----- Forwarded message from Nick Holland <nick@holland-consulting.net> -----
>>
>> Date: Tue, 08 Sep 2009 23:54:12 -0400
>> From: Nick Holland <nick@holland-consulting.net>
>> To: misc <misc@openbsd.org>
>> Subject: Supporting OpenBSD
>>
>> What makes OpenBSD unique?  Everyone's got their own list, but here's
>> mine:
>>
>> * Good work is unacceptable, great work is expected.
>
> Гладко было на бумаге, да забыли про овраги.
> 1. С 2004 года не закрывают уязвимость к обходу W^X путём возврата на
> retf. Даже невзирая на то, что в документации к SEGMEXEC в PaX от начала
> 2003 (!) года эта тема затронута и рассмотрена отдельно.
> 2. Энтропия адресов при ASLR на x86 гораздо меньше, чем могла бы быть.
> Для сравнения, в PaX/x86 - на 4-8 бит больше.
> 3. PIE появились только недавно (года на 3 позже, чем в тулчейне
> Hardened Gentoo).
> 4. Ограничивать или запрещать mprotect(2) для обхода W^X - ни в каком
> виде не хотят, ссылаясь на нежелание нарушать стандарты. При том, что
> 90% софта исполняемые страницы данных/стека не нужны, а mprotect
> довольно широко используется для проведения атак на W^X-подобные защиты.
> 5. Нет документации по механизмам защиты рантайма (а ведь она необходима
> для прохождения peer review, как полагается) - в лучших традициях
> осуждаемого линукса.
> 6. Не реализовано никаких защит ядра, аналогичных PAX_MEMORY_UDEREF,
> PAX_KERNEXEC, PAX_RANDKSTACK или иных.
> 7. И при этом анализ багов в ядре проводится вяло - энтузиастов нет. Для
> примера можно почитать таймлайн переписки CORE с командой OpenBSD по
> уязвимости в стеке IPv6: CORE пришлось предоставить PoC-эксплойт, чтобы
> в OpenBSD признали уязвимость к выполнению произвольного кода - провести
> анализ самостоятельно опенщики не соизволили и до последнего настаивали
> на DoS-only.
> 8. Реализация органичений chroot(2) оставляет желать лучшего: как
> минимум, некоторых из тех простых и эффективных вещей, которые давно
> есть в Grsecurity.
>
> Да, такие аккуратные мелочи, как omalloc и ограничиваемый BPF, интересны
> и приятны, но малозаметны на общем фоне. Не знаю, как другие, но лично я
> от "самой безопасной ОС" ожидал несколько иных подходов.
>
>> * Quality is the #1 goal, it takes a back seat to NOTHING else.
>
> Да. Почти всё, что есть, сделано очень качественно и просто. Тем и
> привлекает.
>
> P.S.
> Не троллинга ради. Просто наболело: всё далеко не так радужно, как
> преподносится и как хотелось бы, а ситуация практически не улучшается.
>
> --
> To unsubscribe send an e-mail to openbsd+unsubscribe@uaoug.org.ua
> For retrieval in messages archive http://www.uaoug.org.ua/archive
>
>