Forum Debian Users Gang

Jesienią status stabilny dostanie gcc-4.8, jak większość systemu się na nim będzie kompilować poprawnie.
W Gentoo nowy kompilator jest dużo później, niż w Debianie, bo czeka,
aż developerzy sprawdzą na swoich systemach ten kompilator w różnych warunkach, na różnych procesorach i z rożnymi flagami.
Ten etap w Gentusiu jest znacznie bardziej zaawansowany, niż w paczkowatych dystrybucjach, np Debian może sobie mieć gcc-4.9 i 75% systemu kompilowane gcc starszym niż 4.8, i wszystko działa.
W Gentoo, jak masz w działającym  systemie kompilator GCC oznaczony jako stabilny, to jest duże prawdopodobieństwo, że cały system był nim kompilowany.

Dlatego kompilator w Gentoo  staje się stabilny, jak można go bezpiecznie wsadzić do stage instalacyjnego, bez ryzyka jesieni średniowiecza na bugzilli. :DDD

W Gentoo jakość kompilatora GCC widać na "żywym organizmie". ;)

Ostatnio edytowany przez Jacekalex (2014-08-13 12:31:03)

Nie wprowadza się w ogóle, w Gentoo masz takie flagi, jakie sobie sam w make.conf ustawisz.
Developerzy się nie zajmują tym, jak sobie zmienne w make.conf ustawisz.

Jedyny wyjątek, to kompilator hardened. gdzie Developerzy dodali fstack-protector, PIE, bindnow i fortify-source  (nie trzeba  dodawać ręcznie) jako domyślne,  fstack-protector-strong pewnie też dodadzą, jeśli nie będzie z nim jakichś koszmarnych problemów.
W każdym razie team hardened ustala domyślne zachowanie kompilatora, każdy może je sobie modyfikować przy pomocy CFLAGS samodzielnie.

Jak koniecznie potrzebujesz info w tej sprawie, to zapytaj na liście mailingowej projekt hardened.
Wykaz list mailngowych masz tutaj:
http://www.gentoo.org/main/pl/lists.xml

W Gentoo paczek nie skompilowali, bo ich nie kompilują, pacjenci sobie paczki robią we własnym zakresie, Developerzy dają tylko narzędzia do budowy.

Ostatnio edytowany przez Jacekalex (2014-08-13 15:09:26)

Mylisz dwa pojęcia.
Very Secure Linux - to określenie gotowych stabilnych dystrybucji, w których sporo uwagi poświęcono bezpieczeństwu.

Gentoo samo w sobie nie jest bezpiecznym systemem, bo nie pobierasz w przypadku Gentoo gotowego systemu, tylko worek klocków i narzędzi, z których sam budujesz system.
Ten system może być bezpieczniejszy, niż OpenBSD, albo bardziej dziurawy, niż Windows 95, w zależności od tego, kto go stawia i konfiguruje, i jak to robi.

Ot i cała tajemnica Gentusia, i wyjaśnienie, dlaczego w takich porównaniach i grafikach umieszczanie Gentoo nie ma sensu.

Gentoo tym się różni od innych dystrybucji, że jak go używasz, to przy okazji cholernie dobrze poznajesz każdy kawałek Linuxa, w tej dziedzinie lepszy jest tylko LFS.

Bezpieczeństwo Gentoo w dużym stopniu bierze się z tego, że nie ma dwóch idealnie jednakowych systemów Gentoo na świecie, każdy jest w jakimś stopniu unikalny, w rezultacie trudniej przygotować na niego exploity, niż na system, w którym wszystkie egzemplarze  na świecie mają paczki o tej samej sumie sha1, potem jak w Debianie czy CentOSie pojawi się dziurawa paczka, to automatycznie ląduje na co najmniej 20 milionach serwerów.
To bynajmniej nie oznacza, że w Gentoo nie ma błędów, oznacza natomiast, że część błędów jest unikalna dla pojedynczego systemu, i świat się o nich zbyt łatwo nie dowie, nie mówiąc o ich skutecznym wykorzystaniu. xD

Dlatego na ten system dużo trudniej przygotować wektor skutecznego ataku, niż na Debiana, bo w przypadku Gentusia atakujący nie ma pewności, co w nim dokładnie jest.

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2014-08-13 18:57:52)

Gentoo hardened, Gentoo-RBAC, Gentoo-freebsd, Gentoo-embeded - to są tylko profile systemu Gentoo, czyli praktycznie zestaw innych flag USE i czasami łatek, względnie w przypadku BSD inne jajo.
Gentoo ma wiele twarzy.

W dalszym ciągu stage instalacyjny, ebuildy i dokumentacja, to jest bardziej skrzynka narzędzi i worek klocków, niż system operacyjny.

Faktycznie coś tam zmieniają w hardened-sources, ale główna cześć, czyli konfig i kompilacja, to robota dla pacjenta.
Nawet nowe opcje konfigu, to dalej są tylko łatki, choć rzeczywiście wyglądają niezwykle poważnie.

Czy to grsecurity nie będzie przeszkadzało w aktualizacjach, doinstalowywaniu softu?[/quote]
Sam Grsec nie powinien powodować problemów, ale jeśli tam jest włączony PAX_MPROTECT, to całkiem sporo paczek ze standardowego repo Debiana będzie łapało różne segfaulty i podobne historie, zwłaszcza w okolicach środowiska graficznego.

Pax jest integralną częścią każdej łatki Grsec, chociaż jest rozwijany jako osobny projekt.

Jeśli natomiast wyłączyli MPROTECT, to tym samym wyrwali najmocniejszy pazur PAXa do ochrony przed exploitami operującymi w pamięci RAM.

Paczki działające w środowisku Paxa się troszkę inaczej kompiluje, co w Debianie ciągle nie jest jeszcze standardem, więc ten Mempo-linux musiałby mieć własne repozytorium, a w tym repo byłoby znacznie więcej roboty, niż w przypadku repo Ubuntu.

Jak w Archu wprowadzili kernel-grsec, to do zarządzania flagami Paxa napisali osobnego demona systemowego [url=https://www.archlinux.org/packages/community/i686/paxd/]Paxd[/url] . :D

Ostatnio edytowany przez Jacekalex (2014-09-17 21:31:05)

---

W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem  para bellum  ;)       |       Pozdrawiam :)