Настоятельно просим вас при общении соблюдать Правила форума и законы РФ. Наша тематика вне политики, поэтому воздержитесь от обсуждения ситуации на Украине и связанных с ней событий, независимо от того, какую сторону вы поддерживаете.
Также напоминаем, что наш форум находится в доменной зоне .ru, физически расположен на российских серверах и мы соблюдаем действующее законодательство России. Любые сообщения о политике будут удаляться.
Linux Forum → Gentoo Linux → Hardened Gentoo, кто нибудь пользуется?
Страницы 1
Чтобы отправить ответ, вы должны войти или зарегистрироваться
Вроде как затеялся потихоньку сервер пересобираю, вот думаю, может попробовать.
Если не ставить эксперименты на продакшене, то работает хорошо.
Конфигурацию ядра с kernel-seeds хочу взять, потому как всех нюансов сам точно не учту, toolchain пересобирается...
Упс, пересобрался, какой выбрать:
$ gcc-config -l
[1] x86_64-pc-linux-gnu-4.5.3 *
[2] x86_64-pc-linux-gnu-4.5.3-hardenednopie
[3] x86_64-pc-linux-gnu-4.5.3-hardenednopiessp
[4] x86_64-pc-linux-gnu-4.5.3-hardenednossp
[5] x86_64-pc-linux-gnu-4.5.3-vanilla?
В hardened ядре есть профили server, desktop, custom, etc. Достаточно выбрать.
Упс, пересобрался, какой выбрать:
$ gcc-config -l [1] x86_64-pc-linux-gnu-4.5.3 * [2] x86_64-pc-linux-gnu-4.5.3-hardenednopie [3] x86_64-pc-linux-gnu-4.5.3-hardenednopiessp [4] x86_64-pc-linux-gnu-4.5.3-hardenednossp [5] x86_64-pc-linux-gnu-4.5.3-vanilla?
[1]
[1]
А он hardened? Хотя флаг после переключения профиля у gcc появился.
$ emerge -pv binutils glibc gcc
These are the packages that would be merged, in order:
Calculating dependencies... done!
[ebuild R ] sys-devel/binutils-2.21.1-r1 USE="cxx nls zlib -multislot -multitarget -static-libs -test -vanilla" 0 kB
[ebuild R ] sys-libs/glibc-2.14.1-r3 USE="hardened (multilib) -debug -gd -profile (-selinux) -vanilla" 0 kB
[ebuild R ] sys-devel/gcc-4.5.3-r2 USE="cxx gtk hardened mudflap (multilib) nls nptl openmp (-altivec) -bootstrap -build -doc (-fixed-point) -fortran -gcj -graphite (-libssp) -lto -multislot -nocxx -nopie -nossp -objc -objc++ -objc-gc -test -vanilla" 0 kBЯ пользуюсь hardened Gentoo. Из профилей GCC выбирай первый. nopie, nopiessp и nossp - профили, в которых отключены некоторые hardened-специфичные фишки, на случай, если вдруг какая-нибудь вещь не будет собираться первым; vanilla - соответственно все отключено, обычный GCC.
По поводу ядра: есть набор патчей специально для hardened Gentoo.
sys-kernel/hardened-sources
sys-kernel/hardened-sources
Это само собой, просто конфиг возьму отсюда http://kernel-seeds.bloodnoc.org/seeds/64_bit/hardened/
Или делись 
ы. Насколько я понял при
kernel.grsecurity.disable_modules = 1
kernel.grsecurity.grsec_lock = 1modprobe уже не прокатит
ы. Насколько я понял при
kernel.grsecurity.disable_modules = 1 kernel.grsecurity.grsec_lock = 1modprobe уже не прокатит
Вот это я, если честно, даже не знаю.
мой конфиг,если нужен.
Для эксперимента пробовал на десктопе.
В целом, всё нормально, правда некоторый софт тупо отказался работать. Но это на десктопе, для сервера - в самый раз.
А он hardened? Хотя флаг после переключения профиля у gcc появился.
Да. Причем со всеми механизмами. По-сути, можно переключаться между двумя профилями - первым и ванильным.
Последний включается только в тех случаях, когда какой-то пакет не хочет собираться. В основном в случае чего-то бинарного.
Промежуточные - отключение PIE/SSP, или и того, и другого.
Страницы 1
Чтобы отправить ответ, вы должны войти или зарегистрироваться
Linux Forum → Gentoo Linux → Hardened Gentoo, кто нибудь пользуется?
Форум работает на PunBB, при поддержке Informer Technologies, Inc
