Tu parles certainement de la chose dans laquelle spender à trouvé une faille en 12 heures ? :-)
Bon pour pas trop faire dans la provocation sur le papier RSBAC est très bien, les papers sont pas mal. Il en reste que comme dit spender ce n'est actuellement qu'une boite a outil tout comme MAC si l'on a besoin de developper de son module. Aussi puissant que complexe et donc vecteur de faille que se soit du developpeur ou de l'administrateur (oui je parle entre autre des hiddeux menu de conf d'RSBAC ou il est si facile de se planter).
Après dans la pratique c'est un patch intrusif qui n'a pas été largement relu et audité. Le problème de ce type de patch c'est qu'en voulant augmenter la sécurité ils peuvent très facilement introduire autant de failles qu'ils n'en resolvent (cf systrace). Donc dans la vraie vie c'est pas encore ca comme en temoigne la jolie intervention de spender un patch de sécu dans lequel tu trouves une faille aussi rapidement (l'histoire ne dit pas s'il l'avait sous le coude ou non) c'est assez flippant.
Tant que les solutions de sécurité resterons des patchs externes tout le temps en train de se synchroniser sur l'arbre officiel ca me fera un peu peur. L'approche FreeBSD est beaucoup plus saine de ce côté.
De plus j'attend que tu me presente tes modules RSBAC pour m'empecher de plomber une machine et que je puisse quand meme travailler. C'est sans doute faisable mais je demande a voir :-) Les fonctionalités sont géniales mais peu appliquées et applicables....
[^] # Re: Oui...
Posté par ckyl . En réponse au journal Crashez votre noyau.... Évalué à 5.
Bon pour pas trop faire dans la provocation sur le papier RSBAC est très bien, les papers sont pas mal. Il en reste que comme dit spender ce n'est actuellement qu'une boite a outil tout comme MAC si l'on a besoin de developper de son module. Aussi puissant que complexe et donc vecteur de faille que se soit du developpeur ou de l'administrateur (oui je parle entre autre des hiddeux menu de conf d'RSBAC ou il est si facile de se planter).
Après dans la pratique c'est un patch intrusif qui n'a pas été largement relu et audité. Le problème de ce type de patch c'est qu'en voulant augmenter la sécurité ils peuvent très facilement introduire autant de failles qu'ils n'en resolvent (cf systrace). Donc dans la vraie vie c'est pas encore ca comme en temoigne la jolie intervention de spender un patch de sécu dans lequel tu trouves une faille aussi rapidement (l'histoire ne dit pas s'il l'avait sous le coude ou non) c'est assez flippant.
Tant que les solutions de sécurité resterons des patchs externes tout le temps en train de se synchroniser sur l'arbre officiel ca me fera un peu peur. L'approche FreeBSD est beaucoup plus saine de ce côté.
De plus j'attend que tu me presente tes modules RSBAC pour m'empecher de plomber une machine et que je puisse quand meme travailler. C'est sans doute faisable mais je demande a voir :-) Les fonctionalités sont géniales mais peu appliquées et applicables....