Re: [新聞] Sudo爆本地端最高權限漏洞，各家Linux相繼修補更新消失

看板Gossiping作者snaketsai時間8年前 (2017/06/04 09:49)推噓16(16推 0噓 1→)

留言17則, 17人參與討論串2/3 (看更多)

: 5.備註: : : 幹！是誰說Linux系統安全的？ : : 喔，用盜版RHEL的CentOS用戶慢慢等盜版更新檔吧，祈禱這段時間不會被駭客肛小菊花QQ : → lucifiel1618: 我以為有sudo什麼都能做，還需要駭嗎 06/03 10:16 : 推 Arbin: centos盜版？有木有八卦 06/03 10:25 : → ChungLi5566: linux就一堆漏洞啊三不五時就要換版 06/03 10:45 「盜版」這話讓我有點好奇是怎麼定義的？其一是，Linux kernel是GPL v2授權的、絕大多數的coreutils也是GPL based 除去RHEL的商標跟他們自己closed source的東西，稱一個CopyLeft fork是盜版感覺滿怪的，因為這系統本來就沒有「版權」的概念說是閹割版的話我覺得雖然語帶貶意，但那就是主觀問題了其二是，CentOS目前是Red Hat官方出錢在資助的計畫 Red Hat官方網站上面也有新聞稿： https://goo.gl/24lQqV 節錄片段： Today, by taking an active role in the CentOS Project, Red Hat is once again extending its leadership in open source innovation by helping to establish a platform well-suited to the needs of open source developers that integrate technologies in and around the operating system. 今日，藉由積極參與CentOS計畫，提供開源開發者建立合適的平台用以整合作業系統所需要的總總技術，紅帽將再度擴展自身於開源創新的領導地位。 Fedora、Red Hat Enterprise、CentOS的關係與歷史簡易來說是這樣： 2003年，Red Hat Linux (不是RHEL) 9.0.93最後一次公開釋出紅帽接下來的產品將只會針對付費用戶但是為了很多考量（技術、名聲、試驗場...），紅帽自己建立了一個社群為主的Linux發行版 - - Fedora。錢跟主要開發者都來自紅帽本身，但是是獨立的個體。 https://goo.gl/YMHTSa Red Hat Enterprise Linux主打穩定可靠的路線 Fedora則比較像是一個先行試驗區，讓一些新的功能、新的設計可以有個地方累積開發動能（新東西總是要讓人能嚐嚐看，不然沒人吃過，廚師吹再大也沒用）然而，不幸地是很多人發現Fedora初期幾版非常不穩定在一些極為講究可靠度的環境下，顯得不能勝任這也導致大RHEL-based發行版譜系尤焉而生眾所皆知地是紅帽公司非常重視GPL，所以基本上是GPL based的東西都有放出來（雖然後來被Oracle搭便車後有點改作風，但先不提後話）所以在Red Hat關閉、RHEL始動後 RHEL大部分的code base都還是可以免費獲得的當時有兩個後來影響深遠的組織加入了拿RHEL code base來改的行列其一，美國能源部所屬之一的費米國家實驗室，還有大名鼎鼎的CERN 其二，CAOS 基金會（現已亡佚）費米實驗室跟CERN聯名推出了現今在科研競賽常見的Scientific Linux （想到之前某校打平行運算競賽清一色都是裝這個啊......）（然後話說Fermi更之前其實就有Fermi Linux了）而CAOS基金會則推出了CentOS，但是原本是作為開發他們自己CAOS Linux的環境： https://goo.gl/J9X33Y We started off building the new distribution (cAos Linux). CentOS came to be because we needed a system to bootstrap the cAos-1 development. 但沒想到無心插柳柳成蔭，多數人比較喜歡原本拿來當工具人的CentOS 最後在2005年的三月脫離CAOS Foundation，變成獨立的計畫了： https://goo.gl/kiufPp 爾後多年，紅帽發現RHEL長期缺少正式官方開源代言，還被某神諭公司搭便車弄了個「Unbreakable Linux」來打對台搶客戶於是就在2014乾脆出出錢把CentOS扶正了雖然CentOS官方網站是有說明說他們還是個獨立的存在啦： https://www.centos.org/about/governance/ 但是就我個人感覺上來說，已經跟收編是差不多意思了基本上目前CentOS/RHEL/Fedora的關係有點這樣的味道：新功能、新設計想法=>先丟給Fedora Fedora試驗反應良好=>放進RHEL RHEL很多東西都是開源產物，去除商標跟閉原產品=>交由CentOS開源發怖 = = = = = = = = = = = = = 然後我個人是覺得：即便我個人有些好惡但SELinux是個pratical的Mandatory Access Control 雖然因為最初開發跟NSA有關連，所以總是有很多陰毛論就是了 Type Enforcement rule寫來麻煩，但這也是無可奈何的事情君不見Android default是開的？如果要鞭說：有更好的solution，所以不要用SELinux，這我很樂意聽，因為市面上Linux MAC實做有大量驗證的還真的沒幾套真心求推薦至於說用DAC就夠了，一個我不知道該說是被abuse久了就被當feature的事情是：在高權限狀態下拿到的fd，fork完後setuid到低權限時那個fd還是有效的很多daemon的確這樣用，但我總覺得這設計有種說不出的隱憂學術點講法就是Trusted Computing Base被加大了大概說到這邊，累了Orz -- Linux is the bone of my world. Kernel is mybody, and initramfs is myblood, have created over a thousand Distros. Unknown to impossibility. Nor known to limitation. -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.113.167.181 ※ 文章網址: https://www.ptt.cc/bbs/Gossiping/M.1496540971.A.07A.html

推

Vett

06/04 09:50, , 1^F

06/04 09:50, 1^F

我下次吃飯拿去問問看科法所的人怎麼看你說的這句話好了

推

ekpyrosis

06/04 09:50, , 2^F

06/04 09:50, 2^F

※ 編輯: snaketsai (140.113.167.181), 06/04/2017 09:53:05 ※ 編輯: snaketsai (140.113.167.181), 06/04/2017 09:54:37

推

wyvernlee