From: Leonid Krivoshein <klark.devel@gmail.com> To: devel@lists.altlinux.org Subject: Re: [devel] rngd vs haveged vs crng (khwrngd) Date: Tue, 3 Sep 2019 23:51:29 +0300 Message-ID: <753bcd80-5b91-7616-be80-d80572c8818e@gmail.com> (raw) In-Reply-To: <20190903101217.GT12903@altlinux.org> 03.09.2019 13:12, Alexey V. Vissarionov пишет: > On 2019-09-03 10:37:07 +0300, Leonid Krivoshein wrote: > > >>> Единственное, что делается ДО -- инициализация devtmpfs. > >> Вроде бы достаточно очевидно, что devtmpfs_mount() выполняется > >> до run_init_process(), но после mount_block_root() > > Инициализация экземпляра файловой системы внутри ядра > > и монтирование её в userspace -- две разные вещи. > > А можно ссылочки в виде имен файлов и названий функций? Мало ли, > вдруг в ядре что-то кардинально поменялось, а я это пропустил... Это больше к ядерщикам. Из общедоступного: https://www.kernel.org/doc/Documentation/filesystems/ramfs-rootfs-initramfs.txt https://lwn.net/Articles/330985/ https://lwn.net/Articles/345480/ https://www.kernel.org/doc/Documentation/filesystems/tmpfs.txt > > Монтирование /dev в userspace инициируется процессом с PID 1 > > Да ну? > > /* > * If configured, or requested by the commandline, devtmpfs will be > * auto-mounted after the kernel mounted the root filesystem. > */ > int devtmpfs_mount(const char *mntdir) > { > ... > } Комментарий *НАД* внимательно прочитал? Твой аргумент правильно понимать иначе: авто-монтирование тоже возможно. Но на практике ни разу не встречал. По крайней мере, во всех альтовых скриптах /dev монтируется по инициативе PID 1. И в других дистрибутивах тоже так. И опять же: авто-монтирование отработает при определённом конфигурировании только после монтирования rootfs. Другое дело, что... > Это drivers/base/devtmpfs.c > > > уже после того, как ядро проинициализировало initramfs, devtpmfs, > > нашло и запустило /sbin/init. > > Не... корень смонтирован, devtmpfs смонтирован - а /sbin/init еще не > запущен. > > Удивительно, правда? :-) Не удивительно, а описано в вышеприведённой статье: After the rootfs is mounted by the kernel, the populated tmpfs is mounted at /dev. In initramfs, it can be moved to the manually mounted root filesystem before /sbin/init is executed. Есть всё же два init'а: /init (у нас в initramfs/stage1 и /sbin/init -- systemd в stage2). На практике даже у нас встречал оба варианта в разных версиях. Как предварительный mount --bind, так и отдельный экземпляр tmpfs. Но это только при переходе из stage1 в stage2. stage1: http://git.altlinux.org/gears/m/make-initrd.git?p=make-initrd.git;a=blob;f=data/etc/rc.d/init.d/mountfs;h=8e10d7b49e1d0bf4c4cc26bb04562b94029d51a8;hb=04d5b713fccb53022fd82c222316fed8aaeebe88#l18 http://git.altlinux.org/gears/m/make-initrd.git?p=make-initrd.git;a=blob;f=data/etc/rc.d/rc.sysexec;h=292f440abfcfc0ac7b2fd32654cdb7ae15c6ffdd;hb=04d5b713fccb53022fd82c222316fed8aaeebe88 http://git.altlinux.org/gears/k/kinit-utils.git?p=kinit-utils.git;a=blob;f=kinit/run-init/runinitlib.c;h=8f1562fba7ff007cc2e719a4aa3abd4fb5a8b259;hb=f2f5cd25b9bac163e1a0e8a6e0a0878bb9373634 stage2: http://git.altlinux.org/gears/a/alterator-pkg.git?p=alterator-pkg.git;a=blob;f=alterator-pkg/backend3/pkg-init;h=9e76ca686d4d6744d50027d884f51615c7271ac3;hb=7f733b649837a386a368c9d79366528e49200864#l40 http://git.altlinux.org/gears/s/startup.git?p=startup.git;a=blob;f=startup/rc.d/rc.sysinit;h=b332f6788ebff22cc1c88b7f0d6e5b84ff4b725b;hb=d176d6ded32e643fb4e7c45894d6c721756f8ad0#l264 > > Никаких устройств на этом этапе ещё нет, ramfs/tpmfs в ядро > > вкомпилируются. > > Даже если не указывать путь к собственному initramfs, оно тоже в > > ядре имеется всегда. Пустое, без /sbin/init, > > Да - init/noinitramfs.c > > > чтобы отработал твой любимый fallback с /dev/md0. > > Тут либо слово fallback не к месту, либо мысль куда-то ускользнула. fallback -- что делать, если не задан какой-то внешний initramfs. Твой любимый внутри-ядерный авто-поиск корневой системы, так ОК? > [...] > > > На SysV-init вероятность запуска сервиса, требующего CRNG, примерно > > равна нулю. > > В этом тысячелетии я компутеров без SSH уже не видел. Да, но не в первые же секунды. > [...] > > >>> Блокировку на этапе загрузки можно рассматривать не только > >>> как баг юзабилити. В ряде задач это тоже CVE, вплоть до DoS > >>> для всего HA-кластера. В конце концов, подкопив энтропии, > >>> можно обновить состояние инициализации CRNG. > >> Да: низкоэнтропийная криптография - это уязвимость. Исправлять > >> ее будем, или как обычно? > > Это отнюдь не риторический вопрос. > > >>> А терпеть тормоза при загрузке можно далеко не во всех > >>> сценариях. > >> При вводе системы в промышленную эксплуатацию сервер должен > >> быть запущен позавчера. > > Здесь, насколько я понимаю, возражений нет? Готового решения в Сизиф пока никто не выложил. Безопасного решения, ставшего панацеей в других дистрибутивах с systemd, пока тоже не наблюдается. Есть только disclamers от Поттеринга и Ко. -- Best regards, Leonid Krivoshein.
next prev parent reply other threads:[~2019-09-03 20:51 UTC|newest] Thread overview: 81+ messages / expand[flat|nested] mbox.gz Atom feed top 2019-04-25 10:29 [devel] rngd vs haveged vs crng Konstantin Lepikhov 2019-04-25 19:17 ` Andrey Savchenko 2019-04-25 19:21 ` Denis Medvedev 2019-04-25 19:26 ` Michael Shigorin 2019-04-26 0:01 ` Leonid Krivoshein 2019-04-26 0:19 ` Leonid Krivoshein 2019-04-26 4:43 ` Anton Farygin 2019-04-26 0:51 ` Leonid Krivoshein 2019-04-26 12:45 ` Mikhail Efremov 2019-04-26 22:46 ` Alexey V. Vissarionov 2019-04-27 4:17 ` Denis Medvedev 2019-04-27 5:37 ` Ivan A. Melnikov 2019-05-22 23:08 ` Alexey Shabalin 2019-05-23 4:37 ` Anton Farygin 2019-05-27 11:59 ` Michael Shigorin 2019-05-27 14:18 ` Anton Farygin 2019-05-28 0:08 ` Leonid Krivoshein 2019-05-27 23:53 ` Leonid Krivoshein 2019-05-28 5:08 ` Anton Farygin 2019-05-28 8:57 ` Alexey V. Vissarionov 2019-05-28 10:51 ` Anton Farygin 2019-05-29 8:44 ` Anton Gorlov 2019-05-29 8:46 ` Anton Gorlov 2019-05-29 10:52 ` Anton Farygin 2019-05-30 1:11 ` [devel] rngd vs haveged vs crng (khwrngd) Vitaly Chikunov 2019-05-30 4:39 ` Anton Farygin 2019-05-30 5:16 ` Anton Farygin 2019-05-30 16:40 ` Alexey V. Vissarionov 2019-05-30 16:51 ` Anton Farygin 2019-05-30 17:20 ` Alexey V. Vissarionov 2019-05-31 10:51 ` Andrey Savchenko 2019-05-31 6:50 ` Anton Farygin 2019-05-31 10:56 ` Alexey V. Vissarionov 2019-05-31 16:58 ` Anton Farygin 2019-08-30 23:06 ` Alexey Shabalin 2019-08-31 6:36 ` Leonid Krivoshein 2019-08-31 12:35 ` Alexey V. Vissarionov 2019-08-31 14:47 ` Leonid Krivoshein 2019-08-31 15:42 ` Alexey V. Vissarionov 2019-09-02 21:31 ` Leonid Krivoshein 2019-09-02 22:25 ` Paul Wolneykien 2019-09-03 5:58 ` Alexey V. Vissarionov 2019-09-03 6:02 ` Anton Farygin 2019-09-03 8:49 ` Paul Wolneykien 2019-09-03 19:52 ` Leonid Krivoshein 2019-09-03 20:01 ` Andrey Savchenko 2019-09-03 20:56 ` Leonid Krivoshein 2019-09-04 2:22 ` Alexey V. Vissarionov 2019-09-03 23:31 ` Paul Wolneykien 2019-09-03 8:49 ` Paul Wolneykien 2019-09-03 9:54 ` Alexey V. Vissarionov 2019-09-03 10:01 ` Paul Wolneykien 2019-09-03 10:29 ` Alexey V. Vissarionov 2019-09-03 10:35 ` Paul Wolneykien 2019-09-03 10:38 ` Alexey V. Vissarionov 2019-09-03 10:46 ` Michael Shigorin 2019-09-03 7:02 ` Leonid Krivoshein 2019-09-03 8:49 ` Paul Wolneykien 2019-09-03 19:46 ` Leonid Krivoshein 2019-09-03 23:33 ` Paul Wolneykien 2019-09-04 3:36 ` Leonid Krivoshein 2019-09-20 10:47 ` Sergey Bolshakov 2019-09-20 12:23 ` Alexey V. Vissarionov 2019-09-21 0:33 ` Leonid Krivoshein 2019-09-03 7:28 ` Aleksei Nikiforov 2019-09-03 8:25 ` Alexey V. Vissarionov 2019-09-02 23:59 ` Alexey V. Vissarionov 2019-09-03 7:37 ` Leonid Krivoshein 2019-09-03 10:12 ` Alexey V. Vissarionov 2019-09-03 20:51 ` Leonid Krivoshein [this message] 2019-08-31 7:30 ` Anton Farygin 2019-05-31 14:12 ` [devel] rngd vs haveged vs crng Anton Gorlov 2019-05-31 14:12 ` Anton Gorlov 2019-05-30 17:54 ` Alexey V. Vissarionov 2019-05-31 5:08 ` Anton Farygin 2019-05-31 11:01 ` Alexey V. Vissarionov 2019-05-31 17:01 ` Anton Farygin 2019-05-28 0:53 ` Leonid Krivoshein 2019-09-17 20:08 ` Nikolai Kostrigin 2019-09-17 21:51 ` Alexey V. Vissarionov 2019-09-17 23:29 ` Leonid Krivoshein
Reply instructions: You may reply publicly to this message via plain-text email using any one of the following methods: * Save the following mbox file, import it into your mail client, and reply-to-all from there: mbox Avoid top-posting and favor interleaved quoting: https://en.wikipedia.org/wiki/Posting_style#Interleaved_style * Reply using the --to, --cc, and --in-reply-to switches of git-send-email(1): git send-email \ --in-reply-to=753bcd80-5b91-7616-be80-d80572c8818e@gmail.com \ --to=klark.devel@gmail.com \ --cc=devel@lists.altlinux.org \ /path/to/YOUR_REPLY https://kernel.org/pub/software/scm/git/docs/git-send-email.html * If your mail client supports setting the In-Reply-To header via mailto: links, try the mailto: link
ALT Linux Team development discussions This inbox may be cloned and mirrored by anyone: git clone --mirror http://lore.altlinux.org/devel/0 devel/git/0.git # If you have public-inbox 1.1+ installed, you may # initialize and index your mirror using the following commands: public-inbox-init -V2 devel devel/ http://lore.altlinux.org/devel \ devel@altlinux.org devel@altlinux.ru devel@lists.altlinux.org devel@lists.altlinux.ru devel@linux.iplabs.ru mandrake-russian@linuxteam.iplabs.ru sisyphus@linuxteam.iplabs.ru public-inbox-index devel Example config snippet for mirrors. Newsgroup available over NNTP: nntp://lore.altlinux.org/org.altlinux.lists.devel AGPL code for this site: git clone https://public-inbox.org/public-inbox.git