[d-kernel] Re: [sisyphus] Shared memory - HELP PLEASE!

[d-kernel] Re: [sisyphus] Shared memory - HELP PLEASE!

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 1243 bytes --]

On Wed, Mar 24, 2004 at 05:17:29PM -0500, Ivan Adzhubey wrote:
> На 2.4.25-std-smp-alt1 по-прежнему не работает SysV shared memory,
> shmget() падает молча. Не работает ни от пользователя, ни от рута. Не
> работают ни собственные программы (C), ни сторонние бинарники, ни Perl
> modules. Может надо пользователя куда добавить? Но почему тогда даже от
> рута не работает? Это какой-то секурити патч подсуетился? На ванильном
> ядре на той же машине все работает as expected.

Действительно, дело в патче Openwall, точнее, в его конфигурации.  В
ядрах std включена опция CONFIG_HARDEN_SHM - при этом неиспользуемые
сегменты разделяемой памяти уничтожаются немедленно, не дожидаясь
IPC_RMID.  Программы, которые постоянно сохраняют хотя бы одно
подключение к области разделяемой памяти, при этом работают
нормально.  Проблемы возникают в том случае, если все процессы
отсоединяются от области, а потом пытаются вновь к ней подключиться;
в этом случае область оказывается уничтоженной.

Эта опция появилась в конфигурации довольно давно (ещё до появления
kernel CVS - т.е., до 2.4.21rel-alt13).

Видимо, придётся либо убирать CONFIG_HARDEN_SHM, либо добавлять
какую-то возможность настройки этого поведения
(/proc/sys/kernel/shm_destroy_unused ?)

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [d-kernel] Re: [sisyphus] Shared memory - HELP PLEASE!

[K.D.V.]

Sergey Vlasov wrote:
> On Wed, Mar 24, 2004 at 05:17:29PM -0500, Ivan Adzhubey wrote:
> 
>>На 2.4.25-std-smp-alt1 по-прежнему не работает SysV shared memory,
>>shmget() падает молча. Не работает ни от пользователя, ни от рута. Не
>>работают ни собственные программы (C), ни сторонние бинарники, ни Perl
>>modules. Может надо пользователя куда добавить? Но почему тогда даже от
>>рута не работает? Это какой-то секурити патч подсуетился? На ванильном
>>ядре на той же машине все работает as expected.
> 
> 
> Действительно, дело в патче Openwall, точнее, в его конфигурации.  В
> ядрах std включена опция CONFIG_HARDEN_SHM - при этом неиспользуемые
> сегменты разделяемой памяти уничтожаются немедленно, не дожидаясь
> IPC_RMID.  Программы, которые постоянно сохраняют хотя бы одно
> подключение к области разделяемой памяти, при этом работают
> нормально.  Проблемы возникают в том случае, если все процессы
> отсоединяются от области, а потом пытаются вновь к ней подключиться;
> в этом случае область оказывается уничтоженной.
> 
> Эта опция появилась в конфигурации довольно давно (ещё до появления
> kernel CVS - т.е., до 2.4.21rel-alt13).
> 
> Видимо, придётся либо убирать CONFIG_HARDEN_SHM, либо добавлять
> какую-то возможность настройки этого поведения
> (/proc/sys/kernel/shm_destroy_unused ?)
> 
Второе, пожалуйста, если не трудно.



-- 
kordv

Re: [d-kernel] CONFIG_HARDEN_SHM

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1533 bytes --]

On Thu, Mar 25, 2004 at 03:22:40PM +0300, Sergey Vlasov wrote:
> On Wed, Mar 24, 2004 at 05:17:29PM -0500, Ivan Adzhubey wrote:
> > На 2.4.25-std-smp-alt1 по-прежнему не работает SysV shared memory,
> > shmget() падает молча. Не работает ни от пользователя, ни от рута. Не
> > работают ни собственные программы (C), ни сторонние бинарники, ни Perl
> > modules. Может надо пользователя куда добавить? Но почему тогда даже от
> > рута не работает? Это какой-то секурити патч подсуетился? На ванильном
> > ядре на той же машине все работает as expected.
> 
> Действительно, дело в патче Openwall, точнее, в его конфигурации.  В
> ядрах std включена опция CONFIG_HARDEN_SHM - при этом неиспользуемые
> сегменты разделяемой памяти уничтожаются немедленно, не дожидаясь
> IPC_RMID.  Программы, которые постоянно сохраняют хотя бы одно
> подключение к области разделяемой памяти, при этом работают
> нормально.  Проблемы возникают в том случае, если все процессы
> отсоединяются от области, а потом пытаются вновь к ней подключиться;
> в этом случае область оказывается уничтоженной.
> 
> Эта опция появилась в конфигурации довольно давно (ещё до появления
> kernel CVS - т.е., до 2.4.21rel-alt13).
> 
> Видимо, придётся либо убирать CONFIG_HARDEN_SHM, либо добавлять
> какую-то возможность настройки этого поведения
> (/proc/sys/kernel/shm_destroy_unused ?)

Конечно убирать CONFIG_HARDEN_SHM не надо.

Если из-за включённого CONFIG_HARDEN_SHM что-то не работает, то это что-то
наверняка кривое.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [d-kernel] CONFIG_HARDEN_SHM

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 602 bytes --]

On Thu, Mar 25, 2004 at 07:27:51PM +0300, Dmitry V. Levin wrote:
> Если из-за включённого CONFIG_HARDEN_SHM что-то не работает, то
> это что-то наверняка кривое.

Проблема в том, что легче сменить -- излишне закрученные гайки
(вместе с остальными причиндалами) или то, что хлеб зарабатывает.

Если правильно помню, речь шла о кластере.  Обычно в таких местах
безопасность обеспечивается более эффективными средствами.

Еще раз: продукт должен быть управляем.  Мир слишком сложен для
жестких конструкций.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [d-kernel] CONFIG_HARDEN_SHM

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 511 bytes --]

On Thu, Mar 25, 2004 at 07:27:51PM +0300, Dmitry V. Levin wrote:
> Конечно убирать CONFIG_HARDEN_SHM не надо.
> 
> Если из-за включённого CONFIG_HARDEN_SHM что-то не работает, то это что-то
> наверняка кривое.

В качестве примера был приведён модуль IPC::ShareLite (он, правда,
от 04 Dec 2002), а также некий closed-source софт.

Вообще-то в описании это опции написано "this breaks the way things
are defined" - конечно, SysV IPC сам по себе кривейшая вещь, но
ломать его совсем... как-то не совсем правильно.

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [d-kernel] CONFIG_HARDEN_SHM

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 707 bytes --]

On Thu, Mar 25, 2004 at 06:44:02PM +0200, Michael Shigorin wrote:
> On Thu, Mar 25, 2004 at 07:27:51PM +0300, Dmitry V. Levin wrote:
> > Если из-за включённого CONFIG_HARDEN_SHM что-то не работает, то
> > это что-то наверняка кривое.
> 
> Проблема в том, что легче сменить -- излишне закрученные гайки
> (вместе с остальными причиндалами) или то, что хлеб зарабатывает.

Без хорошо закрученных гаек нынче никак нельзя.

> Если правильно помню, речь шла о кластере.  Обычно в таких местах
> безопасность обеспечивается более эффективными средствами.

Например, человек с ружьём?

> Еще раз: продукт должен быть управляем.  Мир слишком сложен для
> жестких конструкций.

Ага.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [d-kernel] CONFIG_HARDEN_SHM

[Alexander Bokovoy]

On Thu, Mar 25, 2004 at 07:50:13PM +0300, Dmitry V. Levin wrote:
> On Thu, Mar 25, 2004 at 06:44:02PM +0200, Michael Shigorin wrote:
> > On Thu, Mar 25, 2004 at 07:27:51PM +0300, Dmitry V. Levin wrote:
> > > Если из-за включённого CONFIG_HARDEN_SHM что-то не работает, то
> > > это что-то наверняка кривое.
> > 
> > Проблема в том, что легче сменить -- излишне закрученные гайки
> > (вместе с остальными причиндалами) или то, что хлеб зарабатывает.
> 
> Без хорошо закрученных гаек нынче никак нельзя.
> 
> > Если правильно помню, речь шла о кластере.  Обычно в таких местах
> > безопасность обеспечивается более эффективными средствами.
> 
> Например, человек с ружьём?
Да. На самом деле, в кластерных решениях среда обычно trusted внутри
кластера. Там производительность важна.
 
> > Еще раз: продукт должен быть управляем.  Мир слишком сложен для
> > жестких конструкций.
> 
> Ага.
Давай все же сделаем галку в /proc?


-- 
/ Alexander Bokovoy
Samba Team                      http://www.samba.org/
ALT Linux Team                  http://www.altlinux.org/
Midgard Project Ry              http://www.midgard-project.org/

Re: [d-kernel] CONFIG_HARDEN_SHM

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 934 bytes --]

On Thu, Mar 25, 2004 at 07:50:13PM +0300, Dmitry V. Levin wrote:
> > Если правильно помню, речь шла о кластере.  Обычно в таких
> > местах безопасность обеспечивается более эффективными
> > средствами.
> Например, человек с ружьём?

Да хоть девушка с веслом.  Лишь бы сеть куда попало не торчала и
физ. доступ этим самым веслом (...) регулировался.

Собственно, vsu@ уже высказал главную посылку: мы ломаем
стандарты или по крайней мере стараемся этого не делать?

Не хватает Castle, куда бы уходил излишний пар по закручиванию
гаек в дистрибутиве общего назначения (*) ко благу и
разработчиков, и пользователей _более_ безопасных решений.

(*) это с натяжкой -- в силу отсутствия поддерживаемого выпуска
    этого самого общего назначения, равно как и непротиворечивых
    известных планов по его выпуску в обозримое время.  Простите.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]