[devel] systemd (journald + FSS)

[devel] systemd (journald + FSS)

[Alexey Shabalin]

День добрый.
Многие уже видели новость, что в journald добавили механизм цепочной
верификации записей FSS ( Forward Secure Sealing).
Для этого journald теперь линкуется с libgcrypt. А эта библиотека у
нас располагается в /usr/lib (или в /usr/lib64).
Стоит ли  просить перенести
libgcrypt.so.11.7.0
и
libgpg-error.so.0.8.0
в /lib (/lib64)
или отключить механизм FSS?


-- 
Alexey Shabalin

Re: [devel] systemd (journald + FSS)

[Dmitriy Kruglikov]

29 августа 2012 г., 13:21 пользователь Alexey Shabalin  написал:
> День добрый.
> Многие уже видели новость, что в journald добавили механизм цепочной
> верификации записей FSS ( Forward Secure Sealing).

Это хоть отключаемо?

На нагруженных серверах с активным журналированием предполагаю
тормоза, вплоть до заякорения...

iops не резиновый же ж ...

-- 
Best regards,
 Dmitriy Kruglikov.

Re: [devel] systemd (journald + FSS)

[Ildar Mulyukov]

On 29.08.2012 16:31:41, Dmitriy Kruglikov wrote:
> 29 августа 2012 г., 13:21 пользователь Alexey Shabalin  написал:
> > День добрый.
> > Многие уже видели новость, что в journald добавили механизм цепочной
> > верификации записей FSS ( Forward Secure Sealing).
> 
> Это хоть отключаемо?

Вряд ли. Но не думаю, что это проблема, если разобраться.
Просто в каждой записи появилось новое поле с хэшем предыдущей записи.  
Очень похоже на коммит в git.

> На нагруженных серверах с активным журналированием предполагаю
> тормоза, вплоть до заякорения...
> 
> iops не резиновый же ж ...

Полагаю, разница будет неразличимой. Впрочем, желающие могут провести  
дотошные тесты.

Мнение основано на публикациях о journald.
-- 
Ildar

Re: [devel] systemd (journald + FSS)

[Dmitriy Kruglikov]

29 августа 2012 г., 13:58 пользователь Ildar Mulyukov написал:

>> Это хоть отключаемо?
> Вряд ли. Но не думаю, что это проблема, если разобраться.
> Просто в каждой записи появилось новое поле с хэшем предыдущей записи.
Я, конечно, зануда и крохобор, но это всё ресурсы потребляет...
Оценка не количественная, но качественная.

> Очень похоже на коммит в git.
А нафига оно ножно? Может я чего-то не понимаю, но смысла в этом не вижу.


> Полагаю, разница будет неразличимой. Впрочем, желающие могут провести
> дотошные тесты.

Чует мой сенсор, что даже в случае обнаружения значительной нагрузки на систему
отключить это не получится...

А тут еще дождь вторые сутки...



-- 
Best regards,
 Dmitriy Kruglikov.

Re: [devel] systemd (journald + FSS)

[Ildar Mulyukov]

On 29.08.2012 17:07:37, Dmitriy Kruglikov wrote:
> 29 августа 2012 г., 13:58 пользователь Ildar Mulyukov написал:
> 
> >> Это хоть отключаемо?
> > Вряд ли. Но не думаю, что это проблема, если разобраться.
> > Просто в каждой записи появилось новое поле с хэшем предыдущей  
> записи.
> Я, конечно, зануда и крохобор, но это всё ресурсы потребляет...
> Оценка не количественная, но качественная.
> 
> > Очень похоже на коммит в git.
> А нафига оно ножно? Может я чего-то не понимаю, но смысла в этом не  
> вижу.

Таки эту информацию можно было найти самостоятельно.
http://www.opennet.ru/opennews/art.shtml?num=32347
Абзац со словами "гарантирования неизменности"

> > Полагаю, разница будет неразличимой. Впрочем, желающие могут  
> провести
> > дотошные тесты.
> 
> Чует мой сенсор, что даже в случае обнаружения значительной нагрузки  
> на систему
> отключить это не получится...
> 
> А тут еще дождь вторые сутки...

;)
-- 
Ildar

Re: [devel] systemd (journald + FSS)

[Dmitriy Kruglikov]

29 августа 2012 г., 21:34 пользователь Ildar Mulyukov  написал:

> Таки эту информацию можно было найти самостоятельно.
> http://www.opennet.ru/opennews/art.shtml?num=32347
> Абзац со словами "гарантирования неизменности"
>
Таки абзац со словами " Все логи будут проиндексированы и храниться в
бинарных файлах, к которым к сожалению будут неприменимы стандартные
утилиты обработки текстовых данных, например, grep."
для меня, лично, делает весьма сомнительным ценность такого механизма.

Будем, как в *инде, по одному событию, в специаотном окошке смотреть?

Необходимость дополнительных служб для обеспечения таких сервисов, как
Fail2Ban, которым нужны grep-абельные журналы приведет, опять же, к
росту нагрузки.

Весьма сомнительные новшества... И это уже не первое от этого автора...

Вместо того, чтобы предотвратить взлом, внедрять механизмы,
предотвращающие некоторые последствия взлома... Это, извините, как
лечить геморрой зеленкой...


-- 
Best regards,
 Dmitriy Kruglikov.

[devel] [JT] Re: systemd (journald + FSS)

[Michael Shigorin]

On Thu, Aug 30, 2012 at 09:42:52AM +0300, Dmitriy Kruglikov wrote:
> Весьма сомнительные новшества... И это уже не первое от этого автора...

Дим, к нему (точнее, Сиверсу) главная IMHO претензия --
комбайнёр, готовый пожертвовать проверенными принципами
ради сиюминутной эффективности.

См. тж. (текста много, но он того стоит):
http://lwn.net/Articles/411845/
http://lwn.net/Articles/412131/
http://lwn.net/Articles/414618/
http://lwn.net/Articles/416494/

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----        Sep 29, Kiev, Ukraine:
--       http://conference.osdn.org.ua

Re: [devel] [JT] Re: systemd (journald + FSS)

[Dmitriy Kruglikov]

30 августа 2012 г., 10:24 пользователь Michael Shigorin написал:

> Дим, к нему (точнее, Сиверсу) главная IMHO претензия --
> комбайнёр, готовый пожертвовать проверенными принципами
> ради сиюминутной эффективности.
Ну, не стал я яррылки на авторов вешать ...
И не в праве, и не авторов, а решения обсуждали...

> См. тж. (текста много, но он того стоит):
Издеваешься? Я ж по буржуйски только точки и запятые уверенно перевожу...
Иногда еще и цифры...

-- 
Best regards,
 Dmitriy Kruglikov.

Re: [devel] systemd (journald + FSS)

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 664 bytes --]

On Thu, Aug 30, 2012 at 09:42:52AM +0300, Dmitriy Kruglikov wrote:

DK> Вместо того, чтобы предотвратить взлом, внедрять механизмы,
DK> предотвращающие некоторые последствия взлома... Это, извините, как
DK> лечить геморрой зеленкой...

1. То что лог бинарный -- это у systemd-journal с рождения. В этом смысле
ничего не меняется.

2. Речь идет про обнаружение самого факта взлома. Модификация логов один
из способов скрыть факт взлома. 

У тебя на всех твоих серверах настроен syslog на выделенный сервер для
сбора логов?

-- 
С уважением, Денис

http://mithraen.ru/
----------------------------------------------------------------------------

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

[devel] [JT] syslog remote logging для ленивых

[Michael Shigorin]

On Thu, Aug 30, 2012 at 11:26:47AM +0400, Денис Смирнов wrote:
> У тебя на всех твоих серверах настроен syslog на выделенный
> сервер для сбора логов?

Кстати, альтераторный модулёк для такой настройки весьма прост,
да и вручную это одна строчка "...selector... @host" на клиенте
плюс " -r" в SYSLOGD_OPTIONS (/etc/sysconfig/syslogd сервера).

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----        Sep 29, Kiev, Ukraine:
--       http://conference.osdn.org.ua

Re: [devel] [JT] syslog remote logging для ленивых

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 478 bytes --]

On Thu, Aug 30, 2012 at 10:35:37AM +0300, Michael Shigorin wrote:

MS> Кстати, альтераторный модулёк для такой настройки весьма прост,
MS> да и вручную это одна строчка "...selector... @host" на клиенте
MS> плюс " -r" в SYSLOGD_OPTIONS (/etc/sysconfig/syslogd сервера).

Самое сложное это наличие второго сервера, да желательно в той же сети.

-- 
С уважением, Денис

http://mithraen.ru/
----------------------------------------------------------------------------

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] systemd (journald + FSS)

[Dmitriy Kruglikov]

30 августа 2012 г., 10:26 пользователь Денис Смирнов  написал:

> 1. То что лог бинарный -- это у systemd-journal с рождения. В этом смысле
> ничего не меняется.
Вот это мне и не нравится, и я уже причины перечислил.

>
> 2. Речь идет про обнаружение самого факта взлома. Модификация логов один
> из способов скрыть факт взлома.
Это как бы обнаружить факт взлома квартиры по факту наличия факта
сожранности мороженного в холодильнике...

> У тебя на всех твоих серверах настроен syslog на выделенный сервер для
> сбора логов?
Там, где это действительно нужно - да.
А там, где нужно за каждый такт процессора и за каждую ячейку памяти
бороться, то очень хочется
иметь возможность управлять процессом...
И я решаю, где нужно, а где нет. Потому как я админ и у меня есть мозг.

Иначе мы получим систему, которая будет вести супер-мега-гига-супер журналы,
но кроме этого больше ни чего не будет делать...

Кто у нас  в качестве "бутылочного горлышка" выступает чаще всего?
Правильно, диски...
А тут такая засада...
И тебе вычисление хешей, и компрессия, и какой-то ИИ для вычисления
периода ротации логов...
Это всё в памяти? Так я эту память для приложения покупал... В swap пойдем?

Хрен с ним, что эти логи нельзя быстро грепнуть и найти в них нужные строки...
Или присадить fail2ban следить за логами и защищать систему от вторжений.

Та и нахрена в те логи смотреть? За то бантик мы захренячим розовый, в
крапинку...


Ой, не трави душу...

-- 
Best regards,
 Dmitriy Kruglikov.

Re: [devel] systemd (journald + FSS)

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 2464 bytes --]

On Thu, Aug 30, 2012 at 10:39:55AM +0300, Dmitriy Kruglikov wrote:
>> 1. То что лог бинарный -- это у systemd-journal с рождения. В этом смысле
>> ничего не меняется.
DK> Вот это мне и не нравится, и я уже причины перечислил.

С этим не спорю. Хотя стоит вспомнить, что софту-то как раз удобнее
работать с бинарным логом, чем текстовым. А человеку -- наоборот.

Если будет удобный инструментарий -- конкретно это решение скорее фича.

>> 2. Речь идет про обнаружение самого факта взлома. Модификация логов один
>> из способов скрыть факт взлома.
DK> Это как бы обнаружить факт взлома квартиры по факту наличия факта
DK> сожранности мороженного в холодильнике...

Нет, это как обнаружить взлом квартиры по факту взломанного щитка
сигнализации.

DK> Там, где это действительно нужно - да.
DK> А там, где нужно за каждый такт процессора и за каждую ячейку памяти
DK> бороться, то очень хочется
DK> иметь возможность управлять процессом...
DK> И я решаю, где нужно, а где нет. Потому как я админ и у меня есть мозг.
DK> Иначе мы получим систему, которая будет вести супер-мега-гига-супер журналы,
DK> но кроме этого больше ни чего не будет делать...

Итог -- ты не против этих фич, как писал вначале, тебе достаточно
возможности отключить лишние ресурсоемкие фичи, так?

DK> Кто у нас  в качестве "бутылочного горлышка" выступает чаще всего?
DK> Правильно, диски...

...на которые systemd по-умолчанию вообще свои логи не пишет.

Кстати, вопрос к знатокам systemd, а его можно заставить логи пихать в
syslog или удаленный сервер логирования?

DK> А тут такая засада...
DK> И тебе вычисление хешей, и компрессия, и какой-то ИИ для вычисления
DK> периода ротации логов...

В предыдущей фразе ты пишешь про диски, и тут же против компрессии
(уменьшающей нагрузку на диски)? :)

DK> Это всё в памяти? Так я эту память для приложения покупал... В swap пойдем?

У него вообще-то на это дело лимиты.

DK> Хрен с ним, что эти логи нельзя быстро грепнуть и найти в них нужные строки...
DK> Или присадить fail2ban следить за логами и защищать систему от вторжений.
DK> Та и нахрена в те логи смотреть? За то бантик мы захренячим розовый, в
DK> крапинку...

:)

Слушай, я-ж тоже не фанат этого виндузячьего подхода. Но критиковать
все-таки стоит за конкретные недостатки, а не за все подряд ;)

-- 
С уважением, Денис

http://mithraen.ru/
----------------------------------------------------------------------------

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] systemd (journald + FSS)

[Dmitriy Kruglikov]

30 августа 2012 г., 10:49 пользователь Денис Смирнов
<mithraen@freesource.info> написал:

> С этим не спорю. Хотя стоит вспомнить, что софту-то как раз удобнее
> работать с бинарным логом, чем текстовым. А человеку -- наоборот.
Так на той страничке, куда меня любезно носом ткнули, русским по
белому написано, что API записи в тот лог будет..
А про API чтения ни слова не сказано...

А софта, ориентированного га обработку существующей системы
журналирования куча,
а для новой  системы кто писать будет?
У меня весма пессимистичный прогноз.


> Если будет удобный инструментарий -- конкретно это решение скорее фича.
Если автору хватит сил и ума обеспечить в своем продукте всё, чем
десятилетиями пользовались в той системе, которую он заменяет, то
да...

Но я осознаю разницу между фантастикой и фентези ;)

>
> Итог -- ты не против этих фич, как писал вначале, тебе достаточно
> возможности отключить лишние ресурсоемкие фичи, так?
Я с этого и начал... Спросил, можно ли сделать "это" отключаемым.

> Кстати, вопрос к знатокам systemd, а его можно заставить логи пихать в
> syslog или удаленный сервер логирования?
Можно .... Дублированием...
И на удаленный сервер с journal...

> Слушай, я-ж тоже не фанат этого виндузячьего подхода. Но критиковать
> все-таки стоит за конкретные недостатки, а не за все подряд ;)
Ой, я вас умоляю....
Чем вам не нравится вот эта конкретная пуговица? Шикарная пуговица...
И не важно, что ее на спину пришили .... Но крепко ж ;)


-- 
Best regards,
 Dmitriy Kruglikov.

Re: [devel] systemd (journald + FSS)

[Michael Shigorin]

On Thu, Aug 30, 2012 at 11:16:56AM +0300, Dmitriy Kruglikov wrote:
> > Слушай, я-ж тоже не фанат этого виндузячьего подхода. Но критиковать
> > все-таки стоит за конкретные недостатки, а не за все подряд ;)
> Ой, я вас умоляю....

Гражжне, айда в smoke-room@.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----        Sep 29, Kiev, Ukraine:
--       http://conference.osdn.org.ua

Re: [devel] systemd (journald + FSS)

[Sergey V Turchin]

[-- Attachment #1: Type: text/plain, Size: 906 bytes --]

On 30 августа 2012 11:16:56 Dmitriy Kruglikov wrote:
> 30 августа 2012 г., 10:49 пользователь Денис Смирнов
> 
> <mithraen@freesource.info> написал:
> > С этим не спорю. Хотя стоит вспомнить, что софту-то как раз удобнее
> > работать с бинарным логом, чем текстовым. А человеку -- наоборот.
> 
> Так на той страничке, куда меня любезно носом ткнули, русским по
> белому написано, что API записи в тот лог будет..
> А про API чтения ни слова не сказано...
http://lists.freedesktop.org/archives/systemd-devel/2011-December/003998.html
Здесь кое-что сказано.

[...]

-- 
Regards, Sergey.       ALT Linux, http://www.altlinux.ru/

[-- Attachment #2: This is a digitally signed message part. --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] systemd (journald + FSS)

[Mike Pluzhnikov]

[-- Attachment #1: Type: text/plain, Size: 1177 bytes --]

On 30 августа 2012 11:16:56 Dmitriy Kruglikov wrote:
> 30 августа 2012 г., 10:49 пользователь Денис Смирнов
> <mithraen@freesource.info> написал:
> 
> > С этим не спорю. Хотя стоит вспомнить, что софту-то как раз удобнее
> > работать с бинарным логом, чем текстовым. А человеку -- наоборот.
> Так на той страничке, куда меня любезно носом ткнули, русским по
> белому написано, что API записи в тот лог будет..
> А про API чтения ни слова не сказано...
> А софта, ориентированного га обработку существующей системы
> журналирования куча,
> а для новой  системы кто писать будет?
> У меня весма пессимистичный прогноз.
> 
man journalctl
 
-- 
С уважением, Михаил Плужников.
Отдел технической поддержки и внедрения, ALT Linux.

[-- Attachment #2: This is a digitally signed message part. --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] systemd (journald + FSS)

[Alexei Takaseev]

----- Исходное сообщение -----
> От: "Dmitriy Kruglikov" <dmitriy.kruglikov@gmail.com>
> Кому: "ALT Linux Team development discussions" <devel@lists.altlinux.org>
> Отправленные: Четверг, 30 Август 2012 г 16:39:55
> Тема: Re: [devel] systemd (journald + FSS)
> 
> Ой, не трави душу...

Так и обычный лог по ресурсам не росу кушает. И на активной записи коленки у системы может
прогнуть.

За fail2ban можно одно сказать - api у journald шапка вряд ли будет скрывать. И, если хорошо
подумать, то поиск нужного события в бинарном машиноориентированном файле из программ это
куда как менее дорогая операция, чем разбор человекоориентированного текста.

Re: [devel] systemd (journald + FSS)

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 596 bytes --]

On Thu, Aug 30, 2012 at 10:39:55AM +0300, Dmitriy Kruglikov wrote:

И так как никто из нас тут не собирается писать свой altsystemd, то
вариант-то лучший вместо обсуждения критики -- искать для себя решения
этих проблем, да на wiki публиковать. Как ни крути, а скоро нас в этот
systemd в любом случае пинками загонят апстримы.

По крайней мере на десктопе с его обязательностью уже стоит смириться. Ну
и на серверах плюсы от него тоже есть, не только минусы.

-- 
С уважением, Денис

http://mithraen.ru/
----------------------------------------------------------------------------

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] systemd (journald + FSS)

[Sergey V Turchin]

[-- Attachment #1: Type: text/plain, Size: 1077 bytes --]

On 30 августа 2012 09:42:52 Dmitriy Kruglikov wrote:
> 29 августа 2012 г., 21:34 пользователь Ildar Mulyukov  написал:
> > Таки эту информацию можно было найти самостоятельно.
> > http://www.opennet.ru/opennews/art.shtml?num=32347
> > Абзац со словами "гарантирования неизменности"
> 
> Таки абзац со словами " Все логи будут проиндексированы и храниться в
> бинарных файлах, к которым к сожалению будут неприменимы стандартные
> утилиты обработки текстовых данных, например, grep."
> для меня, лично, делает весьма сомнительным ценность такого механизма.
Только без чтения документации.
Я, например, про journalctl -f прочел ;-)

[...]

-- 
Regards, Sergey.       ALT Linux, http://www.altlinux.ru/

[-- Attachment #2: This is a digitally signed message part. --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] systemd (journald + FSS)

[Dmitriy Kruglikov]

30 августа 2012 г., 15:18 пользователь Sergey V Turchin  написал:

> Только без чтения документации.
> Я, например, про journalctl -f прочел ;-)

Я себе даже бубунту завел, чтоб попробовать с "этим" познакомиться...
Попутно:
https://bugzilla.redhat.com/show_bug.cgi?id=831665
или
https://bugs.freedesktop.org/show_bug.cgi?id=53582

Я пока хотел бы грепать текстовые логи....

Ну не готов пока  journal для использования...


-- 
Best regards,
 Dmitriy Kruglikov.

Re: [devel] systemd (journald + FSS)

[Sergey V Turchin]

[-- Attachment #1: Type: text/plain, Size: 260 bytes --]

On 30 августа 2012 15:46:41 Dmitriy Kruglikov wrote:

[...]
> Я пока хотел бы грепать текстовые логи....
А какие journalctl возвращает?

[...]

-- 
Regards, Sergey.       ALT Linux, http://www.altlinux.ru/

[-- Attachment #2: This is a digitally signed message part. --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] systemd (journald + FSS)

[Dmitriy Kruglikov]

30 августа 2012 г., 17:20 пользователь Sergey V Turchin написал:
> А какие journalctl возвращает?

Согласно https://bugzilla.redhat.com/show_bug.cgi?id=831665
текстово-обрезанные...
Вам такое нужно?

-- 
Best regards,
 Dmitriy Kruglikov.

Re: [devel] systemd (journald + FSS)

[Sergey V Turchin]

[-- Attachment #1: Type: text/plain, Size: 466 bytes --]

On 30 августа 2012 17:24:20 Dmitriy Kruglikov wrote:
> 30 августа 2012 г., 17:20 пользователь Sergey V Turchin написал:
> > А какие journalctl возвращает?
> 
> Согласно https://bugzilla.redhat.com/show_bug.cgi?id=831665
> текстово-обрезанные...
> Вам такое нужно?
Да. А чем вам "-a" не нравится?

-- 
Regards, Sergey.       ALT Linux, http://www.altlinux.ru/

[-- Attachment #2: This is a digitally signed message part. --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] systemd (journald + FSS)

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 633 bytes --]

On Thu, Aug 30, 2012 at 05:24:20PM +0300, Dmitriy Kruglikov wrote:

DK> Согласно https://bugzilla.redhat.com/show_bug.cgi?id=831665
DK> текстово-обрезанные...
DK> Вам такое нужно?

Обе баги, которые я прочитал:
1. ругань на то, что обязательно указание опции -a (при выводе не на tty
эта опция не включается сама).
2. отсутствие удобного набора сокращенных опций для часто используемых
параметров.

Т.е. это не баги а feature requests. Ценные и правильные, но -- feature
requests а не баги.

-- 
С уважением, Денис

http://mithraen.ru/
----------------------------------------------------------------------------

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] systemd (journald + FSS)

[Alexey Shabalin]

29 августа 2012 г., 14:21 пользователь Alexey Shabalin написал:
> День добрый.
> Многие уже видели новость, что в journald добавили механизм цепочной
> верификации записей FSS ( Forward Secure Sealing).
> Для этого journald теперь линкуется с libgcrypt. А эта библиотека у
> нас располагается в /usr/lib (или в /usr/lib64).
> Стоит ли  просить перенести
> libgcrypt.so.11.7.0
> и
> libgpg-error.so.0.8.0

и еще libqrencode

> в /lib (/lib64)
> или отключить механизм FSS?
>
>
> --
> Alexey Shabalin



-- 
Alexey Shabalin

Re: [devel] systemd (journald + FSS)

[Igor Zubkov]

2012/8/29 Alexey Shabalin:
> День добрый.
> Многие уже видели новость, что в journald добавили механизм цепочной
> верификации записей FSS ( Forward Secure Sealing).
> Для этого journald теперь линкуется с libgcrypt. А эта библиотека у
> нас располагается в /usr/lib (или в /usr/lib64).
> Стоит ли  просить перенести
> libgcrypt.so.11.7.0
> и
> libgpg-error.so.0.8.0
> в /lib (/lib64)
> или отключить механизм FSS?

Всё что в /bin, /sbin и /lib (/lib64) должно быть слинковано только с
тем что в /lib (/lib64).

Кстати:
# ldd /bin/rpm | grep "/usr/lib"
	librpm-4.0.4.so => /usr/lib64/librpm-4.0.4.so (0x00002ac32a78f000)
	librpmio-4.0.4.so => /usr/lib64/librpmio-4.0.4.so (0x00002ac32a9f2000)
	librpmdb-4.0.4.so => /usr/lib64/librpmdb-4.0.4.so (0x00002ac32ac1b000)
	librpmbuild-4.0.4.1.so => /usr/lib64/librpmbuild-4.0.4.1.so
(0x00002ac32b044000)
	libbeecrypt.so.7 => /usr/lib64/libbeecrypt.so.7 (0x00002ac32b622000)
	libelf.so.1 => /usr/lib64/libelf.so.1 (0x00002ac32c411000)
#

Одному мне кажется что эти библиотеки должны быть в /lib64?

-- 
Igor Zubkov
http://hi.im/ice

Re: [devel] systemd (journald + FSS)

[Led]

On Wednesday 29 August 2012 17:07:18 Igor Zubkov wrote:
> 2012/8/29 Alexey Shabalin:
> > День добрый.
> > Многие уже видели новость, что в journald добавили механизм цепочной
> > верификации записей FSS ( Forward Secure Sealing).
> > Для этого journald теперь линкуется с libgcrypt. А эта библиотека у
> > нас располагается в /usr/lib (или в /usr/lib64).
> > Стоит ли  просить перенести
> > libgcrypt.so.11.7.0
> > и
> > libgpg-error.so.0.8.0
> > в /lib (/lib64)
> > или отключить механизм FSS?
>
> Всё что в /bin, /sbin и /lib (/lib64) должно быть слинковано только с
> тем что в /lib (/lib64).
>
> Кстати:
> # ldd /bin/rpm | grep "/usr/lib"
> 	librpm-4.0.4.so => /usr/lib64/librpm-4.0.4.so (0x00002ac32a78f000)
> 	librpmio-4.0.4.so => /usr/lib64/librpmio-4.0.4.so (0x00002ac32a9f2000)
> 	librpmdb-4.0.4.so => /usr/lib64/librpmdb-4.0.4.so (0x00002ac32ac1b000)
> 	librpmbuild-4.0.4.1.so => /usr/lib64/librpmbuild-4.0.4.1.so
> (0x00002ac32b044000)
> 	libbeecrypt.so.7 => /usr/lib64/libbeecrypt.so.7 (0x00002ac32b622000)
> 	libelf.so.1 => /usr/lib64/libelf.so.1 (0x00002ac32c411000)
> #
>
> Одному мне кажется что эти библиотеки должны быть в /lib64?

Да, одному тебе так кажется.

ls -l /bin/rpm
lrwxrwxrwx 1 root root 14 июня  27 21:32 /bin/rpm -> ../usr/bin/rpm

-- 
Led

Re: [devel] systemd (journald + FSS)

[Michael Shigorin]

On Wed, Aug 29, 2012 at 02:21:17PM +0400, Alexey Shabalin wrote:
> или отключить механизм FSS?

Вот пусть устоится, IMHO.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----        Sep 29, Kiev, Ukraine:
--       http://conference.osdn.org.ua