From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <vseleznv@altlinux.org>
Date: Wed, 24 Nov 2021 16:18:12 +0000
From: "Vladimir D. Seleznev" <vseleznv@altlinux.org>
To: ALT Linux Team development discussions <devel@lists.altlinux.org>
Message-ID: <YZ5lxBNXM4nguoAJ@portlab>
References: <20211118143605.742f6370@tower>
 <CAHRK1yPf-OABM4SyxdDwEgZdpTEMEM52TJ_MbpOm=Ua29S=iXg@mail.gmail.com>
 <YZ5iRg6br1NF8v57@portlab>
 <CAHRK1yPShWaGL=wbRpFoWvF=CggOcWohjAYKggu6NFfyg5vPCw@mail.gmail.com>
MIME-Version: 1.0
Content-Type: text/plain; charset=utf-8
Content-Disposition: inline
Content-Transfer-Encoding: 8bit
In-Reply-To: <CAHRK1yPShWaGL=wbRpFoWvF=CggOcWohjAYKggu6NFfyg5vPCw@mail.gmail.com>
Subject: Re: [devel] kernel.userns_restrict
X-BeenThere: devel@lists.altlinux.org
X-Mailman-Version: 2.1.12
Precedence: list
Reply-To: ALT Linux Team development discussions <devel@lists.altlinux.org>
List-Id: ALT Linux Team development discussions <devel.lists.altlinux.org>
List-Unsubscribe: <https://lists.altlinux.org/mailman/options/devel>,
 <mailto:devel-request@lists.altlinux.org?subject=unsubscribe>
List-Archive: <http://lists.altlinux.org/pipermail/devel>
List-Post: <mailto:devel@lists.altlinux.org>
List-Help: <mailto:devel-request@lists.altlinux.org?subject=help>
List-Subscribe: <https://lists.altlinux.org/mailman/listinfo/devel>,
 <mailto:devel-request@lists.altlinux.org?subject=subscribe>
X-List-Received-Date: Wed, 24 Nov 2021 16:18:13 -0000
Archived-At: <http://lore.altlinux.org/devel/YZ5lxBNXM4nguoAJ@portlab/>
List-Archive: <http://lore.altlinux.org/devel/>
List-Post: <mailto:devel@altlinux.org>

On Wed, Nov 24, 2021 at 07:08:41PM +0300, Vladimir Didenko wrote:
> ср, 24 нояб. 2021 г. в 19:03, Vladimir D. Seleznev:
> >
> >
> > Там же написано: make sure that ... chrome-sandbox is owned by root and
> > has mode 4755. В Сизифе тот же chromium упакован так, что на
> > chrome-sandbox установлен suid-бит.
> 
> Я suid бит на Mattermost в здравом уме ставить не буду.

Дозволенный userns для непревилегированных пользователей — всё равно,
что suid на каждый executable в системе. Я, конечно, немного утрирую и
предвзят, но практика показывает, что userns — это не подходящий
механизм безопасности.

> > Я за secure by default.
> 
> Это спорно, что сделанное изменение сделает пользователю более
> безопасно. Тот же Brave без user namespaces просто выключает sandbox -
> где тут безопасность? Если верить
> 
> https://lists.debian.org/debian-kernel/2020/03/msg00237.html
> 
> то Firefox в этом случае тоже тихо выключит sandbox. Это тоже
> безопаснее для пользователя?

Так и же без suid-бита brave просто молча выключает sandbox. Если
выставить suid-бит, то будет сендбокситься.

-- 
   WBR,
   Vladimir D. Seleznev