From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: X-Spam-Checker-Version: SpamAssassin 3.4.1 (2015-04-28) on sa.local.altlinux.org X-Spam-Level: X-Spam-Status: No, score=0.8 required=5.0 tests=BAYES_00,DKIM_SIGNED, DKIM_VALID,DKIM_VALID_AU,FREEMAIL_FROM,FUZZY_XPILL autolearn=no autolearn_force=no version=3.4.1 DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=gmail.com; s=20161025; h=subject:to:references:from:message-id:date:user-agent:mime-version :in-reply-to:content-transfer-encoding:content-language; bh=5Xh3P+KhKu75yhTvAhpUhAQZS312g/712KwC+DfiyM8=; b=B86Na5cJVeNEN0dLFTrqNlukpCbdBfVRIXK3lImWaLJNkKcC4uFxalrBplkTdbEIjL Giot/xIFUZGpRuxlOEsQedUK25SNqcknim49NNdSF3WBsOTdSC7rFF3NtMez53BPmMCj gLKDMDgSSZIOTKWqroWl+NMYIACmr795hrU3OZogBdOpzjTJS6XDJ+EuBsEZ1TQc1mbh DnPe9i6zwfX2hpQ+walmdBsbLc0ooELlF0Es/q4MzBk2X/8zXZqbCdf/ipfqnu0x1W+O z8DVy0LmnjIACN0X6+sszy4r8DdeCa59CwrFZAaVuP+kCCd0q/3lCMsABbpYAU0zkP9m q6KQ== X-Google-DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=1e100.net; s=20161025; h=x-gm-message-state:subject:to:references:from:message-id:date :user-agent:mime-version:in-reply-to:content-transfer-encoding :content-language; bh=5Xh3P+KhKu75yhTvAhpUhAQZS312g/712KwC+DfiyM8=; b=ao1tNLobdvu/WrWP3+hdvBo2F+9T4QHm0DwJJejFhtKu2whY8xE94VU5rpBZRLfap/ MsSbTHSii/CZLCaJ6mPAMNMbUVtWjUDLwX/J9mQST4ZxsS8NAFvTxDr0rUXKZ1aec94Z 8kZ9E+7bSqHtjnNQrSj9cHms645aGt5FfLAFIeoWDlrOgafpC+qcasn1WNqLZym+DOHb YRI/dGzo4+hZLSl02tF8dZGRu1lhjlB31rHGxJaByaeXaKPJWvTHc6UVJGGrxBe7q7Tp 1nq9UCK+prJit3vDsY7gyjPDDISFV6u6xQK6RauiUdpu3UBnOMuDk8u5j1rr8AtMYrDy ZiHA== X-Gm-Message-State: AGRZ1gImdaTWemzQxWxE2GrbARSbr7jwyU6S/O4VLoTklBgbicbsu0rC 4BddlBhOVkfzGH5XtlbLvFH7BzTn X-Google-Smtp-Source: AJdET5flIsb3/01JjOUhwjGGnYAT4V7UfY0w0wsskWMqZ50ST86dvrYtocClbXx9H22jiVFCaMJe1w== X-Received: by 2002:a2e:7011:: with SMTP id l17-v6mr10758167ljc.147.1541245451933; Sat, 03 Nov 2018 04:44:11 -0700 (PDT) To: ALT Linux Team development discussions References: <82b4938f-a23b-b51e-939d-9f74fa8703a2@altlinux.org> <4b5ab176-44ba-db98-e08b-b76146753494@gmail.com> <2612299.mELcP0gfiM@homerun.localdomain> From: Leonid Krivoshein Message-ID: Date: Sat, 3 Nov 2018 14:43:55 +0300 User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:52.0) Gecko/20100101 Thunderbird/52.8.0 MIME-Version: 1.0 In-Reply-To: <2612299.mELcP0gfiM@homerun.localdomain> Content-Type: text/plain; charset=utf-8; format=flowed Content-Transfer-Encoding: 8bit Content-Language: ru Subject: Re: [devel] =?utf-8?b?W3Npc3lwaHVzXSDQndC1INC/0LXRgNC10LrQu9GO0Yc=?= =?utf-8?b?0LDQtdGC0YHRjyDQsiDQs9GA0LDRhNC40YfQtdGB0LrQuNC5INGA0LXQttC4?= =?utf-8?b?0Lw=?= X-BeenThere: devel@lists.altlinux.org X-Mailman-Version: 2.1.12 Precedence: list Reply-To: ALT Linux Team development discussions List-Id: ALT Linux Team development discussions List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Sat, 03 Nov 2018 11:44:14 -0000 Archived-At: List-Archive: List-Post: 03.11.2018 07:01, Denis Medvedev пишет: > On суббота, 3 ноября 2018 г. 4:05:07 MSK Leonid Krivoshein wrote: >> [...] >> В этой связи возникла мысль использовать haveged только там, где >> действительно без него не обойтись. Следуя букве, >> /proc/sys/kernel/random/entropy_avail показывает размер уже накопленной >> энтропии в битах. Если данных в пуле мало, запускаем haveged. То есть >> это д.б. тест перед запуском haveged, прописанный где-то в его >> systemd-юните. >> >> man 4 random и >> https://pthree.org/2014/07/21/the-linux-random-number-generator/ > А если энтропии мало, может ее добавить естественным образом? Перед стартом X > запустить какую-нибудь штуку, которая случайно почитает-попишет (с пользой или > нет) с диска, к примеру? Что-нибудь типа легкого диск оптимизатора или fsck на > раздел /boot (он маленький)? haveged именно этим и занимается. Точнее, он это делает при фейле ioctl (RNDADDENTROPY), что на раннем старте значительно нагружает процессор прерываниями и диск фейковым вводом/выводом. В любом случае получается некое подобие псевдослучайности /dev/urandom, что по идее может быть менее секьюрно, чем /dev/random. А хотелось бы решить проблему так, чтобы: 1) не ухудшать безопасность -- на большинстве машин проблема никак не проявляется, чтение из /dev/random не приводит к подвисаниям на раннем старте; 2) на тех машинах, где проблема всё же проявляется, запускать haveged автоматически, но именно автоматика должна определять необходимость запуска при каждом старте. 3) в идеале со временем найти и заменить все места с чтением из /dev/random на вызов getrandom(2). Исходя из этого нужно: 1) определить значение длины минимально необходимой энтропии; 2) сделать тест длины энтропии и добавить его в systemd-unit для haveged; 3) включить haveged во все дистрибутивы. -- Best regards, Leonid Krivoshein.