чем тебя grsecurity заебал?

>анальная тюрьма В докере можно запускать. @4da говорил, что скайп там работает.

@ckorzhik докер недостаточно анален же

@stiletto а что по этому поводу можно почитать? Например, что скайп может сделать из докера? //докер еще не юзал

@stiletto Тем, что там не установить дефолтовое разрешение всего для всех.

@ckorzhik я безотносительно скайпа https://news.ycombinator.com/item?id=7909622 ← тут была/есть возможность побега из контейнера внутриконтейнерному руту с ответом от мейнтейнера "анальте докер аппарморами и селинупсами или не давайте приложениям рута в контейнере" ну и вообще была портянка https://docs.docker.com/articles/security/ со ссылками

@l29ah там нет возможности ограничить только определенные приложения? если нет - пиздуй в аппармор

@stiletto спасибо.

@ckorzhik Неконфигурябельно.

@stiletto Утилита конфигурации будет выёбываться, что у тебя дыры в безопасности. В #grsecurity сказали, что можно её руками запатчить и всё будет работать, но мне стало лень.

Поставь винду.

@romme Винда ВСЯ считает себя умнее меня.

@stiletto Держи кароч: # cat /etc/apparmor.d/opt.bin.skype # Last Modified: Thu Mar 12 13:20:25 2015 #include <tunables/global> /opt/bin/skype { #include <abstractions/audio> #include <abstractions/base> #include <abstractions/dbus-session> #include <abstractions/fonts> #include <abstractions/gnome> #include <abstractions/nameservice> #include <abstractions/ssl_certs> #include <abstractions/X> /opt/bin/skype mr, owner @{HOME}/.Skype/ rw, owner @{HOME}/.Skype/** krw, #owner @{HOME}/.config/ r, #owner @{HOME}/.config/*/ r, owner @{HOME}/.config/Skype/Skype.conf krw, owner @{HOME}/.config/Trolltech.conf kr, /usr/share/skype/** kr, /usr/share/skype/**/*.qm mr, /usr/share/skype/sounds/*.wav kr, owner @{HOME}/.Xdefaults r, @{PROC}/sys/kernel/{ostype,osrelease} r, /sys/class/power_supply/ r, /sys/devices/**/power_supply/**/online r, /sys/devices/system/cpu/ r, /sys/devices/system/cpu/cpu[0-9]*/cpufreq/scaling_{cur_freq,max_freq} r, owner @{PROC}/[0-9]*/status r, owner @{PROC}/[0-9]*/task/ r, /usr/lib/@{multiarch}/pango/** mr, /etc/pango/@{multiarch}/* mr, owner /{dev,run}/shm/pulse-shm* m, /usr/bin/pulseaudio Pixr, deny @{HOME}/.mozilla/ r, deny /dev/ r, deny @{PROC}/*/fd/ r, deny @{PROC}/*/net/arp r, deny @{PROC}/*/cmdline r, }

@stiletto Уау // вообще мне для браузера и cgoban, но может пригодится.

@stiletto там две закомментированные строчки с @{HOME}/.config -- я считаю, что ему нехуй туда ходить. ты можешь по-другому сделать

@l29ah меня в аппарморе бесит невозможность нормально разграничивать доступ к /proc/ например сказать "только к процессам в одном профиле" или "только к процессам-потомкам" или "только к себе" самое узкое что можно сделать - "только к процессам созданным тем же пользователем"

Аппармор,

А вдруг ты - это не ты, а злоумышленник, который ослабляет защиту?

@stiletto Сам писал?