Какой сейчас state of the art в плане огораживания скайпика от остальной системы? Хочу, чтобы оно могло только читать ввод с клавиатуры и тыкаться на свои сервера.
inb4 tox
apparmor
#FEHGYH/VTZ
/ @xenomorph
/ 3732 дня назад
или selinux настроить
#FEHGYH/4NQ
/ @xenomorph
/ 3732 дня назад
посадить его в filesystem+process+network namespace?
#FEHGYH/0CW
/ @qnikst
/ 3732 дня назад
apparmor
#FEHGYH/WM5
/ @anonim
/ 3732 дня назад
@anonim Или docker, более анально огродить чтобы.
#FEHGYH/B9V
/ @anonim
-->
#FEHGYH/WM5
/ 3732 дня назад
@qnikst Это cgroups что ли?
#FEHGYH/KAG
/ @minoru
-->
#FEHGYH/0CW
/ 3732 дня назад
@minoru Нет, цгруппы тут почти ни при чем. пространства имён это фишка в ядре, через которую работают lxc, докеры и прочее. Если системд - то можешь посмотреть ns-spawn (или как-то похоже зовется) иначе - man unshare. я сам все ленюсь для скайпа такую коробку сделать.
#FEHGYH/DES
/ @qnikst
-->
#FEHGYH/KAG
/ 3732 дня назад
если совсем поехавший - можешь сисколы фильтровать через bpf
#FEHGYH/LV1
/ @plhk
/ 3732 дня назад
xnest не забудь
#FEHGYH/2BL
/ @plhk
/ 3732 дня назад
Я придумал сетап вида "сендбокс из инструментария lxc + иксы через openssh", но мне стало лень реализовывать.
#FEHGYH/S1P
/ @l29ah
/ 3732 дня назад
@l29ah По идее, это строк тридцать баша.
#FEHGYH/7L1
/ @l29ah
-->
#FEHGYH/S1P
/ 3732 дня назад
@plhk Оверкилл.
#FEHGYH/2LM
/ @l29ah
-->
#FEHGYH/2BL
/ 3732 дня назад
@plhk > Xnest is a nested X server that simply relays all its requests to another X server
> simply relays all its requests
То есть оно все равно будет в состоянии зырить мой буффер обмена и логировать нажатые кнопочки? И смысл тогда?
#FEHGYH/QGT
/ @minoru
-->
#FEHGYH/2BL
/ 3732 дня назад
@qnikst Спасибо, погляжу.
#FEHGYH/C7X
/ @minoru
-->
#FEHGYH/DES
/ 3732 дня назад
Про apparmor, selinux и docker тоже читну (со вторым даже сталкивался, так что присмотрюсь повнимательней). @xenomorph, @anonim, спасибо!
#FEHGYH/AX0
/ @minoru
/ 3732 дня назад
@minoru Напишешь что-то - поделись с бнвачиком.
#FEHGYH/W9J
/ @l29ah
-->
#FEHGYH/C7X
/ 3732 дня назад
@minoru на Лоре даже кто-то политики писал, но фиг тред найдёшь..
#FEHGYH/SDL
/ @qnikst
-->
#FEHGYH/AX0
/ 3732 дня назад
@minoru http://huick.bitcheese.net/p/thhzs
#FEHGYH/1J5
/ @xenomorph
-->
#FEHGYH/AX0
/ 3732 дня назад
@l29ah «Сендбокс из инструментария lxc» — это тупо контейнер с запущенным в нём скайпиком и sshd? Как ты предполагал ограничивать сетевую активность? Фаерволл самого контейнера для этого юзать вроде глупо, а фаерволл хоста ради этой хуеты трогать не охота.
#FEHGYH/KDF
/ @minoru
-->
#FEHGYH/S1P
/ 3732 дня назад
@xenomorph Вот спасибки!
#FEHGYH/C6O
/ @minoru
-->
#FEHGYH/1J5
/ 3732 дня назад
@minoru Там \#include распидорасило
#FEHGYH/CIH
/ @xenomorph
-->
#FEHGYH/C6O
/ 3732 дня назад
@qnikst В apparmor-profiles должен лежать профиль для скайпа.
#FEHGYH/DF2
/ @anonim
-->
#FEHGYH/SDL
/ 3732 дня назад
@anonim В дебиановском по крайней мере лежит, вот содержание http://0bin.net/paste/Ev1sgLt3eE9PoQS4#DWjdAVLsyaG4H7ayWCpVtRcH25K7basMHzj4N5RlxHE
#FEHGYH/8W4
/ @anonim
-->
#FEHGYH/DF2
/ 3732 дня назад
@minoru Что такое "контейнер"? Я подразумевал то же, что и @qnikst. Сетевую активность скайпа хуй ограничишь, я бы ничего делать не стал.
#FEHGYH/4SR
/ @l29ah
-->
#FEHGYH/KDF
/ 3732 дня назад
@l29ah Стоп, ты рассуждаешь об огораживании процессов, не имея понятия о виртуализации и контейнерах? O_O
Но ок, я понял, что именно ты хотел сделать.
#FEHGYH/LSB
/ @minoru
-->
#FEHGYH/4SR
/ 3732 дня назад
Бум: https://github.com/tomparys/docker-skype-pulseaudio
Или уже чуть меньше танцев, но (может) и меньше понимания: https://github.com/shofetim/docker-skype
#FEHGYH/ULS
/ @lord
/ 3731 день назад
Цоперайт © 2010-2016 @stiletto.