Ста Деюс <sthu.deus@openmailbox.org> writes: > Доброго времени суток. > > > Хочу спросить вашего совета с целью выбора наиболее безопасного > варианта. > > Идея: разделить функционал использования ЭВМ: сетевые приложения > пользователя (паутина, почта, болтовня в РВ, и т.п.) и остальные > настольные приложения -- с целью обезопасить данные от возможных > проникновений их Сети . -- Хорошо бы использовать две ЭВМ, но сейчас > вопрос стоит осуществить, пусть более опасное решение, но на одной ЭВМ. > > Я остановился на рассмотрении технологий: KVM, Xen, изолированный > контейнер. Но, может, вы иное предложите. > > Итак, какую технологию вы бы посоветовали и почему? Как уже правильно заметил Артём Чуприна, с точки зрения безопасности подойдёт любая из систем. Надо всё-таки понимать, что даже если Ваш, например, браузер, загружает из сети и тут же выполняет без проверки какой-нибудь вредоносный JavaScript, или несвободный flash-плагин из-за очередной уязвимости допускает атаку на Вашу систему, - в 99% случаев эксплоиты такого рода окажутся заточены под атаку хост-системы, и не будут пытаться выйти за границы песочницы. Именно для этих задач разрабатывался schroot. Он позволяет создать энное количество песочниц, в которых непривилегированные пользователи смогут запускать приложения. Предоставляется довольно высокая степень изоляции: Вы можете, например, не предоставлять виртуальному окружению доступа к /dev или /tmp. Есть мнение, что полноценные виртуалки надёжнее, но с этим утверждением можно и поспорить. К тому же, не все процессоры поддерживают виртуализацию, и запуск полноценных виртуалок на них - задача очень накладная. Единственный минус изолированного запуска программ - это общение со внешней системой. Вот загрузили Вы, например, pdf-файл, а в браузере нет кнопки "открыть в evince", потому что evince у Вас во внешней системе. Естественным способом общения с такой программой будет связанный каталог (например ~/tmp), доступный из обеих систем одновременно.
Attachment:
pgpvaHwi7YZQ3.pgp
Description: PGP signature