Hardened Gentoo, кто нибудь пользуется?

Вроде как затеялся потихоньку сервер пересобираю, вот думаю, может попробовать.

Если не ставить эксперименты на продакшене, то работает хорошо.

Конфигурацию ядра с kernel-seeds хочу взять, потому как всех нюансов сам точно не учту, toolchain пересобирается...

Упс, пересобрался, какой выбрать:

$ gcc-config -l
 [1] x86_64-pc-linux-gnu-4.5.3 *
 [2] x86_64-pc-linux-gnu-4.5.3-hardenednopie
 [3] x86_64-pc-linux-gnu-4.5.3-hardenednopiessp
 [4] x86_64-pc-linux-gnu-4.5.3-hardenednossp
 [5] x86_64-pc-linux-gnu-4.5.3-vanilla

?

В hardened ядре есть профили server, desktop, custom, etc. Достаточно выбрать.

newzenon написал:

Упс, пересобрался, какой выбрать:

text

$ gcc-config -l
 [1] x86_64-pc-linux-gnu-4.5.3 *
 [2] x86_64-pc-linux-gnu-4.5.3-hardenednopie
 [3] x86_64-pc-linux-gnu-4.5.3-hardenednopiessp
 [4] x86_64-pc-linux-gnu-4.5.3-hardenednossp
 [5] x86_64-pc-linux-gnu-4.5.3-vanilla

?

[1]

"Macumazan" написал:

[1]

А он hardened? Хотя флаг после переключения профиля у gcc появился.

$ emerge -pv binutils glibc gcc
These are the packages that would be merged, in order:
Calculating dependencies... done!
[ebuild   R    ] sys-devel/binutils-2.21.1-r1  USE="cxx nls zlib -multislot -multitarget -static-libs -test -vanilla" 0 kB
[ebuild   R    ] sys-libs/glibc-2.14.1-r3  USE="hardened (multilib) -debug -gd -profile (-selinux) -vanilla" 0 kB
[ebuild   R    ] sys-devel/gcc-4.5.3-r2  USE="cxx gtk hardened mudflap (multilib) nls nptl openmp (-altivec) -bootstrap -build -doc (-fixed-point) -fortran -gcj -graphite (-libssp) -lto -multislot -nocxx -nopie -nossp -objc -objc++ -objc-gc -test -vanilla" 0 kB

Я пользуюсь hardened Gentoo. Из профилей GCC выбирай первый. nopie, nopiessp и nossp - профили, в которых отключены некоторые hardened-специфичные фишки, на случай, если вдруг какая-нибудь вещь не будет собираться первым; vanilla - соответственно все отключено, обычный GCC.

По поводу ядра: есть набор патчей специально для hardened Gentoo.
sys-kernel/hardened-sources

"bobr" написал:

sys-kernel/hardened-sources

Это само собой, просто конфиг возьму отсюда http://kernel-seeds.bloodnoc.org/seeds/64_bit/hardened/
Или делись :)
ы. Насколько я понял при

kernel.grsecurity.disable_modules = 1
kernel.grsecurity.grsec_lock = 1

modprobe уже не прокатит

newzenon написал:

ы. Насколько я понял при

text

kernel.grsecurity.disable_modules = 1
kernel.grsecurity.grsec_lock = 1

modprobe уже не прокатит

Вот это я, если честно, даже не знаю.

мой конфиг,если нужен.

Для эксперимента пробовал на десктопе.
В целом, всё нормально, правда некоторый софт тупо отказался работать. Но это на десктопе, для сервера - в самый раз.

"newzenon" написал:

А он hardened? Хотя флаг после переключения профиля у gcc появился.

Да. Причем со всеми механизмами. По-сути, можно переключаться между двумя профилями - первым и ванильным.
Последний включается только в тех случаях, когда какой-то пакет не хочет собираться. В основном в случае чего-то бинарного.
Промежуточные - отключение PIE/SSP, или и того, и другого.