<font face="arial" size="2"><p style="margin:0;padding:0;font-family: arial; font-size: 10pt; overflow-wrap: break-word;">I don't disagree about using containers being useful as one of many security mechanisms. They are useful against certain attack vectors, but depend on two things: 1) kernel correctness, and 2) putting all functionality in separate userspace processes to satisfy the "principle of least privilege".</p>
<p style="margin:0;padding:0;font-family: arial; font-size: 10pt; overflow-wrap: break-word;"> </p>
<p style="margin:0;padding:0;font-family: arial; font-size: 10pt; overflow-wrap: break-word;">-----Original Message-----<br />From: "Dave Taht" <dave.taht@gmail.com><br />Sent: Thursday, January 4, 2018 5:04pm<br />To: "dpreed@deepplum.com" <dpreed@deepplum.com><br />Cc: "Joel Wirāmu Pauling" <joel@aenertia.net>, "Jonathan Morton" <chromatix99@gmail.com>, cerowrt-devel@lists.bufferbloat.net<br />Subject: Re: [Cerowrt-devel] KASLR: Do we have to worry about other arches than x86?<br /><br /></p>
<div id="SafeStyles1515103806">
<p style="margin:0;padding:0;font-family: arial; font-size: 10pt; overflow-wrap: break-word;">On Thu, Jan 4, 2018 at 2:02 PM, dpreed@deepplum.com <dpreed@deepplum.com> wrote:<br />> Containers and kernel namespaces, and so forth are MEANINGLESS against the<br />> Meltdown and Sceptre problems. It's a hardware bug that lets any userspace<br />> process access anything the kernel can address.<br /><br />Just to be clear, I was merely agreeing with joel that containers had<br />matured enough to be potentially usuable for some level of process<br />isolation and firewalling, not that it applied to coping with MeltRe.<br />><br />><br />><br />> -----Original Message-----<br />> From: "Joel Wirāmu Pauling" <joel@aenertia.net><br />> Sent: Thursday, January 4, 2018 4:52pm<br />> To: "Dave Taht" <dave.taht@gmail.com><br />> Cc: "Jonathan Morton" <chromatix99@gmail.com>,<br />> cerowrt-devel@lists.bufferbloat.net<br />> Subject: Re: [Cerowrt-devel] KASLR: Do we have to worry about other arches<br />> than x86?<br />><br />> Well as I've argued before Lede ideally should be using to Kernel Namespaces<br />> (poor mans containers) for at a minimum the firewall and per-interface<br />> routing instances.<br />><br />> The stuff I am running at home is mostly on cheap Atom board, so it's a<br />> matter of squeezing out unneeded cruft on the platform. Also I don't want to<br />> be admining centos/rhel servers at home.<br />><br />> On 5 January 2018 at 10:47, Dave Taht <dave.taht@gmail.com> wrote:<br />>><br />>> On Thu, Jan 4, 2018 at 1:44 PM, Joel Wirāmu Pauling <joel@aenertia.net><br />>> wrote:<br />>> ><br />>> ><br />>> > On 5 January 2018 at 01:09, Jonathan Morton <chromatix99@gmail.com><br />>> > wrote:<br />>> >><br />>> >><br />>> >><br />>> >> I don't think we need to worry about it too much in a router context.<br />>> >> Virtual server folks, OTOH...<br />>> >><br />>> >> - Jonathan Morton<br />>> >><br />>> > Disagree - The Router is pretty much synonymous with NFV<br />>> ><br />>> > ; I run my lede instances at home on hypervisors - and this is<br />>> > definitely<br />>> > the norm in Datacentres now. We need to work through this quite<br />>> > carefully.<br />>><br />>> Yes, the NFV case is serious and what I concluded we had most to worry<br />>> about - before starting to worry about the lower end router chips<br />>> themselves. But I wasn't aware that people were actually trying to run<br />>> lede in that, I'd kind of expected<br />>> a more server-like distro to be used there. Why lede in a NFV? Ease of<br />>> configuration? Reduced attack surface? (hah)<br />>><br />>> The only x86 chip I use (aside from simulations) is the AMD one in the<br />>> apu2, which I don't know enough about as per speculation...<br />>><br />>> --<br />>><br />>> Dave Täht<br />>> CEO, TekLibre, LLC<br />>> http://www.teklibre.com<br />>> Tel: 1-669-226-2619<br /><br /><br /><br />-- <br /><br />Dave Täht<br />CEO, TekLibre, LLC<br />http://www.teklibre.com<br />Tel: 1-669-226-2619</p>
</div></font>