bezpečnost použití BOINC klienta

[omzul]

Zdravím
Zajímalo by mne, nakolik je bezpečné či naopak riskantní používat BOINC. Ono vlastně nejde až tak o mne, jako o našeho admina, kde krom standardního odporu k instalaci čehokoliv zbytného přijde na 100% námitka - "Je to bezpečnostní díra!", na čemž u SW komunikující s vnějším světem asi něco bude
V takové situaci patrně nejsem sám => najde se někdo, kdo by na tohle dokázal odpovědět?
Určitě by stálo za to problém rozdělit na uživatelské stanice s přístupem na Internet (pochybuji, že tam může být hůř) a nudou zívající servery (rozdělit to dle pozice k firewallu?)
Díky moc

[Bubak]

Zdravím
Zajímalo by mne, nakolik je bezpečné či naopak riskantní používat BOINC. Ono vlastně nejde až tak o mne, jako o našeho admina, kde krom standardního odporu k instalaci čehokoliv zbytného přijde na 100% námitka - "Je to bezpečnostní díra!", na čemž u SW komunikující s vnějším světem asi něco bude
V takové situaci patrně nejsem sám => najde se někdo, kdo by na tohle dokázal odpovědět?
Určitě by stálo za to problém rozdělit na uživatelské stanice s přístupem na Internet (pochybuji, že tam může být hůř) a nudou zívající servery (rozdělit to dle pozice k firewallu?)
Díky moc

Ahoj a vitej ve foru.
Co se tyce bezpecnosti si tu precti par threadu, kde se to rozebiralo.
Ja presvedcovat admina (takze sam sebe), tak mu navrhnu, ze boinc core pobezi pod nejakym user uctem a bude mit pravo cist a zapisovat jen do sveho adresare. BOINCu to bohate staci a snizi se tim riziko napadeni systemu. Btw. neco takoveho se chysta v BOINC 6.x.
Dalsi (teoreticke) riziko je bezici program za FW komunikujici na internet. Ale vzhledem k tomu, ze BOINC ma otevrene zdrojaky, tak by se toho Admin snad nemusel tolik bat, jelikoz komunikuje jen BOINC core a ne aplikacni program.

Co se tyka nejakeho deleni, je myslim zbytecne. Proste nejake (podle me nepatrne) riziko tu je a jde jen o to jestli ho akceptujes na clientech, nebo i na serverech.
FW bych do toho nemichal. BOINC komunikuje standartne pomoci http protokolu a vetsina FW az na vyjimky BOINCu nedela problemy.

[Honza]

Souhlasim s Bubakem.

Dat BOINCu pristup pouze do slozky, kde se nachazi. Mozna jej ani neinstalovat, ale pouze rozkopirovat, cimz se snizi pocet zapisu do registru etc.
Sandboxing se na Windows opravdu chysta, v Linuxu a verzi pro Mac uz jsou na tom snad dal.

Castym argumenetem muze byt potencionalni zpomalovani pocitace - tomu se da predejit vhodnou volbou zapojenych projektu podle narocnosti na pamet, traffic do internetu ci naroky na disk; posledne jmenovane asi dnes neni problem.

[vejpuste]

Taky jsem sam sobe adminem a z hlediska bezpecnosti muzes udelat nasledujici :
Boinc bezici pod vyhrazenym uzivatele s omezenymi pravy (bylo zmineno)
Nastaveni hesla a omezeni IP adres pro komunikaci s BOINCem.
FW na stanici s omezenim IP adres pro pristup na port, kde bezi BOINC. (pro nekoho duplicitni, ale nicemu neskodi)
Komunikace z Boincu pres proxy, kde se da veskera komunikace filtrovat a sledovat.

Paranoidni, ale naprosto funkcni. Ve SQUIDu mam omezene kam se pocitace s BOINCem smi divat a ostatni je zakazane.
Samozrejme je potreba pri pridani projektu nezapomenou pridat pravidlo do SQUIDu, ale to si brzo vsimnes, ze nemuze komunikovat.
Vedlejsi produkt je, ze poznas kolik dat BOINCem protece. Maximum jsem zatim mel malo pres 5GB/mesic.

Pokud tohle vsechno admin nastavi, tak je bezpecnostni riziko minimalni.
Libor

[Bubak]

...
Paranoidni, ale naprosto funkcni. Ve SQUIDu mam omezene kam se pocitace s BOINCem smi divat a ostatni je zakazane.
Samozrejme je potreba pri pridani projektu nezapomenou pridat pravidlo do SQUIDu, ale to si brzo vsimnes, ze nemuze komunikovat.
Vedlejsi produkt je, ze poznas kolik dat BOINCem protece. Maximum jsem zatim mel malo pres 5GB/mesic.

Pokud tohle vsechno admin nastavi, tak je bezpecnostni riziko minimalni.
Libor

Tohle mi docela zaujalo. Ty mas spustenej jeden squid jen pro BOINC? Nejak mi nenapada jak bys jinak rozlisoval komunikaci BOINCu od komunikace browseru...

[omzul]

Taky jsem sam sobe adminem a z hlediska bezpecnosti muzes udelat nasledujici..

Díky moc, ale problém je právě v tom, že NEjsem adminem a rád bych prosadil něco, čemu se ten náš bude vzpírat
Proto se přimlouvám za vznik dokumentu typu HowTo, na kterém by se komunita krutých proháněčů procesorů +/- shodla, ať by již řešil instalaci z pohledu bezpečnosti či výkonu, jak zmiňuje Honza

Castym argumenetem muze byt potencionalni zpomalovani pocitace

Myslím, že by to mohlo ovlivnit váhající a ulehčit život začínajícím

[vejpuste]

...
Paranoidni, ale naprosto funkcni. Ve SQUIDu mam omezene kam se pocitace s BOINCem smi divat a ostatni je zakazane.
Samozrejme je potreba pri pridani projektu nezapomenou pridat pravidlo do SQUIDu, ale to si brzo vsimnes, ze nemuze komunikovat.
Vedlejsi produkt je, ze poznas kolik dat BOINCem protece. Maximum jsem zatim mel malo pres 5GB/mesic.

Pokud tohle vsechno admin nastavi, tak je bezpecnostni riziko minimalni.
Libor

Tohle mi docela zaujalo. Ty mas spustenej jeden squid jen pro BOINC? Nejak mi nenapada jak bys jinak rozlisoval komunikaci BOINCu od komunikace browseru...

Proxy je nastavena v Boincu a s nastavenim IE to nema nic spolecneho.
Proxy pro Boinc je na mem stroji, takze si veskere nastaveni ridim sam.
Pokud by's chtel vyuzivat proxy z prohlizece i z BOINCu na stejnem serveru, tak by bylo jedine reseni spustit na nem 2 proxy na ruznych portech a pomoci portu regulovat pres kterou co pojede. Taky by to nemel byt problem, ale to ja neresim.
Libor

[vejpuste]

Taky jsem sam sobe adminem a z hlediska bezpecnosti muzes udelat nasledujici..

Díky moc, ale problém je právě v tom, že NEjsem adminem a rád bych prosadil něco, čemu se ten náš bude vzpírat
Proto se přimlouvám za vznik dokumentu typu HowTo, na kterém by se komunita krutých proháněčů procesorů +/- shodla, ať by již řešil instalaci z pohledu bezpečnosti či výkonu, jak zmiňuje Honza

Castym argumenetem muze byt potencionalni zpomalovani pocitace

Myslím, že by to mohlo ovlivnit váhající a ulehčit život začínajícím

Kdyz musis vyjednavat, tak musis zvolit opatrnou taktiku a najit rovnovahu mezi tim, jak se boji ohrozeni bezpecnosti a jak je linej.
Kdyz mu reknes hned co vsechno muze udelat, tak si rekne, ze je to moc prace.
Kdyz mu budes nabizet opatreni dokud neusoudi, ze je to bezpecne, tak to pak treba skousne a nastavi.

Co se zpomalovani tyka, tak jsou opatreni 2.
Pouzivat projekt s umernym narokem na pamet oproti pameti v pocitaci. To resis Ty zvolenim projektu. Hlavne nesmi zacit swapovat, pak jde vsechno do kytek.
Muzes nastavit kolik % CPU muze BOINC pozrat a to funguje taky dost dobre. V BS to muzes nastavit individualne pro jednotlive masiny. Kdyz se nekomu zda, ze ho to zpomaluje, zkus snizit % nebo to na chvili vypnout.
Nemusi vsechno pocitat na 100%, hlavne kdyz pocita.
Libor

[omzul]

Jo, jo, jo To je přesně to, co bych rád znal - cestu k opačnému extrému běžné instalace tj. jak to udělat "echt" (bezpečnostně i co do stability užitečného výkonu serveru).
Dost mne zaujalo tohle

Hlavne nesmi zacit swapovat, pak jde vsechno do kytek.

Jak poznám, že si swapnul právě boinc proces?
Asi si teď dost zafantazíruji, ale je možné limitovat míru vytěžování procesoru jeho teplotou?

[Bubak]

...
Jak poznám, že si swapnul právě boinc proces?
Asi si teď dost zafantazíruji, ale je možné limitovat míru vytěžování procesoru jeho teplotou?

A neni to jedno kterej proces swapuje? Jakmile mas nedostatek RAM a system zacne masivne vyuzivat swap, tak jse vzdycky vykon dolu.
Ad teplota: To by snad mel resit nekdo jinej a ne BOINC ne? Tohle by mela byt prace pro BIOS, system, pripadne nejakou utikitku, ktera by se starala o teplotu CPU.

[Merlin]

Teplota CPU: při standartním "soft" nastavení procesoru není žádný problém, nárůst při využití 100% CPU je v řádu několika málo stupňů. Maximálně se přestane flákat CPU fan. Při overclockingu je to samozřejmě jinak, a to bych v tomto spojení neřešil. Utilita pro udržení nastavené teploty CPU? Nedochází mi praktický význam

[omzul]

K úvaze mne vedla zkušennost se starou verzí SETTI, která si brala vždy 100% - během pár vteřin najel větrák a i tak to hřálo jak potvora => tak jsem to občas použil na rychlé vybití baterek notebooku.. A když jsem byl na síti, tak někdy hluk větráčku dost rušil - řešil jsem to nějakým prográmkem, který mi SETTI vypínal a zapínal (současná verze to dělá asi přeci jen trošku líp - já měl historii CPU jak cimbuří ) Když u toho sedím, tak to mohu nějak vyšolíchat přes %, ale kdybych to prosadil na servery, mám obavy o klimačku, která je tak, tak Proto by se mi líbila možnost nastavení z hlediska příkonu procesoru. Či řečeno jinak - kritériem může být, že chlazení nepřejde na vyšší stupeň

[Xenostellar]

To půjde asi blbě, protože větráky si dost často řídí sama deska. Softwarově se daj řídit taky, třeba speedfan to umí, ale těžko to asi propojíš tak aby to řídilo i využití procesoru BOINCem. Zatim sem teda takovej program neviděl, ale zkus hledat. Nicméně pokud hledáš zábavu, tak by asi teoreticky šlo nějakej program udělat

Já jsem nedávno zkoušel BOINC na mym notebooku, a když se rozjel větrák, tak začal vydávat podobnej zvuk jako fén ETA z 80. let Chvíli jsem s tim laboroval a hluk byl jakš takš snesitelnej když jsem dovolil zpracovávát jen na jednom jádru a to ještě na 25% Takže BOINC z notebooku letěl.

[Bubak]

To ze by si BOINC core urcoval jak moc ma vytezovat CPU podle senzoru teploty a otacek ventilatoru mi neprijde jako dobrej napad. Jen by nabobtnal kod a stejne by to asi nikdy 100% nefungovalo. Napadlo mi ale, ze by BOINC core mohl umet nastavovat % vyuziti CPU pomoci RPC a stejne tak by mohl posilat info jak moc v danem okamziku vyuziva CPU. Pak by nebyl problem to nastavovat jinym programkem, ktery by pres ACPI hlidal tytu hodnoty a kterekoli jine.
Konkretni pripad mi napada treba u Asterisk ustredny. Tam je s BOINCem ten problem, ze pokud bezi vice hovoru, tak i proces s nejnizssi prioritou brzdi kodeky a hovor se kouskuje (nevim proc, teoreticky je to blbost, ale mam to vyzkouseny). Dal by se napsat daemon, ktery by na zaklade poctu probihajicich hovoru dynamicky snizoval CPU limit pro BOINC.


2 Honza: Co na to vyvojar BS core? Neslo by to tam prosadit?

[vejpuste]

Konkretni pripad mi napada treba u Asterisk ustredny. Tam je s BOINCem ten problem, ze pokud bezi vice hovoru, tak i proces s nejnizssi prioritou brzdi kodeky a hovor se kouskuje (nevim proc, teoreticky je to blbost, ale mam to vyzkouseny). Dal by se napsat daemon, ktery by na zaklade poctu probihajicich hovoru dynamicky snizoval CPU limit pro BOINC.
2 Honza: Co na to vyvojar BS core? Neslo by to tam prosadit?

Pozadavek na cmd ovladani BS jsem uz vznesl a byl shledan zajimavym. Az bude, tak budes mit po problemech a dynamicke nastavovani si muzes klidne udelat.
Libor