Pavel Cahyna wrote:
> Ostatne k cemu by bylo dobre mit securelevel = 2 a pritom povolit primy
> pristup k hardwaru? Graficke karty maji (obvykle) DMA. Staci jim rict aby
> udelaly DMA na libovolne misto v pameti jadra a tim prepsat libovolnou
> promennou. Cely securelevel a verified exec je pak nanic. Z tohoto pohledu
> je nebezpecny i aperture driver - neb povoluje pristup ke grafarne na
> libovolnem securelevelu. 

Jasne, mate pravdu, nejak mi to nedoslo :)

> Pokud chcete doufat ze toho zadny hacker nebude schopen vyuzit, mozna by
> nejaka graficka karta a jeji ovladac v XFree86 podporovaly ovladani bez
> pouziti I/O portu. Co mate ted za kartu?

Je to Nvidia FX 5200. Asi by to bylo spravne, pouzivat na desktopu 
seclevel 2 s veriexecem atd., pokud se clovek pripojuje na server, ale 
je pravda, ze na tom desktopu zase nebezi zadne sluzby a kdyz clovek 
nepracuje pod rootem, nic noveho se neinstaluje, instalovany soft 
neobsahuje zname chyby, seclevel 1, veriexec, ruzne append a immutable 
flags apod., tak by to snad melo byt ok. Jen jsem zkousel z toho dostat 
maximum :)

> (Nevim tedy jestli AGP ten pristup pres DMA nemuze nejak omezit,
> kazdopadne problem s pristupem na I/O porty se netyka jen grafaren ale i
> treba radice disku. Cili je jedine spravne ze je to na vysokem
> securelevelu zakazano.)

Ok, diky.

r.