* [Comm] ?: strict permissions on dirs & so on
@ 2003-08-27 6:29 Oleg K.Artemjev
2003-08-27 8:51 ` [Comm] " Alexey Tourbin
0 siblings, 1 reply; 25+ messages in thread
From: Oleg K.Artemjev @ 2003-08-27 6:29 UTC (permalink / raw)
To: community
AFAIR, есть в сузе такая замечательная вещь - файлики с правами на все в системе каталоги в различных
уровнях параноидальности. А у alt master есть такое?
--
Bye.Olli. http://olli.digger.org.ru
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-08-27 6:29 [Comm] ?: strict permissions on dirs & so on Oleg K.Artemjev
@ 2003-08-27 8:51 ` Alexey Tourbin
2003-08-27 9:11 ` Oleg K.Artemjev
0 siblings, 1 reply; 25+ messages in thread
From: Alexey Tourbin @ 2003-08-27 8:51 UTC (permalink / raw)
To: community
[-- Attachment #1: Type: text/plain, Size: 248 bytes --]
On Wed, Aug 27, 2003 at 10:29:08AM +0400, Oleg K. Artemjev wrote:
> AFAIR, есть в сузе такая замечательная вещь - файлики с правами на все
> в системе каталоги в различных уровнях параноидальности. А у alt
> master есть такое?
Надеюсь что нет. :)
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 25+ messages in thread
* Re: [Comm] Re: ?: strict permissions on dirs & so on
2003-08-27 8:51 ` [Comm] " Alexey Tourbin
@ 2003-08-27 9:11 ` Oleg K.Artemjev
2003-08-27 9:23 ` Alexey Tourbin
0 siblings, 1 reply; 25+ messages in thread
From: Oleg K.Artemjev @ 2003-08-27 9:11 UTC (permalink / raw)
To: community
On Wed, 27 Aug 2003 12:51:44 +0400
Alexey Tourbin <at@altlinux.ru> wrote:
> On Wed, Aug 27, 2003 at 10:29:08AM +0400, Oleg K. Artemjev wrote:
> > AFAIR, есть в сузе такая замечательная вещь - файлики с правами на все
> > в системе каталоги в различных уровнях параноидальности. А у alt
> > master есть такое?
> Надеюсь что нет. :)
Какие-то у Вас неправильные пожелания. =) Вот были бы файлики с соответствующими
правами, можно было бы взять самый параноидальный, доработать и применить. А так
надо куда-то тащиться, искать, адаптировать.. фи мое по этому поводу. ;-)
--
Bye.Olli. http://olli.digger.org.ru
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-08-27 9:11 ` Oleg K.Artemjev
@ 2003-08-27 9:23 ` Alexey Tourbin
2003-08-27 11:15 ` Oleg K.Artemjev
0 siblings, 1 reply; 25+ messages in thread
From: Alexey Tourbin @ 2003-08-27 9:23 UTC (permalink / raw)
To: community
[-- Attachment #1: Type: text/plain, Size: 1233 bytes --]
On Wed, Aug 27, 2003 at 01:11:37PM +0400, Oleg K. Artemjev wrote:
> Какие-то у Вас неправильные пожелания. =) Вот были бы файлики с соответствующими
> правами, можно было бы взять самый параноидальный, доработать и применить. А так
> надо куда-то тащиться, искать, адаптировать.. фи мое по этому поводу. ;-)
Дело в том, что security и параноидальность -- это разные, в общем-то,
вещи. Параноидальность -- это вообще явление психического характера.
Но почему-то считается, что хорошие администраторы должны страдать этим
заболеванием. :)
А security -- вещь очень многомерная, и права доступа к каталогам -- это
только одно измерение. Права доступа к каталогам нельзя ограничивать до
бесконечности и при этом повышать security. После определенного уровня
в системе сможет работать только root, а это уже не секьюрно. Грубо
говоря, права доступа к объектам ФС нужны как раз для того, чтобы
добавить градации в черно-белую схема разграничения доступа и сделать
возможным более гибкий подход.
Я думаю, что файлик с правами доступа к объектам ФС противоречит идее
использования RPM пакетов, в которых эти права доступа жестко прошиты.
Но критические с точки зрения security объекты ФС тем не менее находятся
у нас под control(8)ом.
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 25+ messages in thread
* Re: [Comm] Re: ?: strict permissions on dirs & so on
2003-08-27 9:23 ` Alexey Tourbin
@ 2003-08-27 11:15 ` Oleg K.Artemjev
2003-08-27 11:47 ` Andrey Rahmatullin
2003-08-27 15:46 ` Alexey Tourbin
0 siblings, 2 replies; 25+ messages in thread
From: Oleg K.Artemjev @ 2003-08-27 11:15 UTC (permalink / raw)
To: community
On Wed, 27 Aug 2003 13:23:26 +0400
Alexey Tourbin <at@altlinux.ru> wrote:
> On Wed, Aug 27, 2003 at 01:11:37PM +0400, Oleg K. Artemjev wrote:
> > Какие-то у Вас неправильные пожелания. =) Вот были бы файлики с соответствующими
> > правами, можно было бы взять самый параноидальный, доработать и применить. А так
> > надо куда-то тащиться, искать, адаптировать.. фи мое по этому поводу. ;-)
> Дело в том, что security и параноидальность -- это разные, в общем-то,
> вещи. Параноидальность -- это вообще явление психического характера.
> Но почему-то считается, что хорошие администраторы должны страдать этим
> заболеванием. :)
если администратор не является хоть немного параноиком, то обеспечивать безопасность ему
будет в тягость. В противном же случае - будет нравится. =) Вот собственно почему так
считается - когда работа в радость ее делают лучше, это медицинский факт. =)
> А security -- вещь очень многомерная, и права доступа к каталогам -- это
> только одно измерение. Права доступа к каталогам нельзя ограничивать до
> бесконечности и при этом повышать security. После определенного уровня
> в системе сможет работать только root, а это уже не секьюрно. Грубо
> говоря, права доступа к объектам ФС нужны как раз для того, чтобы
> добавить градации в черно-белую схема разграничения доступа и сделать
> возможным более гибкий подход.
а кто спорит. =)
> Я думаю, что файлик с правами доступа к объектам ФС противоречит идее
> использования RPM пакетов, в которых эти права доступа жестко прошиты.
я не знаю как это в сузе завязано с rpm'ами, да и противоречие кажущееся.
Вам хватает одних ограничений, мне - других. Поскольку по большей части
ограничения можно поделить минимум на 3 типа - ничего, средне, максимум,
то не удивительно, что в сузе сделали такие файлики. Соответственно имеется
и утилита для их применения. В результате любой может взять за основу один из
этих вариантов и адаптировать под себя. Так мне на домашней тачке нужно дать доступ
только 3м-4м людям, причем с разным уровнем доступа. Будь у меня такой файлик и утилита
для его применения мне было бы проще сделать вышеуказанную работу. Соответственно
раз этого нет - придется делать самому, поскольку адаптировать от другого дистрибутива
- та еще морока.
> Но критические с точки зрения security объекты ФС тем не менее находятся
> у нас под control(8)ом.
[olli@ws002 olli]$ man 8 control
No entry for control in section 8 of the manual
[olli@ws002 olli]$
;-)
--
Bye.Olli. http://olli.digger.org.ru
^ permalink raw reply [flat|nested] 25+ messages in thread
* Re: [Comm] Re: ?: strict permissions on dirs & so on
2003-08-27 11:15 ` Oleg K.Artemjev
@ 2003-08-27 11:47 ` Andrey Rahmatullin
2003-08-27 15:46 ` Alexey Tourbin
1 sibling, 0 replies; 25+ messages in thread
From: Andrey Rahmatullin @ 2003-08-27 11:47 UTC (permalink / raw)
To: community
Здравствуйте, Oleg K.Artemjev.
Вы писали:
> > Но критические с точки зрения security объекты ФС тем не менее находятся
> > у нас под control(8)ом.
> [olli@ws002 olli]$ man 8 control
> No entry for control in section 8 of the manual
> [olli@ws002 olli]$
>
> ;-)
>
#apt-get install control
;-P
# control
cdrecord public (public restricted)
consolehelper public (public wheelonly restricted)
crontab public (public restricted)
kppp public (public netadmin restricted)
mount public (public wheelonly restricted)
passwd tcb (traditional tcb restricted)
ping public (public netadmin restricted)
readcd public (public restricted)
su wheelonly (public wheel wheelonly restricted)
sudo public (public wheelonly restricted)
tcb_chkpwd tcb (traditional tcb restricted)
usernetctl restricted (public restricted)
write public (public restricted)
;-)
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-08-27 11:15 ` Oleg K.Artemjev
2003-08-27 11:47 ` Andrey Rahmatullin
@ 2003-08-27 15:46 ` Alexey Tourbin
2003-08-29 12:28 ` Oleg K.Artemjev
1 sibling, 1 reply; 25+ messages in thread
From: Alexey Tourbin @ 2003-08-27 15:46 UTC (permalink / raw)
To: community
[-- Attachment #1: Type: text/plain, Size: 1294 bytes --]
On Wed, Aug 27, 2003 at 03:15:28PM +0400, Oleg K. Artemjev wrote:
> я не знаю как это в сузе завязано с rpm'ами, да и противоречие кажущееся.
> Вам хватает одних ограничений, мне - других. Поскольку по большей части
Права доступа на "стандартные" каталоги хорошо продуманы и хорошо
известны. Выигрыш от дополнительных ограничений кажущийся.
> ограничения можно поделить минимум на 3 типа - ничего, средне, максимум,
> то не удивительно, что в сузе сделали такие файлики. Соответственно имеется
Здесь максимум ограничений не соответствует максимум security (если
что-то ограничить, придется давать больше привилегий некоторым
пользователям/процессам; а привилегии можно использовать не по
назначению). Задача прав доступа на стандартные каталоги -- именно
зафиксировать ограничения в "среднем" положении, чтобы сделать возможным
эффективное использование других механизмов.
> этих вариантов и адаптировать под себя. Так мне на домашней тачке нужно дать доступ
> только 3м-4м людям, причем с разным уровнем доступа. Будь у меня такой файлик и утилита
Какие уровни доступа вы хотите сделать?
> для его применения мне было бы проще сделать вышеуказанную работу. Соответственно
> раз этого нет - придется делать самому, поскольку адаптировать от другого дистрибутива
> - та еще морока.
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 25+ messages in thread
* Re: [Comm] Re: ?: strict permissions on dirs & so on
2003-08-27 15:46 ` Alexey Tourbin
@ 2003-08-29 12:28 ` Oleg K.Artemjev
2003-08-29 12:45 ` Alexey Tourbin
2003-08-29 12:57 ` Michael Shigorin
0 siblings, 2 replies; 25+ messages in thread
From: Oleg K.Artemjev @ 2003-08-29 12:28 UTC (permalink / raw)
To: community
On Wed, 27 Aug 2003 19:46:24 +0400
Alexey Tourbin <at@altlinux.ru> wrote:
> On Wed, Aug 27, 2003 at 03:15:28PM +0400, Oleg K. Artemjev wrote:
> > я не знаю как это в сузе завязано с rpm'ами, да и противоречие кажущееся.
> > Вам хватает одних ограничений, мне - других. Поскольку по большей части
> Права доступа на "стандартные" каталоги хорошо продуманы и хорошо
> известны. Выигрыш от дополнительных ограничений кажущийся.
возможно кажущийся, а возможно и есть. ;)
> > ограничения можно поделить минимум на 3 типа - ничего, средне, максимум,
> > то не удивительно, что в сузе сделали такие файлики. Соответственно имеется
> Здесь максимум ограничений не соответствует максимум security (если
> что-то ограничить, придется давать больше привилегий некоторым
> пользователям/процессам; а привилегии можно использовать не по
> назначению). Задача прав доступа на стандартные каталоги -- именно
> зафиксировать ограничения в "среднем" положении, чтобы сделать возможным
> эффективное использование других механизмов.
вот вам пример:
[olli@ws002 olli]$ ls -ld /etc/sysconfig/network-scripts
drwxr-xr-x 2 root root 1024 Июл 31 16:24 /etc/sysconfig/network-scripts
[olli@ws002 olli]$
Ничего страшного в общем-то. Но мне бы больше понравилось 750 на root.wheel. Чем меньше отдаешь информации
о настройках - тем лучше..
> > этих вариантов и адаптировать под себя. Так мне на домашней тачке нужно дать доступ
> > только 3м-4м людям, причем с разным уровнем доступа. Будь у меня такой файлик и утилита
> Какие уровни доступа вы хотите сделать?
Это не существенно. Ж:) Честно говоря просто влом писать много. Я могу это все руками сделать. Я к тому, что
если бы у меня был файлик а-ля сузе, то я бы его отредактировал, скормил бы утилите и все права встали бы
так как мне нравится. А в данном случае мне либо придется рисовать этот скрипт самостоятельно, либо ходить
ручками по каталогам.
> > для его применения мне было бы проще сделать вышеуказанную работу. Соответственно
> > раз этого нет - придется делать самому, поскольку адаптировать от другого дистрибутива
> > - та еще морока.
--
Bye.Olli. http://olli.digger.org.ru
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-08-29 12:28 ` Oleg K.Artemjev
@ 2003-08-29 12:45 ` Alexey Tourbin
2003-08-29 12:53 ` Sergey Vlasov
2003-08-29 13:01 ` Oleg K.Artemjev
2003-08-29 12:57 ` Michael Shigorin
1 sibling, 2 replies; 25+ messages in thread
From: Alexey Tourbin @ 2003-08-29 12:45 UTC (permalink / raw)
To: community
[-- Attachment #1: Type: text/plain, Size: 766 bytes --]
On Fri, Aug 29, 2003 at 04:28:34PM +0400, Oleg K. Artemjev wrote:
> [olli@ws002 olli]$ ls -ld /etc/sysconfig/network-scripts
> drwxr-xr-x 2 root root 1024 Июл 31 16:24 /etc/sysconfig/network-scripts
> [olli@ws002 olli]$
> Ничего страшного в общем-то. Но мне бы больше понравилось 750 на root.wheel. Чем меньше отдаешь информации
> о настройках - тем лучше..
Увы, эту информацию о настройках можно получить гораздо проще:
$ ifconfig
:)
Так что вместе с /etc/sysconfig/network-scripts нужно менять права
доступа на ifconfig. Но увеличение security опять мнимое, т.к. можно
написать свою программу (или ещё раз скомпилировать ifconfig), которая
получает ту же самую информацию из ядра. А ограничений доступа к этой
информации на уровне ядра нет.
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-08-29 12:45 ` Alexey Tourbin
@ 2003-08-29 12:53 ` Sergey Vlasov
2003-08-29 14:16 ` Oleg K.Artemjev
2003-08-29 13:01 ` Oleg K.Artemjev
1 sibling, 1 reply; 25+ messages in thread
From: Sergey Vlasov @ 2003-08-29 12:53 UTC (permalink / raw)
To: community
On Fri, 29 Aug 2003 16:45:25 +0400
Alexey Tourbin <at@altlinux.ru> wrote:
> On Fri, Aug 29, 2003 at 04:28:34PM +0400, Oleg K. Artemjev wrote:
> > [olli@ws002 olli]$ ls -ld /etc/sysconfig/network-scripts
> > drwxr-xr-x 2 root root 1024 Июл 31 16:24 /etc/sysconfig/network-scripts
> > [olli@ws002 olli]$
> > Ничего страшного в общем-то. Но мне бы больше понравилось 750 на root.wheel. Чем меньше отдаешь информации
> > о настройках - тем лучше..
>
> Увы, эту информацию о настройках можно получить гораздо проще:
> $ ifconfig
>
> :)
>
> Так что вместе с /etc/sysconfig/network-scripts нужно менять права
> доступа на ifconfig. Но увеличение security опять мнимое, т.к. можно
> написать свою программу (или ещё раз скомпилировать ifconfig), которая
> получает ту же самую информацию из ядра. А ограничений доступа к этой
> информации на уровне ядра нет.
Есть - в патче Openwall (CONFIG_HARDEN_PROC). Заодно и ps затыкает
(показывает только процессы этого пользователя).
$ /sbin/ifconfig
/proc/net/dev: Permission denied
Хотя, возможно, в результате этого что-то ломается.
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-08-29 12:28 ` Oleg K.Artemjev
2003-08-29 12:45 ` Alexey Tourbin
@ 2003-08-29 12:57 ` Michael Shigorin
1 sibling, 0 replies; 25+ messages in thread
From: Michael Shigorin @ 2003-08-29 12:57 UTC (permalink / raw)
To: community
On Fri, Aug 29, 2003 at 04:28:34PM +0400, Oleg K.Artemjev wrote:
> [olli@ws002 olli]$ ls -ld /etc/sysconfig/network-scripts
> drwxr-xr-x 2 root root 1024 Июл 31 16:24 /etc/sysconfig/network-scripts
> [olli@ws002 olli]$
> Ничего страшного в общем-то. Но мне бы больше понравилось 750
> на root.wheel. Чем меньше отдаешь информации о настройках - тем
> лучше..
/etc/control.d/facilities
можно и свои создавать
--
---- WBR, Michael Shigorin <mike@altlinux.ru>
------ Linux.Kiev http://www.linux.kiev.ua/
^ permalink raw reply [flat|nested] 25+ messages in thread
* Re: [Comm] Re: ?: strict permissions on dirs & so on
2003-08-29 12:45 ` Alexey Tourbin
2003-08-29 12:53 ` Sergey Vlasov
@ 2003-08-29 13:01 ` Oleg K.Artemjev
2003-08-29 13:28 ` Michael Shigorin
2003-08-29 14:02 ` Alexey Tourbin
1 sibling, 2 replies; 25+ messages in thread
From: Oleg K.Artemjev @ 2003-08-29 13:01 UTC (permalink / raw)
To: community
On Fri, 29 Aug 2003 16:45:25 +0400
Alexey Tourbin <at@altlinux.ru> wrote:
> On Fri, Aug 29, 2003 at 04:28:34PM +0400, Oleg K. Artemjev wrote:
> > [olli@ws002 olli]$ ls -ld /etc/sysconfig/network-scripts
> > drwxr-xr-x 2 root root 1024 Июл 31 16:24 /etc/sysconfig/network-scripts
> > [olli@ws002 olli]$
> > Ничего страшного в общем-то. Но мне бы больше понравилось 750 на root.wheel. Чем меньше отдаешь информации
> > о настройках - тем лучше..
> Увы, эту информацию о настройках можно получить гораздо проще:
> $ ifconfig
> :)
разумеется на него ставится 750. :)
> Так что вместе с /etc/sysconfig/network-scripts нужно менять права
> доступа на ifconfig. Но увеличение security опять мнимое, т.к. можно
> написать свою программу (или ещё раз скомпилировать ifconfig), которая
это если Вам дадут что-то компилировать. =) На gcc и прочее тоже можно
не дать прав. С учетом того, что они никому кроме меня не доллжны быть
нужны - так и надо поступить. =) Короче говоря как ни крути - удобнее
было бы отбирать права если бы была утиль с файликами, как в сузе.
> получает ту же самую информацию из ядра. А ограничений доступа к этой
> информации на уровне ядра нет.
Ай-яй-яй - какое упущение - надо срочно исправить. ;-)))
--
Bye.Olli. http://olli.digger.org.ru
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-08-29 13:01 ` Oleg K.Artemjev
@ 2003-08-29 13:28 ` Michael Shigorin
2003-08-29 14:16 ` Oleg K.Artemjev
2003-08-29 14:02 ` Alexey Tourbin
1 sibling, 1 reply; 25+ messages in thread
From: Michael Shigorin @ 2003-08-29 13:28 UTC (permalink / raw)
To: community
On Fri, Aug 29, 2003 at 05:01:24PM +0400, Oleg K.Artemjev wrote:
> это если Вам дадут что-то компилировать. =) На gcc и прочее
> тоже можно не дать прав.
Скорее тогда не должно быть "gcc и прочего". Как класса.
> Короче говоря как ни крути - удобнее было бы отбирать права
> если бы была утиль с файликами, как в сузе.
control(8)
--
---- WBR, Michael Shigorin <mike@altlinux.ru>
------ Linux.Kiev http://www.linux.kiev.ua/
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-08-29 13:01 ` Oleg K.Artemjev
2003-08-29 13:28 ` Michael Shigorin
@ 2003-08-29 14:02 ` Alexey Tourbin
2003-08-29 14:21 ` Oleg K.Artemjev
2003-09-01 14:19 ` Alexey Tourbin
1 sibling, 2 replies; 25+ messages in thread
From: Alexey Tourbin @ 2003-08-29 14:02 UTC (permalink / raw)
To: community
[-- Attachment #1: Type: text/plain, Size: 1276 bytes --]
On Fri, Aug 29, 2003 at 05:01:24PM +0400, Oleg K. Artemjev wrote:
> это если Вам дадут что-то компилировать. =) На gcc и прочее тоже можно
> не дать прав. С учетом того, что они никому кроме меня не доллжны быть
gcc можно достать из другого места и положить в ~/bin.
Чтобы этим нельзя было воспользоваться, нужно монтировать /home с noexec.
Но это значит, что вообще будет нельзя запускать свои бинари. То есть
отпадает смысл вообще пользоваться базовыми средствами разработки.
Значит gcc в такой системе вообще быть не должно.
> нужны - так и надо поступить. =) Короче говоря как ни крути - удобнее
> было бы отбирать права если бы была утиль с файликами, как в сузе.
Нетнетнетнетнетнетнет... :)
Специальные требования к ограничениям в системе не распадаются на
"ничего", "средне" и "максимум". Такой подход имеет только
конъюнктурные преимущества. В сущности, как видно из вывода control(8)
на моей машине, имеет место комбинаторный рост вариантов настройки
системы.
Кроме того, как я уже пытался сказать, чаще всего ограничения прав
доступа на стандартные объекты ФС не увеличивают security по существу,
а могут лишь _немного_ усложнить задачу взлома. Исключения составляют
suid/sgid executables.
> Ай-яй-яй - какое упущение - надо срочно исправить. ;-)))
:)
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 25+ messages in thread
* Re: [Comm] Re: ?: strict permissions on dirs & so on
2003-08-29 13:28 ` Michael Shigorin
@ 2003-08-29 14:16 ` Oleg K.Artemjev
0 siblings, 0 replies; 25+ messages in thread
From: Oleg K.Artemjev @ 2003-08-29 14:16 UTC (permalink / raw)
To: community
On Fri, 29 Aug 2003 16:28:32 +0300
Michael Shigorin <mike@osdn.org.ua> wrote:
> On Fri, Aug 29, 2003 at 05:01:24PM +0400, Oleg K.Artemjev wrote:
> > это если Вам дадут что-то компилировать. =) На gcc и прочее
> > тоже можно не дать прав.
> Скорее тогда не должно быть "gcc и прочего". Как класса.
К сожалению на домашней машине не получиться - не хочется ходить в лишенцах. =)
> > Короче говоря как ни крути - удобнее было бы отбирать права
> > если бы была утиль с файликами, как в сузе.
> control(8)
уже понял, посмотрю..
--
Bye.Olli. http://olli.digger.org.ru
^ permalink raw reply [flat|nested] 25+ messages in thread
* Re: [Comm] Re: ?: strict permissions on dirs & so on
2003-08-29 12:53 ` Sergey Vlasov
@ 2003-08-29 14:16 ` Oleg K.Artemjev
0 siblings, 0 replies; 25+ messages in thread
From: Oleg K.Artemjev @ 2003-08-29 14:16 UTC (permalink / raw)
To: community
On Fri, 29 Aug 2003 16:53:40 +0400
Sergey Vlasov <vsu@altlinux.ru> wrote:
> > Так что вместе с /etc/sysconfig/network-scripts нужно менять права
> > доступа на ifconfig. Но увеличение security опять мнимое, т.к. можно
> > написать свою программу (или ещё раз скомпилировать ifconfig), которая
> > получает ту же самую информацию из ядра. А ограничений доступа к этой
> > информации на уровне ядра нет.
> Есть - в патче Openwall (CONFIG_HARDEN_PROC). Заодно и ps затыкает
> (показывает только процессы этого пользователя).
> $ /sbin/ifconfig
> /proc/net/dev: Permission denied
> Хотя, возможно, в результате этого что-то ломается.
Ломается только ненастроенное, то есть можно дать группе и процессы и /proc.
--
Bye.Olli. http://olli.digger.org.ru
^ permalink raw reply [flat|nested] 25+ messages in thread
* Re: [Comm] Re: ?: strict permissions on dirs & so on
2003-08-29 14:02 ` Alexey Tourbin
@ 2003-08-29 14:21 ` Oleg K.Artemjev
2003-08-29 14:42 ` Alexey Tourbin
2003-09-01 14:19 ` Alexey Tourbin
1 sibling, 1 reply; 25+ messages in thread
From: Oleg K.Artemjev @ 2003-08-29 14:21 UTC (permalink / raw)
To: community
On Fri, 29 Aug 2003 18:02:12 +0400
Alexey Tourbin <at@altlinux.ru> wrote:
> On Fri, Aug 29, 2003 at 05:01:24PM +0400, Oleg K. Artemjev wrote:
> > это если Вам дадут что-то компилировать. =) На gcc и прочее тоже можно
> > не дать прав. С учетом того, что они никому кроме меня не доллжны быть
> gcc можно достать из другого места и положить в ~/bin.
а квоты хватит? ;)
> Чтобы этим нельзя было воспользоваться, нужно монтировать /home с noexec.
> Но это значит, что вообще будет нельзя запускать свои бинари. То есть
> отпадает смысл вообще пользоваться базовыми средствами разработки.
> Значит gcc в такой системе вообще быть не должно.
Гм. Я могу иметь отдельно /home и /home/olli на разных разделах. =) И тем не менее иметь gcc. ;)
> > нужны - так и надо поступить. =) Короче говоря как ни крути - удобнее
> > было бы отбирать права если бы была утиль с файликами, как в сузе.
> Нетнетнетнетнетнетнет... :)
а вот мне бы было удобнее. =) Впрочем man control я еще не поставил, так что
может это оно и есть? ?-)
> Специальные требования к ограничениям в системе не распадаются на
> "ничего", "средне" и "максимум". Такой подход имеет только
> конъюнктурные преимущества. В сущности, как видно из вывода control(8)
> на моей машине, имеет место комбинаторный рост вариантов настройки
> системы.
погляжу..
> Кроме того, как я уже пытался сказать, чаще всего ограничения прав
> доступа на стандартные объекты ФС не увеличивают security по существу,
> а могут лишь _немного_ усложнить задачу взлома. Исключения составляют
курочка по зернышку клюет.. =)
> suid/sgid executables.
плюс еще noexec и ro .
--
Bye.Olli. http://olli.digger.org.ru
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-08-29 14:21 ` Oleg K.Artemjev
@ 2003-08-29 14:42 ` Alexey Tourbin
2003-09-05 19:39 ` Dmitry V. Levin
0 siblings, 1 reply; 25+ messages in thread
From: Alexey Tourbin @ 2003-08-29 14:42 UTC (permalink / raw)
To: community
[-- Attachment #1.1: Type: text/plain, Size: 856 bytes --]
On Fri, Aug 29, 2003 at 06:21:49PM +0400, Oleg K. Artemjev wrote:
> > Специальные требования к ограничениям в системе не распадаются на
> > "ничего", "средне" и "максимум". Такой подход имеет только
> > конъюнктурные преимущества. В сущности, как видно из вывода control(8)
> > на моей машине, имеет место комбинаторный рост вариантов настройки
> > системы.
> погляжу..
Посмотрел, он с каталогами тоже умеет работать. Смотрите как просто:
# chmod +x /etc/control.d/facilities/network-scripts
# control network-scripts
public
# control network-scripts restricted
# ls -dl /etc/sysconfig/network-scripts
drwxr-x--- 2 root wheel 1096 Jul 1 23:14 /etc/sysconfig/network-scripts
# control network-scripts public
# ls -dl /etc/sysconfig/network-scripts
drwxr-xr-x 2 root root 1096 Jul 1 23:14 /etc/sysconfig/network-scripts
#
[-- Attachment #1.2: network-scripts --]
[-- Type: text/plain, Size: 185 bytes --]
#!/bin/sh
. /etc/control.d/functions
BINARY=/etc/sysconfig/network-scripts
new_fmode public 755 root root
new_fmode restricted 750 root wheel
control_fmode "$BINARY" "$*" || exit 1
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-08-29 14:02 ` Alexey Tourbin
2003-08-29 14:21 ` Oleg K.Artemjev
@ 2003-09-01 14:19 ` Alexey Tourbin
2003-09-02 9:05 ` Oleg K.Artemjev
1 sibling, 1 reply; 25+ messages in thread
From: Alexey Tourbin @ 2003-09-01 14:19 UTC (permalink / raw)
To: community
[-- Attachment #1: Type: text/plain, Size: 696 bytes --]
On Fri, Aug 29, 2003 at 06:02:12PM +0400, Alexey Tourbin wrote:
> Чтобы этим нельзя было воспользоваться, нужно монтировать /home с noexec.
Вспомнил. :) Всё равно можно воспользоваться, если в системе есть
динамический линкер. Это уже когда-то обсуждалось.
$ cp /bin/date ~/bin
$ chmod 0400 ~/bin/date
$ /lib/ld-linux.so.2 ~/bin/date
Mon Sep 1 18:16:07 MSD 2003
$
Т.е. монтирование разделов noexec тоже принципиально ничего не дает,
если только это не чрут, в котором нет динамического линкера.
> Но это значит, что вообще будет нельзя запускать свои бинари. То есть
> отпадает смысл вообще пользоваться базовыми средствами разработки.
> Значит gcc в такой системе вообще быть не должно.
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 25+ messages in thread
* Re: [Comm] Re: ?: strict permissions on dirs & so on
2003-09-01 14:19 ` Alexey Tourbin
@ 2003-09-02 9:05 ` Oleg K.Artemjev
2003-09-02 12:53 ` Alexey Tourbin
0 siblings, 1 reply; 25+ messages in thread
From: Oleg K.Artemjev @ 2003-09-02 9:05 UTC (permalink / raw)
To: community
On Mon, 1 Sep 2003 18:19:21 +0400
Alexey Tourbin <at@altlinux.ru> wrote:
> On Fri, Aug 29, 2003 at 06:02:12PM +0400, Alexey Tourbin wrote:
> > Чтобы этим нельзя было воспользоваться, нужно монтировать /home с noexec.
>
> Вспомнил. :) Всё равно можно воспользоваться, если в системе есть
> динамический линкер. Это уже когда-то обсуждалось.
>
> $ cp /bin/date ~/bin
> $ chmod 0400 ~/bin/date
> $ /lib/ld-linux.so.2 ~/bin/date
> Mon Sep 1 18:16:07 MSD 2003
> $
>
> Т.е. монтирование разделов noexec тоже принципиально ничего не дает,
> если только это не чрут, в котором нет динамического линкера.
мм.. оно как.. спасибо.
А что оторвется у простого юзера если отборать права на исполнение
/lib/ld-linux.so.2 ? А если еще и на чтение?
--
Bye.Olli. http://olli.digger.org.ru
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-09-02 9:05 ` Oleg K.Artemjev
@ 2003-09-02 12:53 ` Alexey Tourbin
2003-09-02 12:59 ` Alexey Tourbin
0 siblings, 1 reply; 25+ messages in thread
From: Alexey Tourbin @ 2003-09-02 12:53 UTC (permalink / raw)
To: community
[-- Attachment #1: Type: text/plain, Size: 591 bytes --]
On Tue, Sep 02, 2003 at 01:05:06PM +0400, Oleg K. Artemjev wrote:
> А что оторвется у простого юзера если отборать права на исполнение
> /lib/ld-linux.so.2 ? А если еще и на чтение?
Скорее всего, он не сможет исполнить ни одного бинаря, который слинкован
с динамическими библиотеками. Т.е. execve(2) в этом случае на некотором
этапе загружает линкер и передает ему управление. Линкер подгружает
динамические либы, делает все relocations и потом передает управление в
_start, который в свою очередь инициализирует вещи типа stdio и передает
управление в main. Кажется так это работает...
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-09-02 12:53 ` Alexey Tourbin
@ 2003-09-02 12:59 ` Alexey Tourbin
2003-09-02 15:40 ` Alexey Tourbin
0 siblings, 1 reply; 25+ messages in thread
From: Alexey Tourbin @ 2003-09-02 12:59 UTC (permalink / raw)
To: community
[-- Attachment #1: Type: text/plain, Size: 309 bytes --]
On Tue, Sep 02, 2003 at 04:53:43PM +0400, Alexey Tourbin wrote:
> Скорее всего, он не сможет исполнить ни одного бинаря, который слинкован
> с динамическими библиотеками. Т.е. execve(2) в этом случае на некотором
Вот как это выглядит (в чруте):
# chmod 0 /lib/ld-2.2.6.so
# ls
zsh: permission denied: ls
#
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-09-02 12:59 ` Alexey Tourbin
@ 2003-09-02 15:40 ` Alexey Tourbin
0 siblings, 0 replies; 25+ messages in thread
From: Alexey Tourbin @ 2003-09-02 15:40 UTC (permalink / raw)
To: community
[-- Attachment #1: Type: text/plain, Size: 253 bytes --]
On Tue, Sep 02, 2003 at 04:59:06PM +0400, Alexey Tourbin wrote:
> # chmod 0 /lib/ld-2.2.6.so
> # ls
> zsh: permission denied: ls
> #
Т.е. execve(2) возвращает управление в zsh, потому что не может
подгрузить линкер, а "permission denied" -- это EPERM.
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 25+ messages in thread
* Re: [Comm] Re: ?: strict permissions on dirs & so on
2003-08-29 14:42 ` Alexey Tourbin
@ 2003-09-05 19:39 ` Dmitry V. Levin
2003-09-09 11:38 ` Michael Shigorin
0 siblings, 1 reply; 25+ messages in thread
From: Dmitry V. Levin @ 2003-09-05 19:39 UTC (permalink / raw)
To: ALT Linux general discussion list
[-- Attachment #1: Type: text/plain, Size: 1212 bytes --]
On Fri, Aug 29, 2003 at 06:42:42PM +0400, Alexey Tourbin wrote:
> On Fri, Aug 29, 2003 at 06:21:49PM +0400, Oleg K. Artemjev wrote:
> > > Специальные требования к ограничениям в системе не распадаются на
> > > "ничего", "средне" и "максимум". Такой подход имеет только
> > > конъюнктурные преимущества. В сущности, как видно из вывода control(8)
> > > на моей машине, имеет место комбинаторный рост вариантов настройки
> > > системы.
> > погляжу..
>
> Посмотрел, он с каталогами тоже умеет работать. Смотрите как просто:
>
> # chmod +x /etc/control.d/facilities/network-scripts
> # control network-scripts
> public
> # control network-scripts restricted
> # ls -dl /etc/sysconfig/network-scripts
> drwxr-x--- 2 root wheel 1096 Jul 1 23:14 /etc/sysconfig/network-scripts
> # control network-scripts public
> # ls -dl /etc/sysconfig/network-scripts
> drwxr-xr-x 2 root root 1096 Jul 1 23:14 /etc/sysconfig/network-scripts
> #
> #!/bin/sh
>
> . /etc/control.d/functions
>
> BINARY=/etc/sysconfig/network-scripts
Извините, но какой же это binary? :)
> new_fmode public 755 root root
> new_fmode restricted 750 root wheel
>
> control_fmode "$BINARY" "$*" || exit 1
--
ldv
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 25+ messages in thread
* [Comm] Re: ?: strict permissions on dirs & so on
2003-09-05 19:39 ` Dmitry V. Levin
@ 2003-09-09 11:38 ` Michael Shigorin
0 siblings, 0 replies; 25+ messages in thread
From: Michael Shigorin @ 2003-09-09 11:38 UTC (permalink / raw)
To: Dmitry V. Levin; +Cc: ALT Linux general discussion list
[-- Attachment #1: Type: text/plain, Size: 373 bytes --]
On Fri, Sep 05, 2003 at 11:39:19PM +0400, Dmitry V. Levin wrote:
> > . /etc/control.d/functions
> > BINARY=/etc/sysconfig/network-scripts
> Извините, но какой же это binary? :)
Ну, всем же ж страшно что-то менять не по примеру :)
> > control_fmode "$BINARY" "$*" || exit 1
--
---- WBR, Michael Shigorin <mike@altlinux.ru>
------ Linux.Kiev http://www.linux.kiev.ua/
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 25+ messages in thread
end of thread, other threads:[~2003-09-09 11:38 UTC | newest]
Thread overview: 25+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2003-08-27 6:29 [Comm] ?: strict permissions on dirs & so on Oleg K.Artemjev
2003-08-27 8:51 ` [Comm] " Alexey Tourbin
2003-08-27 9:11 ` Oleg K.Artemjev
2003-08-27 9:23 ` Alexey Tourbin
2003-08-27 11:15 ` Oleg K.Artemjev
2003-08-27 11:47 ` Andrey Rahmatullin
2003-08-27 15:46 ` Alexey Tourbin
2003-08-29 12:28 ` Oleg K.Artemjev
2003-08-29 12:45 ` Alexey Tourbin
2003-08-29 12:53 ` Sergey Vlasov
2003-08-29 14:16 ` Oleg K.Artemjev
2003-08-29 13:01 ` Oleg K.Artemjev
2003-08-29 13:28 ` Michael Shigorin
2003-08-29 14:16 ` Oleg K.Artemjev
2003-08-29 14:02 ` Alexey Tourbin
2003-08-29 14:21 ` Oleg K.Artemjev
2003-08-29 14:42 ` Alexey Tourbin
2003-09-05 19:39 ` Dmitry V. Levin
2003-09-09 11:38 ` Michael Shigorin
2003-09-01 14:19 ` Alexey Tourbin
2003-09-02 9:05 ` Oleg K.Artemjev
2003-09-02 12:53 ` Alexey Tourbin
2003-09-02 12:59 ` Alexey Tourbin
2003-09-02 15:40 ` Alexey Tourbin
2003-08-29 12:57 ` Michael Shigorin
ALT Linux Community general discussions
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/community/0 community/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 community community/ http://lore.altlinux.org/community \
mandrake-russian@linuxteam.iplabs.ru community@lists.altlinux.org community@lists.altlinux.ru community@lists.altlinux.com
public-inbox-index community
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.community
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git