* [devel] Q: pseudouser names @ 2002-12-20 9:27 Sergey Vlasov 2002-12-20 9:54 ` Stanislav Ievlev 2002-12-23 9:08 ` Igor Homyakov 0 siblings, 2 replies; 5+ messages in thread From: Sergey Vlasov @ 2002-12-20 9:27 UTC (permalink / raw) To: ALT Developers List Hello! В Сизифе появляется все больше пакетов, создающих псевдопользователей при установке. С точки зрения безопасности это, конечно, правильно, но появляется возможность пересечения этих имен с именами реальных пользователей системы. Например, у себя я обнаружил пользователя с именем ser, а в результате поиска по freshmeat нашелся пакет с таким же именем (SIP Express Router). Возможно, стоит принять какое-то соглашение по именованию псевдопользователей для уменьшения вероятности конфликтов? Например, ставить первым символом в имени '_'. Какие будут мнения? -- Sergey Vlasov ^ permalink raw reply [flat|nested] 5+ messages in thread
* Re: [devel] Q: pseudouser names 2002-12-20 9:27 [devel] Q: pseudouser names Sergey Vlasov @ 2002-12-20 9:54 ` Stanislav Ievlev 2002-12-20 10:13 ` Sergey Vlasov 2002-12-23 9:08 ` Igor Homyakov 1 sibling, 1 reply; 5+ messages in thread From: Stanislav Ievlev @ 2002-12-20 9:54 UTC (permalink / raw) To: devel On Fri, Dec 20, 2002 at 12:27:04PM +0300, Sergey Vlasov wrote: > Hello! > > В Сизифе появляется все больше пакетов, создающих псевдопользователей > при установке. С точки зрения безопасности это, конечно, правильно, но > появляется возможность пересечения этих имен с именами реальных > пользователей системы. Например, у себя я обнаружил пользователя с > именем ser, а в результате поиска по freshmeat нашелся пакет с таким > же именем (SIP Express Router). > > Возможно, стоит принять какое-то соглашение по именованию > псевдопользователей для уменьшения вероятности конфликтов? Например, > ставить первым символом в имени '_'. > > Какие будут мнения? 1. Но ведь пользователь с подчеркиванием тоже может потенциально существовать в Системе? 2. Какая схема перевода на новую схему? Если честно не хотелось бы разрастания скриптов в rpm-пакетах. 3. Если уж тогда делать какие ограничения на имена, то надо пропатчить useradd чтобы было невозможно создавать имена определенного формата иначе как для системных пользователей (UID < определенного значения). > > -- > Sergey Vlasov > _______________________________________________ > Devel mailing list > Devel@altlinux.ru > http://altlinux.ru/mailman/listinfo/devel ^ permalink raw reply [flat|nested] 5+ messages in thread
* Re: [devel] Q: pseudouser names 2002-12-20 9:54 ` Stanislav Ievlev @ 2002-12-20 10:13 ` Sergey Vlasov 2002-12-20 10:21 ` Stanislav Ievlev 0 siblings, 1 reply; 5+ messages in thread From: Sergey Vlasov @ 2002-12-20 10:13 UTC (permalink / raw) To: devel On Fri, 20 Dec 2002 12:54:00 +0300 Stanislav Ievlev <inger@altlinux.org> wrote: > On Fri, Dec 20, 2002 at 12:27:04PM +0300, Sergey Vlasov wrote: > > Hello! > > > > В Сизифе появляется все больше пакетов, создающих псевдопользователей > > при установке. С точки зрения безопасности это, конечно, правильно, но > > появляется возможность пересечения этих имен с именами реальных > > пользователей системы. Например, у себя я обнаружил пользователя с > > именем ser, а в результате поиска по freshmeat нашелся пакет с таким > > же именем (SIP Express Router). > > > > Возможно, стоит принять какое-то соглашение по именованию > > псевдопользователей для уменьшения вероятности конфликтов? Например, > > ставить первым символом в имени '_'. > > > > Какие будут мнения? > 1. Но ведь пользователь с подчеркиванием тоже может потенциально существовать > в Системе? Да, но по крайней мере вероятность этого меньше. Можно сделать и более длинный префикс (правда, тогда больше шансов напороться на ограничения по длине имени пользователя). > 2. Какая схема перевода на новую схему? Если честно не хотелось бы > разрастания скриптов в rpm-пакетах. Полного перевода не получится - вряд ли стоит переименовывать, к примеру, пользователя apache, это имя используется слишком во многих местах. А вот в новых пакетах об этом подумать стоит. > 3. Если уж тогда делать какие ограничения на имена, то надо пропатчить useradd > чтобы было невозможно создавать имена определенного формата иначе как для > системных пользователей (UID < определенного значения). Видимо, надо. (Хотя уже были крики по поводу несоздаваемости пользователей с точкой в имени...). ^ permalink raw reply [flat|nested] 5+ messages in thread
* Re: [devel] Q: pseudouser names 2002-12-20 10:13 ` Sergey Vlasov @ 2002-12-20 10:21 ` Stanislav Ievlev 0 siblings, 0 replies; 5+ messages in thread From: Stanislav Ievlev @ 2002-12-20 10:21 UTC (permalink / raw) To: devel On Fri, Dec 20, 2002 at 01:13:25PM +0300, Sergey Vlasov wrote: > On Fri, 20 Dec 2002 12:54:00 +0300 > Stanislav Ievlev <inger@altlinux.org> wrote: > > > On Fri, Dec 20, 2002 at 12:27:04PM +0300, Sergey Vlasov wrote: > > > Hello! > > > > > > В Сизифе появляется все больше пакетов, создающих псевдопользователей > > > при установке. С точки зрения безопасности это, конечно, правильно, но > > > появляется возможность пересечения этих имен с именами реальных > > > пользователей системы. Например, у себя я обнаружил пользователя с > > > именем ser, а в результате поиска по freshmeat нашелся пакет с таким > > > же именем (SIP Express Router). > > > > > > Возможно, стоит принять какое-то соглашение по именованию > > > псевдопользователей для уменьшения вероятности конфликтов? Например, > > > ставить первым символом в имени '_'. > > > > > > Какие будут мнения? > > 1. Но ведь пользователь с подчеркиванием тоже может потенциально существовать > > в Системе? > > Да, но по крайней мере вероятность этого меньше. Можно сделать и более > длинный префикс (правда, тогда больше шансов напороться на ограничения > по длине имени пользователя). > > > 2. Какая схема перевода на новую схему? Если честно не хотелось бы > > разрастания скриптов в rpm-пакетах. > > Полного перевода не получится - вряд ли стоит переименовывать, к > примеру, пользователя apache, это имя используется слишком во многих > местах. А вот в новых пакетах об этом подумать стоит. Возможно. Хотя половинчатость решений всегда потенциально превратится в проблему в будущем. К сожалению, много приложений не только бегают под пользователем, но и используют файлы с правами этого пользователя, а то можно было бы создать пул непривилигированных пользователей, выдаваемых приложениям на лету. ^ permalink raw reply [flat|nested] 5+ messages in thread
* Re: [devel] Q: pseudouser names 2002-12-20 9:27 [devel] Q: pseudouser names Sergey Vlasov 2002-12-20 9:54 ` Stanislav Ievlev @ 2002-12-23 9:08 ` Igor Homyakov 1 sibling, 0 replies; 5+ messages in thread From: Igor Homyakov @ 2002-12-23 9:08 UTC (permalink / raw) To: devel Согласен, проблема есть. вижу 2 решения 1. префиксы, например как предлагает DJB (слава богу на свои идеи ин лицензию не поменял) http://cr.yp.to/unixaccount.html 2. выработать некий набор правил, например: - имя привилегированного пользователя == %{name} - имя не привилегированного пользователя == no%{name} - регистрировать всех подобных пользователей и создать что-то вроде /usr/lib/rpm/SYSUSERS P.S. Опять всплывает необходимость иметь четкие правила (package policy), дистрибутив уже вырос до тех размеров когда это становится жезненно необходимо. -- Igor Homyakov <homyakov at altlinux dot ru> http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=190141 ^ permalink raw reply [flat|nested] 5+ messages in thread
end of thread, other threads:[~2002-12-23 9:08 UTC | newest] Thread overview: 5+ messages (download: mbox.gz / follow: Atom feed) -- links below jump to the message on this page -- 2002-12-20 9:27 [devel] Q: pseudouser names Sergey Vlasov 2002-12-20 9:54 ` Stanislav Ievlev 2002-12-20 10:13 ` Sergey Vlasov 2002-12-20 10:21 ` Stanislav Ievlev 2002-12-23 9:08 ` Igor Homyakov
ALT Linux Team development discussions This inbox may be cloned and mirrored by anyone: git clone --mirror http://lore.altlinux.org/devel/0 devel/git/0.git # If you have public-inbox 1.1+ installed, you may # initialize and index your mirror using the following commands: public-inbox-init -V2 devel devel/ http://lore.altlinux.org/devel \ devel@altlinux.org devel@altlinux.ru devel@lists.altlinux.org devel@lists.altlinux.ru devel@linux.iplabs.ru mandrake-russian@linuxteam.iplabs.ru sisyphus@linuxteam.iplabs.ru public-inbox-index devel Example config snippet for mirrors. Newsgroup available over NNTP: nntp://lore.altlinux.org/org.altlinux.lists.devel AGPL code for this site: git clone https://public-inbox.org/public-inbox.git