From: "Dmitry V. Levin" <ldv@altlinux.org> To: ALT Devel discussion list <devel@lists.altlinux.org> Subject: Re: [devel] Q: wireshark и "--enable-setuid-install" Date: Mon, 10 Mar 2008 19:22:56 +0300 Message-ID: <20080310162256.GA3935@wo.int.altlinux.org> (raw) In-Reply-To: <20080309142239.GL29885@hell.fortress> [-- Attachment #1: Type: text/plain, Size: 1535 bytes --] On Sun, Mar 09, 2008 at 05:22:39PM +0300, Alexey I. Froloff wrote: > * Dmitry V. Levin <ldv@> [080309 16:39]: > > > В прошлой версии аффтары реализовали механизм privilege > > > separation. Теперь сеть слушает только один процесс dumpcap, > > > отдавая сырой поток основной программе через пайп. Эта и только > > > эта программа теперь имеет право запускаться с правами > > > привелигерованного пользователя. > > А этот привилегированный процесс dumpcap имеет смысл запускать отдельно > > от других процесов wireshark? > В каком смысле? На самом деле dumpcap запускается самими > wireshark и tshark и принимают от него сырой поток данных. > > Оно суидное, выставляет капабилити, сбрасывает привилегии, как > раньше сам *shark делал. Помойму не чрутится, но можно > прикрутить. Если привилегированный dumpcap executable имеет смысл запускать только wireshark'у, то лучше сделать так, чтобы остальные процессы не имели прав запускать этот привилегированный dumpcap executable. По аналогии с libutempter, можно завести какую-нибудь группу _dumpcap, сделать какой-нибудь каталог /usr/libexec/dumpcap c правами доступа %attr(0750,root,_dumpcap), положить dumpcap executable в этот каталог, и повесить set-gid _dumpcap на те executables, которые должны иметь право запускать dumpcap executable. Желательно ещё сделать так, чтобы эти приложения сбрасывали set-gid _dumpcap. > Дырявость диссекторов это тем не менее не компенсирует. Их бы тоже куда-нибудь засунуть, чтобы не высовывались. -- ldv [-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]
next prev parent reply other threads:[~2008-03-10 16:22 UTC|newest] Thread overview: 5+ messages / expand[flat|nested] mbox.gz Atom feed top 2008-03-09 7:51 Alexey I. Froloff 2008-03-09 13:35 ` Dmitry V. Levin 2008-03-09 14:22 ` Alexey I. Froloff 2008-03-10 16:22 ` Dmitry V. Levin [this message] 2008-03-10 16:57 ` Alexey I. Froloff
Reply instructions: You may reply publicly to this message via plain-text email using any one of the following methods: * Save the following mbox file, import it into your mail client, and reply-to-all from there: mbox Avoid top-posting and favor interleaved quoting: https://en.wikipedia.org/wiki/Posting_style#Interleaved_style * Reply using the --to, --cc, and --in-reply-to switches of git-send-email(1): git send-email \ --in-reply-to=20080310162256.GA3935@wo.int.altlinux.org \ --to=ldv@altlinux.org \ --cc=devel@lists.altlinux.org \ /path/to/YOUR_REPLY https://kernel.org/pub/software/scm/git/docs/git-send-email.html * If your mail client supports setting the In-Reply-To header via mailto: links, try the mailto: link
ALT Linux Team development discussions This inbox may be cloned and mirrored by anyone: git clone --mirror http://lore.altlinux.org/devel/0 devel/git/0.git # If you have public-inbox 1.1+ installed, you may # initialize and index your mirror using the following commands: public-inbox-init -V2 devel devel/ http://lore.altlinux.org/devel \ devel@altlinux.org devel@altlinux.ru devel@lists.altlinux.org devel@lists.altlinux.ru devel@linux.iplabs.ru mandrake-russian@linuxteam.iplabs.ru sisyphus@linuxteam.iplabs.ru public-inbox-index devel Example config snippet for mirrors. Newsgroup available over NNTP: nntp://lore.altlinux.org/org.altlinux.lists.devel AGPL code for this site: git clone https://public-inbox.org/public-inbox.git