[devel] Системные пользователи, которых создаёт systemd-sysusers

[devel] Системные пользователи, которых создаёт systemd-sysusers

[Антон Мидюков]

Здравствуйте

У нас в репозитории есть пакеты, которые создают системного пользователя при установке при помощи systemd-sysusers.
При этом запись для shadow, что пользователь заблокирован, создаётся в /etc/shadow вместо /etc/tcb/username/shadow.
Это не влияет на работу этих пакетов, но может влиять на те программы, которые смотрят записи в /etc/tcb/.
Вопрос, нужно ли с этим что-то делать?

Список пакетов:
brltty                  viy msp antohami @everybody
certspotter             vt @everybody
deepin-app-services     lvol @everybody
deepin-anything         lvol @everybody
deepin-api              lvol @everybody
fwupd                   rider nickel @everybody
gamemode-daemon         nenderus @everybody
kvmd                    sbolshakov @everybody
kvmd-webterm            sbolshakov @everybody

-- 
С уважением, Антон Мидюков <antohami@altlinux.org>

Re: [devel] Системные пользователи, которых создаёт systemd-sysusers

[Alexey V. Vissarionov]

Good ${greeting_time}!

On 2024-02-16 22:03:01 +0700, Антон Мидюков wrote:

 > У нас в репозитории есть пакеты, которые создают системного
 > пользователя при установке при помощи systemd-sysusers.
 > При этом запись для shadow, что пользователь заблокирован,
 > создаётся в /etc/shadow вместо /etc/tcb/username/shadow.

Коряква, причем потенциально создающая уязвимости.

 > Это не влияет на работу этих пакетов, но может влиять на те
 > программы, которые смотрят записи в /etc/tcb/.

Тут может получиться намного интереснее... :-)

 > Вопрос, нужно ли с этим что-то делать?

На выбор: научить это говноподелие работать через PAM (увы, tcb -
изначально PAM-модуль) или выкинуть нахрен и использовать обычный
useradd.

Второй вариант видится мне предпочтительным, ибо установленный и
используемый в системе useradd всегда можно считать правильным, а
какое волшебство происходит у него внутри - мейнтейнера волновать
особо и не должно.

 > Список пакетов:
 > brltty		viy msp antohami @everybody
 > certspotter		vt @everybody
 > deepin-app-services	lvol @everybody
 > deepin-anything	lvol @everybody
 > deepin-api		lvol @everybody
 > fwupd		rider nickel @everybody
 > gamemode-daemon	nenderus @everybody
 > kvmd			sbolshakov @everybody
 > kvmd-webterm		sbolshakov @everybody

Не так уж много, да и пакеты не особо распространенные. Проще их
исправить.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] Системные пользователи, которых создаёт systemd-sysusers

[Vitaly Lipatov]

Антон Мидюков писал(а) 16.2.24 18:03:
> Здравствуйте
> 
> У нас в репозитории есть пакеты, которые создают системного 
> пользователя при установке при помощи systemd-sysusers.
> При этом запись для shadow, что пользователь заблокирован, создаётся в 
> /etc/shadow вместо /etc/tcb/username/shadow.
> Это не влияет на работу этих пакетов, но может влиять на те программы, 
> которые смотрят записи в /etc/tcb/.
> Вопрос, нужно ли с этим что-то делать?
Нужно рекомендовать перевести все пакеты на использование
%config %_sysusersdir/%name.conf
чтобы решить давнюю проблему с самодеятельным добавлением групп и 
пользователей в пост-инсталл скриптах.

Если создаваемые systemd-sysusers пользователи создадут какую-то 
реальную проблему (т.е. если кто столкнётся с проблемой отсутствия 
записи в /etc/tcb/username), это будет повод для заведения баги на пакет 
systemd.


-- 
С уважением,
Виталий Липатов,
ALT Linux Team