From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Date: Mon, 23 Sep 2002 15:09:57 +0400 From: "Dmitry V. Levin" To: ALT Linux Sisyphus mailing list Subject: Re: [sisyphus] chroot Message-ID: <20020923110957.GB28878@basalt.office.altlinux.ru> Mail-Followup-To: ALT Linux Sisyphus mailing list References: <20020923082213.GG21933@basalt.office.altlinux.ru> <3D8ED0F2.1080608@avanto.mpei.ac.ru> <20020923084008.GI21933@basalt.office.altlinux.ru> <3D8ED6AA.7030806@avanto.mpei.ac.ru> <20020923091227.GA24961@basalt.office.altlinux.ru> <3D8EE160.7000506@avanto.mpei.ac.ru> <20020923095313.GB26202@basalt.office.altlinux.ru> <3D8EE562.2030100@avanto.mpei.ac.ru> <11724242829.20020923143828@podlipki.ru> <3D8EF370.5090007@avanto.mpei.ac.ru> Mime-Version: 1.0 Content-Type: multipart/signed; micalg=pgp-sha1; protocol="application/pgp-signature"; boundary="4SFOXa2GPu3tIq4H" Content-Disposition: inline In-Reply-To: <3D8EF370.5090007@avanto.mpei.ac.ru> X-fingerprint: 9658 398D 181B 1200 8FC5 26B8 F6F8 846B C1E2 3429 Sender: sisyphus-admin@altlinux.ru Errors-To: sisyphus-admin@altlinux.ru X-BeenThere: sisyphus@altlinux.ru X-Mailman-Version: 2.0.13 Precedence: bulk Reply-To: sisyphus@altlinux.ru List-Unsubscribe: , List-Id: List-Post: List-Help: List-Subscribe: , List-Archive: Archived-At: List-Archive: --4SFOXa2GPu3tIq4H Content-Type: text/plain; charset=koi8-r Content-Disposition: inline Content-Transfer-Encoding: 8bit On Mon, Sep 23, 2002 at 02:56:48PM +0400, Dmitry E. Oboukhov wrote: > >тем что приложение проламывается, получает права рута и поехали > >веселится в системе. а когда оно в окружении оно тока в окружении и > >навеселится.. > > Если приложение получает права рута в чруте, > то спокойно может из под него вылезти... (почитай тред выше) > > а если оно в чруте не работает от рута, то имхо достаточно юниксовой > системы разграничения прав - тоже не понятно зачем чрут ? > > я предложил обоснование: закрытие _возможно уязвимых мест_, которые > имеют уязвимости по причине того, что где-то что-то недосмотренно > (аналог - фаерволы), однако тут есть и недостаток - расслабляющее > действие на людей: "У нас это работает под чрутом, значит тут все ок" - > а на самом деле мб не ок ? Это не что иное, как воплощение "the least privilege principle" - помещая процесс в chroot jail, мы можем минимизировать доступ к файлам в гораздо большей степени, чем без использования этой технологии. В частности, помимо обычных файлов, которые порой бывает нелегко "спрятать" одними лишь средствами разграничения прав доступа к файловым объектам, существуют еще и такие обекты как /proc и dev/devfs. При минимизации прав доступа не следует отказываться от использования уже реализованных в системе механизмов. Конечно, это не снимает требований к качеству исходного кода самих сервисов. Но это уже совсем другая история, которая тянет на offtopic для этого списка рассылки. -- ldv --4SFOXa2GPu3tIq4H Content-Type: application/pgp-signature Content-Disposition: inline -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.0.7 (GNU/Linux) iD8DBQE9jvaF9viEa8HiNCkRAibdAJ9qXjoNaOCAaJB0AxzIafcoTdOCgACfUtUP 24DAjh5PA2YZRkhUoNaXTQM= =Ktyx -----END PGP SIGNATURE----- --4SFOXa2GPu3tIq4H--