From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Date: Thu, 7 Aug 2025 01:40:56 +0300 From: Vitaly Chikunov To: ALT Linux kernel packages development Message-ID: References: <7w3xdokeyyfvo3pa5ohukt3hch@altlinux.org> <3002431.e9J7NaK4W3@host-160> MIME-Version: 1.0 Content-Type: text/plain; charset=utf-8 Content-Disposition: inline Content-Transfer-Encoding: 8bit In-Reply-To: <3002431.e9J7NaK4W3@host-160> Subject: Re: [d-kernel] [PATCH 0/2] Kiosk: turn off secureexec for allowed executables X-BeenThere: devel-kernel@lists.altlinux.org X-Mailman-Version: 2.1.12 Precedence: list Reply-To: ALT Linux kernel packages development List-Id: ALT Linux kernel packages development List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Wed, 06 Aug 2025 22:40:56 -0000 Archived-At: List-Archive: List-Post: Oleg, On Wed, Aug 06, 2025 at 05:39:41PM +0300, Oleg Solovyov wrote: > В письме от среда, 6 августа 2025 г. 17:06:06 Москва, стандартное время > пользователь Vitaly Chikunov написал: > > Oleg, > > > > On Wed, Aug 06, 2025 at 04:18:21PM +0300, mcpain@altlinux.org wrote: > > > From: Oleg Solovyov > > > > > > Modern desktop environments tends to become incompatible with kiosk. > > > KDE works so far but systemd unit fails to launch [1] > > > GNOME breaks fatally [2] > > > > > > This happens because /lib/systemd/systemd uses secure_getenv() to get > > > environment variables and receives NULL since secureexec is enforced by > > > Kiosk LSM. > > > > > > Since I am uncertain what else is to be replaced with getenv() in > > > systemd and how much things it will break in future I chose to allow > > > running those executables without setting up secureexec. > > > > Не написано кто, планируется, что уберет secureexec флаг, это было бы > > полезно знать для понимания замысла/контекста. > > Не до конца распарсил вопрос, отвечаю так, как его понял: > > Есть пакеты: > - kiosk-profiles: там хранятся executables, которые разрешено запускать > пользователю (UID >= 1000) > - alterator-kiosk: инструмент включения-выключения режима киоска, добавления и > удаления заранее упакованных списков (добавленных админом или находящихся в > пакете kiosk-profiles) и применений изменений (отправление команд через утилиту > kiosk) > - kiosk: cli-шная утилита с простыми командами управления киоском (установить/ > получить состояние киоска, добавить/удалить/получить список разрешенных > приложений) - именно она непосредственно общается с ядром Спасибо. Как я понял, только патч [PATCH 2/2] kiosk: add secureexec parameter стоит применять. > > https://git.altlinux.org/people/mcpain/packages/?p=alterator-kiosk.git&a=shortlog&h=refs/heads/sisyphus > https://git.altlinux.org/people/mcpain/packages/? > p=kiosk.git&a=shortlog&h=refs/heads/sisyphus > > В списках профиля: > U - указанный executable будет запущен с установленным secureexec > u - указанный executable будет запущен без затрагивания secureexec > _______________________________________________ > devel-kernel mailing list > devel-kernel@lists.altlinux.org > https://lists.altlinux.org/mailman/listinfo/devel-kernel