[devel] Q: рабочий ли PolicyKit?

[devel] Q: рабочий ли PolicyKit?

[Vladimir Lettiev]

Для примера возьмём polkit-gnome-authorization из пакета PolicyKit-gnome.
При выполнении каких-либо задач, требующих определённых привилегий у
пользователя должна запрашиваться авторизация, для этого через dbus
вызывается приложение /usr/libexec/PolicyKit/polkit-gnome-manager,
которое затем вызывает (execve) sgid'ный хелпер
/usr/libexec/PolicyKit/polkit-grant-helper.

Первая проблема в том, что выполнить это хелпер может только root или
пользователь входящий в группу _polkit. Исправить это вобщем-то легко.
Вторая проблема, что несмотря на то, что файл вроде бы sgid и
эффективная группа при запуске становится _polkit, но тем не менее
хелпер вываливается с ошибкой: "polkit-grant-helper: needs to be
setgid _polkit" (дамп strace)
Код выглядит так:

        /* check that we are setgid polkituser */
        egid = getegid ();
        group = getgrgid (egid);
        if (group == NULL) {
                fprintf (stderr, "polkit-grant-helper: cannot lookup
group info for gid %d\n", egid);
                goto out;
        }
        if (strcmp (group->gr_name, POLKIT_GROUP) != 0) {
                fprintf (stderr, "polkit-grant-helper: needs to be
setgid " POLKIT_GROUP "\n");
                goto out;
        }

теоретически должно работать...

-- 
Vladimir Lettiev aka crux <theCrux@gmail.com>

Re: [devel] Q: рабочий ли PolicyKit?

[Ildar Mulyukov]

On 22.09.2008 19:49:59, Vladimir Lettiev wrote:
> Вторая проблема, что несмотря на то, что файл вроде бы sgid и
> эффективная группа при запуске становится _polkit, но тем не менее
> хелпер вываливается с ошибкой: "polkit-grant-helper: needs to be
> setgid _polkit" (дамп strace)

Так фс точно не nosuid ?
-- 
Ildar  Mulyukov,  free SW designer/programmer/packager
=========================================
email: ildar@altlinux.ru
Jabber: ildar@jabber.ru
ICQ: 4334029
ALT Linux Sisyphus http://www.sisyphus.ru
=========================================

Re: [devel] Q: рабочий ли PolicyKit?

[Vladimir Lettiev]

23 сентября 2008 г. 11:57 пользователь Ildar Mulyukov
<ildar@altlinux.ru> написал:
> On 22.09.2008 19:49:59, Vladimir Lettiev wrote:
>>
>> Вторая проблема, что несмотря на то, что файл вроде бы sgid и
>> эффективная группа при запуске становится _polkit, но тем не менее
>> хелпер вываливается с ошибкой: "polkit-grant-helper: needs to be
>> setgid _polkit" (дамп strace)
>
> Так фс точно не nosuid ?

точно.
По дефолту только /home монтируется с nosuid.

$ mount | grep nosuid
/dev/hda5 on /home type ext3

Если сильно затормозить систему, можно даже ps'ом успеть поймать
запуск этого хелпера и увидеть, что его egroup="_polkit"

-- 
Vladimir Lettiev aka crux <theCrux@gmail.com>

Re: [devel] Q: рабочий ли PolicyKit?

[Ildar Mulyukov]

On 23.09.2008 15:04:44, Vladimir Lettiev wrote:
> 23 сентября 2008 г. 11:57 пользователь Ildar Mulyukov
> <ildar@altlinux.ru> написал:
> > On 22.09.2008 19:49:59, Vladimir Lettiev wrote:
> >>
> >> Вторая проблема, что несмотря на то, что файл вроде бы sgid и
> >> эффективная группа при запуске становится _polkit, но тем не менее
> >> хелпер вываливается с ошибкой: "polkit-grant-helper: needs to be
> >> setgid _polkit" (дамп strace)
> >
> > Так фс точно не nosuid ?
> 
> точно.
> По дефолту только /home монтируется с nosuid.
> 
> $ mount | grep nosuid
> /dev/hda5 on /home type ext3
> 
> Если сильно затормозить систему, можно даже ps'ом успеть поймать
> запуск этого хелпера и увидеть, что его egroup="_polkit"

значит, в его недрах что-то не так происходит. ИМХО
-- 
Ildar  Mulyukov,  free SW designer/programmer/packager
=========================================
email: ildar@altlinux.ru
Jabber: ildar@jabber.ru
ICQ: 4334029
ALT Linux Sisyphus http://www.sisyphus.ru
=========================================