[devel] IA: /usr/sbin/gnome-pty-helper

[devel] IA: /usr/sbin/gnome-pty-helper

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 330 bytes --]

Greetings!

Внимание собирающим Gnome:
программу /usr/sbin/gnome-pty-helper, равно как и все остальные
pty-helper'ы, надо истребить, и использовать вместо них средства,
предоставляемые пакетом libutempter.

Примеры использования - в пакетах, собранных с поддержкой libutempter:
$ rpmquery --whatrequires libutempter.so.1


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: IA: /usr/sbin/gnome-pty-helper

[Mikhail Zabaluev]

[-- Attachment #1: Type: text/plain, Size: 608 bytes --]

Hello Dmitry,

On Mon, Sep 30, 2002 at 04:22:35PM +0400, Dmitry V. Levin wrote:
>
> Greetings!
> 
> Внимание собирающим Gnome:
> программу /usr/sbin/gnome-pty-helper, равно как и все остальные
> pty-helper'ы, надо истребить, и использовать вместо них средства,
> предоставляемые пакетом libutempter.

Означает ли это, что все, кто хочет использовать Gnome terminal,
должны входить в группу libutempter?

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
"Well, social relevance is a schtick, like mysteries, social relevance, 
science fiction..."
-- Art Spiegelman

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 487 bytes --]

On Wed, Oct 02, 2002 at 12:04:35AM +0400, Mikhail Zabaluev wrote:
> > Внимание собирающим Gnome:
> > программу /usr/sbin/gnome-pty-helper, равно как и все остальные
> > pty-helper'ы, надо истребить, и использовать вместо них средства,
> > предоставляемые пакетом libutempter.
> 
> Означает ли это, что все, кто хочет использовать Gnome terminal,
> должны входить в группу libutempter?

Нет, конечно.
Просто все терминалы должны быть sgid-utempter.
См. xterm в качестве примера.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: IA: /usr/sbin/gnome-pty-helper

[Mikhail Zabaluev]

[-- Attachment #1: Type: text/plain, Size: 808 bytes --]

Hello Dmitry,

On Wed, Oct 02, 2002 at 12:28:40PM +0400, Dmitry V. Levin wrote:
>
> On Wed, Oct 02, 2002 at 12:04:35AM +0400, Mikhail Zabaluev wrote:
> > > Внимание собирающим Gnome:
> > > программу /usr/sbin/gnome-pty-helper, равно как и все остальные
> > > pty-helper'ы, надо истребить, и использовать вместо них средства,
> > > предоставляемые пакетом libutempter.
> > 
> > Означает ли это, что все, кто хочет использовать Gnome terminal,
> > должны входить в группу libutempter?
> 
> Нет, конечно.
> Просто все терминалы должны быть sgid-utempter.
> См. xterm в качестве примера.

Понял. Но пока за правку zvt я засесть не могу.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
All people are born alike -- except Republicans and Democrats.
		-- Groucho Marx

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 696 bytes --]

On Wed, Oct 02, 2002 at 12:43:28PM +0400, Mikhail Zabaluev wrote:
> > > > Внимание собирающим Gnome:
> > > > программу /usr/sbin/gnome-pty-helper, равно как и все остальные
> > > > pty-helper'ы, надо истребить, и использовать вместо них средства,
> > > > предоставляемые пакетом libutempter.
> > > 
> > > Означает ли это, что все, кто хочет использовать Gnome terminal,
> > > должны входить в группу libutempter?
> > 
> > Нет, конечно.
> > Просто все терминалы должны быть sgid-utempter.
> > См. xterm в качестве примера.
> 
> Понял. Но пока за правку zvt я засесть не могу.

Тем не менее, я полагаю, что это не сложно, и к моменту выпуска
очередного дистрибутива должно быть завершено.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper

[Alexey Morozov]

On Wed, Oct 02, 2002 at 12:28:40PM +0400, Dmitry V. Levin wrote:
> > Означает ли это, что все, кто хочет использовать Gnome terminal,
> > должны входить в группу libutempter?
> Нет, конечно.
> Просто все терминалы должны быть sgid-utempter.
> См. xterm в качестве примера.
http://www.gtk.org/setuid.html

Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 363 bytes --]

> On Wed, Oct 02, 2002 at 12:28:40PM +0400, Dmitry V. Levin wrote:
> > > Означает ли это, что все, кто хочет использовать Gnome terminal,
> > > должны входить в группу libutempter?
> > Нет, конечно.
> > Просто все терминалы должны быть sgid-utempter.
> > См. xterm в качестве примера.
> http://www.gtk.org/setuid.html

GTK security is not my problem. :)


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper

[Alexey Morozov]

On Thu, Oct 03, 2002 at 11:56:04AM +0400, Dmitry V. Levin wrote:
> > On Wed, Oct 02, 2002 at 12:28:40PM +0400, Dmitry V. Levin wrote:
> > > > Означает ли это, что все, кто хочет использовать Gnome terminal,
> > > > должны входить в группу libutempter?
> > > Нет, конечно.
> > > Просто все терминалы должны быть sgid-utempter.
> > > См. xterm в качестве примера.
> > http://www.gtk.org/setuid.html
> GTK security is not my problem. :)
Дмитрий, Вы понимаете, что принимаемое Вами решение вызовет
_необходимость_ вести _свою_ ветку GTK+? Потому что простым патчем дело
уме не обойдется, придется _аккуратно_ следить, что GNOME Terminal и,
насколько я помню, Eterm вполне секурны и все такое? Я в этом, например,
совершенно не уверен. Равно как не уверен в том, что xterm нынче не
пробиваем. Как говорится, "единожды солгав" и все такое... И г-да
GTK'шники обосновывают свою позицию совершенно верно, они просто не в
состоянии проконтролировать всю свою требуху и, что обиднее, надежность
Xlib итп (что, собственно, и показывают многочисленные эксплойты для
того же xterm)

В этом смысле, если мы не позволяем кому попало писать в utmp/wtmp, то
лучше это делать из приложения, которое можно проверить глазами.
Я за /какой-либо/ pty-helper, который уже должен поднимать привилегии до
нужного уровня, делать всю работу и уходить. Если Вы против именно
gnome-pty-helper'а, "предложите другой, многие Вам спасибо скажут".

Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2257 bytes --]

On Thu, Oct 03, 2002 at 07:17:04PM +0700, Alexey Morozov wrote:
> > > > > Означает ли это, что все, кто хочет использовать Gnome terminal,
> > > > > должны входить в группу libutempter?
> > > > Нет, конечно.
> > > > Просто все терминалы должны быть sgid-utempter.
> > > > См. xterm в качестве примера.
> > > http://www.gtk.org/setuid.html
> > GTK security is not my problem. :)
> Дмитрий, Вы понимаете, что принимаемое Вами решение вызовет
> _необходимость_ вести _свою_ ветку GTK+? Потому что простым патчем дело
> уме не обойдется, придется _аккуратно_ следить, что GNOME Terminal и,
> насколько я помню, Eterm вполне секурны и все такое? Я в этом, например,
> совершенно не уверен. Равно как не уверен в том, что xterm нынче не
> пробиваем. Как говорится, "единожды солгав" и все такое... И г-да
> GTK'шники обосновывают свою позицию совершенно верно, они просто не в
> состоянии проконтролировать всю свою требуху и, что обиднее, надежность
> Xlib итп (что, собственно, и показывают многочисленные эксплойты для
> того же xterm)

Т.е. Вы предлагаете запретить всем этим "неблагонадежным" терминалам
прямо или косвенно вносить изменения в utmp&wtmp?
Об этом можно подумать...

> В этом смысле, если мы не позволяем кому попало писать в utmp/wtmp, то
> лучше это делать из приложения, которое можно проверить глазами.
> Я за /какой-либо/ pty-helper, который уже должен поднимать привилегии до
> нужного уровня, делать всю работу и уходить. Если Вы против именно
> gnome-pty-helper'а, "предложите другой, многие Вам спасибо скажут".

Единственный helper, которому я доверяю, это /usr/lib/utempter/utempter из
пакета libutempter, ибо я написал его с нуля, пользуясь лишь идеей
Eric Troan'овского utempter'а.

Схема таковa:
Есть привилегированный helper (sgid-utmp /usr/lib/utempter/utempter),
который может быть запущен только процессом, входящим в группу utempter
(или рутом). Таким образом, те пользовательские приложения, которым мы
доверяем вносить изменения в utmp&wtmp, делаются sgid-utempter. При этом
_все_без_исключения_ остальные sgid-utmp приложения из системы убираются.

Вот перечень пакетов в текущем Сизифе, собранных с поддержкой libutempter:
Eterm-0.9.1-alt1.2
aterm-0.4.2-alt4
rxvt-2.6.3-ipl9mdk
screen-3.9.11-alt1
xterm-167-alt3


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper

[Alexey Morozov]

On Thu, Oct 03, 2002 at 07:27:07PM +0400, Dmitry V. Levin wrote:
> Есть привилегированный helper (sgid-utmp /usr/lib/utempter/utempter),
> который может быть запущен только процессом, входящим в группу utempter
> (или рутом). Таким образом, те пользовательские приложения, которым мы
> доверяем вносить изменения в utmp&wtmp, делаются sgid-utempter. При этом
> _все_без_исключения_ остальные sgid-utmp приложения из системы убираются.
Ну, в этой схеме есть один недостаток: у нас не будет GTK'шных
терминалов. Либо все такие терминалы _обязаны_ делать
setresgid(getgid()...) до инициализации графической подсистемы.
Возможно, последнее - вполне разумное требование.

P.S. setresgid - это чтобы назад пути не было. Если можно забыть про
сохраненный gid, то можно делать setegid(getgid())

Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 912 bytes --]

On Fri, Oct 04, 2002 at 06:02:12PM +0700, Alexey Morozov wrote:
> > Есть привилегированный helper (sgid-utmp /usr/lib/utempter/utempter),
> > который может быть запущен только процессом, входящим в группу utempter
> > (или рутом). Таким образом, те пользовательские приложения, которым мы
> > доверяем вносить изменения в utmp&wtmp, делаются sgid-utempter. При этом
> > _все_без_исключения_ остальные sgid-utmp приложения из системы убираются.
> Ну, в этой схеме есть один недостаток: у нас не будет GTK'шных
> терминалов. Либо все такие терминалы _обязаны_ делать
> setresgid(getgid()...) до инициализации графической подсистемы.
> Возможно, последнее - вполне разумное требование.

Одновременно придется запретить им создавать новые файлы.

> P.S. setresgid - это чтобы назад пути не было. Если можно забыть про
> сохраненный gid, то можно делать setegid(getgid())

Нельзя - gtk проверяет все три id.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper

[Alexey Morozov]

On Fri, Oct 04, 2002 at 06:19:17PM +0400, Dmitry V. Levin wrote:
> > setresgid(getgid()...) до инициализации графической подсистемы.
> > Возможно, последнее - вполне разумное требование.
> Одновременно придется запретить им создавать новые файлы.
Все создаваемые файлы должны создаваться после инициализации
pty-helper'а и последующего setresgid(getgid()...)
Тогда они будут принадлежать настоящей группе запускающего терминал
пользователя. "По-моему, так".