ALT Linux Team development discussions
 help / color / mirror / Atom feed
* [devel] IA: /usr/sbin/gnome-pty-helper
@ 2002-09-30 12:22 Dmitry V. Levin
  2002-10-01 20:04 ` [devel] " Mikhail Zabaluev
  0 siblings, 1 reply; 12+ messages in thread
From: Dmitry V. Levin @ 2002-09-30 12:22 UTC (permalink / raw)
  To: ALT Devel discussion list

[-- Attachment #1: Type: text/plain, Size: 330 bytes --]

Greetings!

Внимание собирающим Gnome:
программу /usr/sbin/gnome-pty-helper, равно как и все остальные
pty-helper'ы, надо истребить, и использовать вместо них средства,
предоставляемые пакетом libutempter.

Примеры использования - в пакетах, собранных с поддержкой libutempter:
$ rpmquery --whatrequires libutempter.so.1


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

^ permalink raw reply	[flat|nested] 12+ messages in thread

* [devel] Re: IA: /usr/sbin/gnome-pty-helper
  2002-09-30 12:22 [devel] IA: /usr/sbin/gnome-pty-helper Dmitry V. Levin
@ 2002-10-01 20:04 ` Mikhail Zabaluev
  2002-10-02  8:28   ` Dmitry V. Levin
  0 siblings, 1 reply; 12+ messages in thread
From: Mikhail Zabaluev @ 2002-10-01 20:04 UTC (permalink / raw)
  To: ALT Devel discussion list

[-- Attachment #1: Type: text/plain, Size: 608 bytes --]

Hello Dmitry,

On Mon, Sep 30, 2002 at 04:22:35PM +0400, Dmitry V. Levin wrote:
>
> Greetings!
> 
> Внимание собирающим Gnome:
> программу /usr/sbin/gnome-pty-helper, равно как и все остальные
> pty-helper'ы, надо истребить, и использовать вместо них средства,
> предоставляемые пакетом libutempter.

Означает ли это, что все, кто хочет использовать Gnome terminal,
должны входить в группу libutempter?

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
"Well, social relevance is a schtick, like mysteries, social relevance, 
science fiction..."
-- Art Spiegelman

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

^ permalink raw reply	[flat|nested] 12+ messages in thread

* Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper
  2002-10-01 20:04 ` [devel] " Mikhail Zabaluev
@ 2002-10-02  8:28   ` Dmitry V. Levin
  2002-10-02  8:43     ` Mikhail Zabaluev
  2002-10-03  3:59     ` Alexey Morozov
  0 siblings, 2 replies; 12+ messages in thread
From: Dmitry V. Levin @ 2002-10-02  8:28 UTC (permalink / raw)
  To: ALT Devel discussion list

[-- Attachment #1: Type: text/plain, Size: 487 bytes --]

On Wed, Oct 02, 2002 at 12:04:35AM +0400, Mikhail Zabaluev wrote:
> > Внимание собирающим Gnome:
> > программу /usr/sbin/gnome-pty-helper, равно как и все остальные
> > pty-helper'ы, надо истребить, и использовать вместо них средства,
> > предоставляемые пакетом libutempter.
> 
> Означает ли это, что все, кто хочет использовать Gnome terminal,
> должны входить в группу libutempter?

Нет, конечно.
Просто все терминалы должны быть sgid-utempter.
См. xterm в качестве примера.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

^ permalink raw reply	[flat|nested] 12+ messages in thread

* [devel] Re: IA: /usr/sbin/gnome-pty-helper
  2002-10-02  8:28   ` Dmitry V. Levin
@ 2002-10-02  8:43     ` Mikhail Zabaluev
  2002-10-02  8:52       ` Dmitry V. Levin
  2002-10-03  3:59     ` Alexey Morozov
  1 sibling, 1 reply; 12+ messages in thread
From: Mikhail Zabaluev @ 2002-10-02  8:43 UTC (permalink / raw)
  To: ALT Devel discussion list

[-- Attachment #1: Type: text/plain, Size: 808 bytes --]

Hello Dmitry,

On Wed, Oct 02, 2002 at 12:28:40PM +0400, Dmitry V. Levin wrote:
>
> On Wed, Oct 02, 2002 at 12:04:35AM +0400, Mikhail Zabaluev wrote:
> > > Внимание собирающим Gnome:
> > > программу /usr/sbin/gnome-pty-helper, равно как и все остальные
> > > pty-helper'ы, надо истребить, и использовать вместо них средства,
> > > предоставляемые пакетом libutempter.
> > 
> > Означает ли это, что все, кто хочет использовать Gnome terminal,
> > должны входить в группу libutempter?
> 
> Нет, конечно.
> Просто все терминалы должны быть sgid-utempter.
> См. xterm в качестве примера.

Понял. Но пока за правку zvt я засесть не могу.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
All people are born alike -- except Republicans and Democrats.
		-- Groucho Marx

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

^ permalink raw reply	[flat|nested] 12+ messages in thread

* Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper
  2002-10-02  8:43     ` Mikhail Zabaluev
@ 2002-10-02  8:52       ` Dmitry V. Levin
  0 siblings, 0 replies; 12+ messages in thread
From: Dmitry V. Levin @ 2002-10-02  8:52 UTC (permalink / raw)
  To: ALT Devel discussion list

[-- Attachment #1: Type: text/plain, Size: 696 bytes --]

On Wed, Oct 02, 2002 at 12:43:28PM +0400, Mikhail Zabaluev wrote:
> > > > Внимание собирающим Gnome:
> > > > программу /usr/sbin/gnome-pty-helper, равно как и все остальные
> > > > pty-helper'ы, надо истребить, и использовать вместо них средства,
> > > > предоставляемые пакетом libutempter.
> > > 
> > > Означает ли это, что все, кто хочет использовать Gnome terminal,
> > > должны входить в группу libutempter?
> > 
> > Нет, конечно.
> > Просто все терминалы должны быть sgid-utempter.
> > См. xterm в качестве примера.
> 
> Понял. Но пока за правку zvt я засесть не могу.

Тем не менее, я полагаю, что это не сложно, и к моменту выпуска
очередного дистрибутива должно быть завершено.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

^ permalink raw reply	[flat|nested] 12+ messages in thread

* Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper
  2002-10-02  8:28   ` Dmitry V. Levin
  2002-10-02  8:43     ` Mikhail Zabaluev
@ 2002-10-03  3:59     ` Alexey Morozov
  2002-10-03  7:56       ` Dmitry V. Levin
  1 sibling, 1 reply; 12+ messages in thread
From: Alexey Morozov @ 2002-10-03  3:59 UTC (permalink / raw)
  To: ALT Devel discussion list

On Wed, Oct 02, 2002 at 12:28:40PM +0400, Dmitry V. Levin wrote:
> > Означает ли это, что все, кто хочет использовать Gnome terminal,
> > должны входить в группу libutempter?
> Нет, конечно.
> Просто все терминалы должны быть sgid-utempter.
> См. xterm в качестве примера.
http://www.gtk.org/setuid.html



^ permalink raw reply	[flat|nested] 12+ messages in thread

* Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper
  2002-10-03  3:59     ` Alexey Morozov
@ 2002-10-03  7:56       ` Dmitry V. Levin
  2002-10-03 12:17         ` Alexey Morozov
  0 siblings, 1 reply; 12+ messages in thread
From: Dmitry V. Levin @ 2002-10-03  7:56 UTC (permalink / raw)
  To: ALT Devel discussion list

[-- Attachment #1: Type: text/plain, Size: 363 bytes --]

> On Wed, Oct 02, 2002 at 12:28:40PM +0400, Dmitry V. Levin wrote:
> > > Означает ли это, что все, кто хочет использовать Gnome terminal,
> > > должны входить в группу libutempter?
> > Нет, конечно.
> > Просто все терминалы должны быть sgid-utempter.
> > См. xterm в качестве примера.
> http://www.gtk.org/setuid.html

GTK security is not my problem. :)


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

^ permalink raw reply	[flat|nested] 12+ messages in thread

* Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper
  2002-10-03  7:56       ` Dmitry V. Levin
@ 2002-10-03 12:17         ` Alexey Morozov
  2002-10-03 15:27           ` Dmitry V. Levin
  0 siblings, 1 reply; 12+ messages in thread
From: Alexey Morozov @ 2002-10-03 12:17 UTC (permalink / raw)
  To: ALT Devel discussion list

On Thu, Oct 03, 2002 at 11:56:04AM +0400, Dmitry V. Levin wrote:
> > On Wed, Oct 02, 2002 at 12:28:40PM +0400, Dmitry V. Levin wrote:
> > > > Означает ли это, что все, кто хочет использовать Gnome terminal,
> > > > должны входить в группу libutempter?
> > > Нет, конечно.
> > > Просто все терминалы должны быть sgid-utempter.
> > > См. xterm в качестве примера.
> > http://www.gtk.org/setuid.html
> GTK security is not my problem. :)
Дмитрий, Вы понимаете, что принимаемое Вами решение вызовет
_необходимость_ вести _свою_ ветку GTK+? Потому что простым патчем дело
уме не обойдется, придется _аккуратно_ следить, что GNOME Terminal и,
насколько я помню, Eterm вполне секурны и все такое? Я в этом, например,
совершенно не уверен. Равно как не уверен в том, что xterm нынче не
пробиваем. Как говорится, "единожды солгав" и все такое... И г-да
GTK'шники обосновывают свою позицию совершенно верно, они просто не в
состоянии проконтролировать всю свою требуху и, что обиднее, надежность
Xlib итп (что, собственно, и показывают многочисленные эксплойты для
того же xterm)

В этом смысле, если мы не позволяем кому попало писать в utmp/wtmp, то
лучше это делать из приложения, которое можно проверить глазами.
Я за /какой-либо/ pty-helper, который уже должен поднимать привилегии до
нужного уровня, делать всю работу и уходить. Если Вы против именно
gnome-pty-helper'а, "предложите другой, многие Вам спасибо скажут".




^ permalink raw reply	[flat|nested] 12+ messages in thread

* Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper
  2002-10-03 12:17         ` Alexey Morozov
@ 2002-10-03 15:27           ` Dmitry V. Levin
  2002-10-04 11:02             ` Alexey Morozov
  0 siblings, 1 reply; 12+ messages in thread
From: Dmitry V. Levin @ 2002-10-03 15:27 UTC (permalink / raw)
  To: ALT Devel discussion list

[-- Attachment #1: Type: text/plain, Size: 2257 bytes --]

On Thu, Oct 03, 2002 at 07:17:04PM +0700, Alexey Morozov wrote:
> > > > > Означает ли это, что все, кто хочет использовать Gnome terminal,
> > > > > должны входить в группу libutempter?
> > > > Нет, конечно.
> > > > Просто все терминалы должны быть sgid-utempter.
> > > > См. xterm в качестве примера.
> > > http://www.gtk.org/setuid.html
> > GTK security is not my problem. :)
> Дмитрий, Вы понимаете, что принимаемое Вами решение вызовет
> _необходимость_ вести _свою_ ветку GTK+? Потому что простым патчем дело
> уме не обойдется, придется _аккуратно_ следить, что GNOME Terminal и,
> насколько я помню, Eterm вполне секурны и все такое? Я в этом, например,
> совершенно не уверен. Равно как не уверен в том, что xterm нынче не
> пробиваем. Как говорится, "единожды солгав" и все такое... И г-да
> GTK'шники обосновывают свою позицию совершенно верно, они просто не в
> состоянии проконтролировать всю свою требуху и, что обиднее, надежность
> Xlib итп (что, собственно, и показывают многочисленные эксплойты для
> того же xterm)

Т.е. Вы предлагаете запретить всем этим "неблагонадежным" терминалам
прямо или косвенно вносить изменения в utmp&wtmp?
Об этом можно подумать...

> В этом смысле, если мы не позволяем кому попало писать в utmp/wtmp, то
> лучше это делать из приложения, которое можно проверить глазами.
> Я за /какой-либо/ pty-helper, который уже должен поднимать привилегии до
> нужного уровня, делать всю работу и уходить. Если Вы против именно
> gnome-pty-helper'а, "предложите другой, многие Вам спасибо скажут".

Единственный helper, которому я доверяю, это /usr/lib/utempter/utempter из
пакета libutempter, ибо я написал его с нуля, пользуясь лишь идеей
Eric Troan'овского utempter'а.

Схема таковa:
Есть привилегированный helper (sgid-utmp /usr/lib/utempter/utempter),
который может быть запущен только процессом, входящим в группу utempter
(или рутом). Таким образом, те пользовательские приложения, которым мы
доверяем вносить изменения в utmp&wtmp, делаются sgid-utempter. При этом
_все_без_исключения_ остальные sgid-utmp приложения из системы убираются.

Вот перечень пакетов в текущем Сизифе, собранных с поддержкой libutempter:
Eterm-0.9.1-alt1.2
aterm-0.4.2-alt4
rxvt-2.6.3-ipl9mdk
screen-3.9.11-alt1
xterm-167-alt3


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

^ permalink raw reply	[flat|nested] 12+ messages in thread

* Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper
  2002-10-03 15:27           ` Dmitry V. Levin
@ 2002-10-04 11:02             ` Alexey Morozov
  2002-10-04 14:19               ` Dmitry V. Levin
  0 siblings, 1 reply; 12+ messages in thread
From: Alexey Morozov @ 2002-10-04 11:02 UTC (permalink / raw)
  To: ALT Devel discussion list

On Thu, Oct 03, 2002 at 07:27:07PM +0400, Dmitry V. Levin wrote:
> Есть привилегированный helper (sgid-utmp /usr/lib/utempter/utempter),
> который может быть запущен только процессом, входящим в группу utempter
> (или рутом). Таким образом, те пользовательские приложения, которым мы
> доверяем вносить изменения в utmp&wtmp, делаются sgid-utempter. При этом
> _все_без_исключения_ остальные sgid-utmp приложения из системы убираются.
Ну, в этой схеме есть один недостаток: у нас не будет GTK'шных
терминалов. Либо все такие терминалы _обязаны_ делать
setresgid(getgid()...) до инициализации графической подсистемы.
Возможно, последнее - вполне разумное требование.

P.S. setresgid - это чтобы назад пути не было. Если можно забыть про
сохраненный gid, то можно делать setegid(getgid())



^ permalink raw reply	[flat|nested] 12+ messages in thread

* Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper
  2002-10-04 11:02             ` Alexey Morozov
@ 2002-10-04 14:19               ` Dmitry V. Levin
  2002-10-07  7:18                 ` Alexey Morozov
  0 siblings, 1 reply; 12+ messages in thread
From: Dmitry V. Levin @ 2002-10-04 14:19 UTC (permalink / raw)
  To: ALT Devel discussion list

[-- Attachment #1: Type: text/plain, Size: 912 bytes --]

On Fri, Oct 04, 2002 at 06:02:12PM +0700, Alexey Morozov wrote:
> > Есть привилегированный helper (sgid-utmp /usr/lib/utempter/utempter),
> > который может быть запущен только процессом, входящим в группу utempter
> > (или рутом). Таким образом, те пользовательские приложения, которым мы
> > доверяем вносить изменения в utmp&wtmp, делаются sgid-utempter. При этом
> > _все_без_исключения_ остальные sgid-utmp приложения из системы убираются.
> Ну, в этой схеме есть один недостаток: у нас не будет GTK'шных
> терминалов. Либо все такие терминалы _обязаны_ делать
> setresgid(getgid()...) до инициализации графической подсистемы.
> Возможно, последнее - вполне разумное требование.

Одновременно придется запретить им создавать новые файлы.

> P.S. setresgid - это чтобы назад пути не было. Если можно забыть про
> сохраненный gid, то можно делать setegid(getgid())

Нельзя - gtk проверяет все три id.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

^ permalink raw reply	[flat|nested] 12+ messages in thread

* Re: [devel] Re: IA: /usr/sbin/gnome-pty-helper
  2002-10-04 14:19               ` Dmitry V. Levin
@ 2002-10-07  7:18                 ` Alexey Morozov
  0 siblings, 0 replies; 12+ messages in thread
From: Alexey Morozov @ 2002-10-07  7:18 UTC (permalink / raw)
  To: ALT Devel discussion list

On Fri, Oct 04, 2002 at 06:19:17PM +0400, Dmitry V. Levin wrote:
> > setresgid(getgid()...) до инициализации графической подсистемы.
> > Возможно, последнее - вполне разумное требование.
> Одновременно придется запретить им создавать новые файлы.
Все создаваемые файлы должны создаваться после инициализации
pty-helper'а и последующего setresgid(getgid()...)
Тогда они будут принадлежать настоящей группе запускающего терминал
пользователя. "По-моему, так".



^ permalink raw reply	[flat|nested] 12+ messages in thread

end of thread, other threads:[~2002-10-07  7:18 UTC | newest]

Thread overview: 12+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2002-09-30 12:22 [devel] IA: /usr/sbin/gnome-pty-helper Dmitry V. Levin
2002-10-01 20:04 ` [devel] " Mikhail Zabaluev
2002-10-02  8:28   ` Dmitry V. Levin
2002-10-02  8:43     ` Mikhail Zabaluev
2002-10-02  8:52       ` Dmitry V. Levin
2002-10-03  3:59     ` Alexey Morozov
2002-10-03  7:56       ` Dmitry V. Levin
2002-10-03 12:17         ` Alexey Morozov
2002-10-03 15:27           ` Dmitry V. Levin
2002-10-04 11:02             ` Alexey Morozov
2002-10-04 14:19               ` Dmitry V. Levin
2002-10-07  7:18                 ` Alexey Morozov

ALT Linux Team development discussions

This inbox may be cloned and mirrored by anyone:

	git clone --mirror http://lore.altlinux.org/devel/0 devel/git/0.git

	# If you have public-inbox 1.1+ installed, you may
	# initialize and index your mirror using the following commands:
	public-inbox-init -V2 devel devel/ http://lore.altlinux.org/devel \
		devel@altlinux.org devel@altlinux.ru devel@lists.altlinux.org devel@lists.altlinux.ru devel@linux.iplabs.ru mandrake-russian@linuxteam.iplabs.ru sisyphus@linuxteam.iplabs.ru
	public-inbox-index devel

Example config snippet for mirrors.
Newsgroup available over NNTP:
	nntp://lore.altlinux.org/org.altlinux.lists.devel


AGPL code for this site: git clone https://public-inbox.org/public-inbox.git