From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Date: Fri, 20 Feb 2004 15:28:46 +0600 From: Alexey Morozov To: ALT Devel discussion list Subject: Re: [devel] Re: captive packaging issues Message-ID: <20040220092846.GJ13449@pyro.hopawar.private.net> References: <20040219144316.GD13449@pyro.hopawar.private.net> <20040220081609.GA15905@osdn.org.ua> Mime-Version: 1.0 Content-Type: multipart/signed; micalg=pgp-sha1; protocol="application/pgp-signature"; boundary="4C6bbPZ6c/S1npyF" Content-Disposition: inline In-Reply-To: <20040220081609.GA15905@osdn.org.ua> User-Agent: Mutt/1.4.2.1i X-BeenThere: devel@altlinux.ru X-Mailman-Version: 2.1.4 Precedence: list Reply-To: ALT Devel discussion list List-Id: ALT Devel discussion list List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Fri, 20 Feb 2004 09:28:54 -0000 Archived-At: List-Archive: List-Post: --4C6bbPZ6c/S1npyF Content-Type: text/plain; charset=koi8-r Content-Disposition: inline Content-Transfer-Encoding: 8bit On Fri, Feb 20, 2004 at 10:16:09AM +0200, Michael Shigorin wrote: > On Thu, Feb 19, 2004 at 08:43:16PM +0600, Alexey Morozov wrote: > > %__rm -rf %_var/lib/captive/tmp/*. Возникает вопрос: а стоит > > ли так делать, не обидятся ли на нас пользователи. > А это "известное оным" место? Вероятнее всего, нет, т.к. это именно песочница, в которой играется драйвер. У меня после нескольких [штатных] запусков там все пусто. > Ну если это обвязка _отдельного_ пакета -- то почему нет? > > IMHO если какое-то действие является: > > - недеструктивным в разумно ожидаемой мере > - практически 100% выполняемым после установки пакета > - скриптуемым в неинтерактивном виде > > -- то это повод об[в]язать его исполнением пакет. Ну, хорошо. Я погоняю еще в разных странных режимах, чтобы убедиться, что действительно неинтерактивно все работает. > > > 3. suid-root демон > > captive-sandbox-server сейчас является (один из вариантов для control) > > suid-root из-за необходимости делать chroot в песочницу /var/lib/captive. > > Мне кажется, это неправильно, и в этом месте можно пакет и доработать. > chrootuid? Э-э-э, не. chrootuid - не suid-root (и не должен). Должна же быть штука, которая, будучи запущенной пользователем (если он имеет на это право), сделает chroot в песочницу. Есть два варианта это сделать: fine-grained capabilities (но как их по-настоящему использовать в нынешнем линуксе я не знаю), и банальный suid-root, который чрутился бы, а потом делал бы сброс прав. Впрочем, сегодня обнаружилась доп. проблемка. Соответствующий маунт принимает во внимание только установки локали, и игнорирует iocharset=... Поэтому есть особенность: при запуске sudo mount -t captive-ntfs ... имена отображаются "правильно" (в KOI8-R), а при "системном" монтировании - в UTF-8. Сегодня напишу Яну (Jan), посмотр[им], как можно поправить быстро и правильно. --4C6bbPZ6c/S1npyF Content-Type: application/pgp-signature Content-Disposition: inline -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.2 (GNU/Linux) iD8DBQFANdNOX5DZdJn19V0RApfmAJ9O3sFDzi20JmlKLVh0ZlHSmcw1hgCff0vy nBCyXcHzB3wps6di3X3vttw= =tDsN -----END PGP SIGNATURE----- --4C6bbPZ6c/S1npyF--