From: "Alexey V. Vissarionov" <gremlin@altlinux.org> To: ALT Linux Team development discussions <devel@lists.altlinux.org> Subject: Re: [devel] default umask Date: Wed, 9 Dec 2020 02:56:33 +0300 Message-ID: <20201208235633.GD21271@altlinux.org> (raw) In-Reply-To: <bf722fe6-ba5d-f04e-5c5e-2104c4b82776@altlinux.org> On 2020-12-08 17:38:32 +0300, Stanislav Levin wrote: >>> В рамках https://www.openwall.com/lists/oss-security/2020/10/07/4 >>> хочу поинтересоваться почему у нас по умолчанию umask 0022 >>> (/etc/profile)? Какие-то исторические проблемы совместимости? >> А что не так с таким umask? Хорошее умолчание для большинства >> файлов. По ссылке же речь о правах на домашние каталоги, которые >> регулируются как раз UMASK в login.defs. > По ссылке речь о пермишенах для хомяк и дефолтном umask. Это (как, надеюсь, до сих пор говорят в Одессе) "две большие разницы". > 1) проблема в том, что есть приложения, которые надеются на > umask по умолчанию и не выставляют должные пермишены или не > меняют umask перед созданием файлов/директорий, создавая > возможность получить доступ к информации третьих лиц. Эти приложения делают абсолютно правильно - они делегируют принятие решения админу, а не пытаются думать за него. А в тех редчайших случаях, когда права на каталог должны быть 0700, а на файл 0600, вполне можно передать системному вызову open() третий параметр. Я про int open(const char *pathname, int flags, mode_t mode); > 2) пользователи могут и не догадываться, что их домашняя > директория Директории были у Наполеона, Петлюры и еще кого-то из малоуважаемых персонажей. А в файловой системе все же каталоги. > доступна для перехода, при этом пользуясь дефолтным umask, > подвергают опасности свою информацию. Это опять же забота админа. Например, на некоторых моих серверах домашним каталогам пользователей выставлены права 0701 - угадаешь, что это за серверы? :-) > Поэтому и возник вопрос, а что мешает поставить 077. Ничего не мешает. И любой уважающий себя админ настраивает систему под свои местные нужды. Что касается значения по умолчанию - действительно, лучше выставить 077 и опять-таки спихнуть дальнейшую настройку на админа. >>> Спрашиваю, потому что как минимум один альтовый скрипт >>> ставит UMASK 076 в login.defs. >> По умолчанию у нас 077 и это хорошо. > Тут вопросов-то и нет. И этого в общем-то достаточно. -- Alexey V. Vissarionov gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net
next prev parent reply other threads:[~2020-12-08 23:56 UTC|newest] Thread overview: 9+ messages / expand[flat|nested] mbox.gz Atom feed top 2020-12-08 13:02 Stanislav Levin 2020-12-08 13:14 ` Vitaly Lipatov 2020-12-08 13:30 ` Stanislav Levin 2020-12-08 13:54 ` Mikhail Efremov 2020-12-08 14:38 ` Stanislav Levin 2020-12-08 16:10 ` Mikhail Efremov 2020-12-08 23:56 ` Alexey V. Vissarionov [this message] 2020-12-09 7:59 ` Stanislav Levin 2020-12-09 8:28 ` Alexey V. Vissarionov
Reply instructions: You may reply publicly to this message via plain-text email using any one of the following methods: * Save the following mbox file, import it into your mail client, and reply-to-all from there: mbox Avoid top-posting and favor interleaved quoting: https://en.wikipedia.org/wiki/Posting_style#Interleaved_style * Reply using the --to, --cc, and --in-reply-to switches of git-send-email(1): git send-email \ --in-reply-to=20201208235633.GD21271@altlinux.org \ --to=gremlin@altlinux.org \ --cc=devel@lists.altlinux.org \ /path/to/YOUR_REPLY https://kernel.org/pub/software/scm/git/docs/git-send-email.html * If your mail client supports setting the In-Reply-To header via mailto: links, try the mailto: link
ALT Linux Team development discussions This inbox may be cloned and mirrored by anyone: git clone --mirror http://lore.altlinux.org/devel/0 devel/git/0.git # If you have public-inbox 1.1+ installed, you may # initialize and index your mirror using the following commands: public-inbox-init -V2 devel devel/ http://lore.altlinux.org/devel \ devel@altlinux.org devel@altlinux.ru devel@lists.altlinux.org devel@lists.altlinux.ru devel@linux.iplabs.ru mandrake-russian@linuxteam.iplabs.ru sisyphus@linuxteam.iplabs.ru public-inbox-index devel Example config snippet for mirrors. Newsgroup available over NNTP: nntp://lore.altlinux.org/org.altlinux.lists.devel AGPL code for this site: git clone https://public-inbox.org/public-inbox.git