Re: [devel] PrivateTmp=true для сеанса обновлённого p9

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 775 bytes --]

On Thu, Apr 22, 2021 at 02:19:34PM +0300, Andrey Cherepanov wrote:
> Кто-нибудь знает, как вычислить виновника, устанавливающего PrivateTmp=true
> для сеанса пользователя для обновлённой системы на p9?

% man systemd.directives | grep -A4 PrivateTmp
       PrivateTmp=
           systemd.exec(5)

       PrivateUsers=
           systemd.exec(5)
--
       PrivateTmp
           org.freedesktop.systemd1(5)

       PrivateUsers
           org.freedesktop.systemd1(5)


Как понять выражение "PrivateTmp=true для сеанса пользователя"?
Эта директива может быть назначена только юниту.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Mikhail Novosyolov]

22.04.2021 15:00, Arseny Maslennikov пишет:
> On Thu, Apr 22, 2021 at 02:19:34PM +0300, Andrey Cherepanov wrote:
>> Кто-нибудь знает, как вычислить виновника, устанавливающего PrivateTmp=true
>> для сеанса пользователя для обновлённой системы на p9?
> % man systemd.directives | grep -A4 PrivateTmp
>        PrivateTmp=
>            systemd.exec(5)
>
>        PrivateUsers=
>            systemd.exec(5)
> --
>        PrivateTmp
>            org.freedesktop.systemd1(5)
>
>        PrivateUsers
>            org.freedesktop.systemd1(5)
>
>
> Как понять выражение "PrivateTmp=true для сеанса пользователя"?
> Эта директива может быть назначена только юниту.
Сеанс пользователя - user-UID.slice - является унитом. pam_systemd работает.

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Alexey Shabalin]

чт, 22 апр. 2021 г. в 14:19, Andrey Cherepanov <cas@altlinux.org>:
>
> Кто-нибудь знает, как вычислить виновника, устанавливающего PrivateTmp=true для сеанса пользователя для обновлённой системы на p9?

$ env| grep TMP
TMP=/tmp/.private/shaba
TMPDIR=/tmp/.private/shaba

Тебя это смущает? или что-то еще? И что нужно?

-- 
Alexey Shabalin

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 2558 bytes --]

On Thu, Apr 22, 2021 at 03:26:12PM +0300, Mikhail Novosyolov wrote:
> 
> 22.04.2021 15:00, Arseny Maslennikov пишет:
> > On Thu, Apr 22, 2021 at 02:19:34PM +0300, Andrey Cherepanov wrote:
> >> Кто-нибудь знает, как вычислить виновника, устанавливающего PrivateTmp=true
> >> для сеанса пользователя для обновлённой системы на p9?
> > % man systemd.directives | grep -A4 PrivateTmp
> >        PrivateTmp=
> >            systemd.exec(5)
> >
> >        PrivateUsers=
> >            systemd.exec(5)
> > --
> >        PrivateTmp
> >            org.freedesktop.systemd1(5)
> >
> >        PrivateUsers
> >            org.freedesktop.systemd1(5)
> >
> >
> > Как понять выражение "PrivateTmp=true для сеанса пользователя"?
> > Эта директива может быть назначена только юниту.
> Сеанс пользователя - user-UID.slice - является унитом. pam_systemd работает.

Я был не слишком подробен.
1) Не любому юниту, а только сервису, маунту, свапу и (почему-то) сокету, см. org.freedesktop.systemd1(5).
2) Slice — это, конечно, тип юнита, но не сеанс пользователя; сеансом
можно разве что session-$ID.scope назвать, который как раз порождается
pam_systemd(8).
3) systemd.exec(5):
       PrivateTmp=
           Takes a boolean argument. If true, sets up a new
           file system namespace for the executed processes
           and mounts private /tmp/ and /var/tmp/ directories
           inside it that are not shared by processes outside
           of the namespace. This is useful to secure access
<...>
           This option is only available for system services
           and is not supported for services running in
           per-user instances of the service manager.

Т. е. в пользовательской инит-последовательности директива неприменима
(иначе некрасиво получается: чтобы mount namespace сделать, надо либо
userns городить, либо привилегии повышать...).

По конкретному вопросу Андрея — подозреваю, какой-то ещё pam-модуль старается.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Andrey Cherepanov]

22 апреля 2021 г. 16:08:04 GMT+03:00, Alexey Shabalin <a.shabalin@gmail.com> пишет:
>чт, 22 апр. 2021 г. в 14:19, Andrey Cherepanov <cas@altlinux.org>:
>>
>> Кто-нибудь знает, как вычислить виновника, устанавливающего
>PrivateTmp=true для сеанса пользователя для обновлённой системы на p9?
>
>$ env| grep TMP
>TMP=/tmp/.private/shaba
>TMPDIR=/tmp/.private/shaba
>
>Тебя это смущает? или что-то еще? И что нужно?

В графическом сеансе после обновления при control pam_mktemp enabled каталога $TMP не существует (там свой namespace). Если есть ~/tmp, хотя бы он используется. Без него совсем плохо.

-- 
Andrey Cherepanov
cas@altlinux.org

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Andrey Cherepanov]

22 апреля 2021 г. 18:38:05 GMT+03:00, Vitaly Lipatov <lav@altlinux.ru> пишет:
>Andrey Cherepanov писал 22.4.21 14:19:
>
>> Кто-нибудь знает, как вычислить виновника, устанавливающего 
>> PrivateTmp=true для сеанса пользователя для обновлённой системы на
>p9?
>
>Ах вот кто начал прятать /tmp от пользователя, так что не найти Иксовый
>
>сокет.
>
>Как вычислить виновника, я знаю.
>
>Сначала нужно завести багу со всеми подробностями.
>А там и выяснится причина.

На что багу вешать?

-- 
Andrey Cherepanov
cas@altlinux.org

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Dmitry V. Levin]

On Thu, Apr 22, 2021 at 07:20:58PM +0300, Andrey Cherepanov wrote:
> 22 апреля 2021 г. 16:08:04 GMT+03:00, Alexey Shabalin пишет:
> >чт, 22 апр. 2021 г. в 14:19, Andrey Cherepanov wrote:
> >>
> >> Кто-нибудь знает, как вычислить виновника, устанавливающего
> >PrivateTmp=true для сеанса пользователя для обновлённой системы на p9?
> >
> >$ env| grep TMP
> >TMP=/tmp/.private/shaba
> >TMPDIR=/tmp/.private/shaba
> >
> >Тебя это смущает? или что-то еще? И что нужно?
> 
> В графическом сеансе после обновления при control pam_mktemp enabled каталога $TMP не существует (там свой namespace). Если есть ~/tmp, хотя бы он используется. Без него совсем плохо.

Другими словами, в pam session stack после pam_mktemp присутствует ещё
какой-то модуль, который устраивает свой PrivateTmp поверх того, что
традиционно делает pam_mktemp, со всеми вытекающими?


-- 
ldv

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Andrey Cherepanov]

22 апреля 2021 г. 19:25:24 GMT+03:00, "Dmitry V. Levin" <ldv@altlinux.org> пишет:
>On Thu, Apr 22, 2021 at 07:20:58PM +0300, Andrey Cherepanov wrote:
>> 22 апреля 2021 г. 16:08:04 GMT+03:00, Alexey Shabalin пишет:
>> >чт, 22 апр. 2021 г. в 14:19, Andrey Cherepanov wrote:
>> >>
>> >> Кто-нибудь знает, как вычислить виновника, устанавливающего
>> >PrivateTmp=true для сеанса пользователя для обновлённой системы на
>p9?
>> >
>> >$ env| grep TMP
>> >TMP=/tmp/.private/shaba
>> >TMPDIR=/tmp/.private/shaba
>> >
>> >Тебя это смущает? или что-то еще? И что нужно?
>> 
>> В графическом сеансе после обновления при control pam_mktemp enabled
>каталога $TMP не существует (там свой namespace). Если есть ~/tmp, хотя
>бы он используется. Без него совсем плохо.
>
>Другими словами, в pam session stack после pam_mktemp присутствует ещё
>какой-то модуль, который устраивает свой PrivateTmp поверх того, что
>традиционно делает pam_mktemp, со всеми вытекающими?

Так точно.

-- 
Andrey Cherepanov
cas@altlinux.org

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Anton Farygin]

On 22.04.2021 18:38, Vitaly Lipatov wrote:
> Ах вот кто начал прятать /tmp от пользователя, так что не найти 
> Иксовый сокет.

Так иксовый сокет уже давно абстрактный, зачем его искать ?

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Anton Farygin]

On 22.04.2021 19:20, Andrey Cherepanov wrote:
>
> 22 апреля 2021 г. 16:08:04 GMT+03:00, Alexey Shabalin <a.shabalin@gmail.com> пишет:
>> чт, 22 апр. 2021 г. в 14:19, Andrey Cherepanov <cas@altlinux.org>:
>>> Кто-нибудь знает, как вычислить виновника, устанавливающего
>> PrivateTmp=true для сеанса пользователя для обновлённой системы на p9?
>>
>> $ env| grep TMP
>> TMP=/tmp/.private/shaba
>> TMPDIR=/tmp/.private/shaba
>>
>> Тебя это смущает? или что-то еще? И что нужно?
> В графическом сеансе после обновления при control pam_mktemp enabled каталога $TMP не существует (там свой namespace). Если есть ~/tmp, хотя бы он используется. Без него совсем плохо.
>
А что у тебя за система ? Я на К 9.1 такого не наблюдаю (на обновлённом) 
- $TMP существует при включенном pam_mktemp

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Vitaly Lipatov]

Anton Farygin писал 22.4.21 19:40:
> On 22.04.2021 18:38, Vitaly Lipatov wrote:
>> Ах вот кто начал прятать /tmp от пользователя, так что не найти 
>> Иксовый сокет.
> 
> Так иксовый сокет уже давно абстрактный, зачем его искать ?

Я вот так не подумал, когда ssh из-за другого /tmp не видит сокет:
$ ssh -Y fenix
Last login: Thu Mar  4 14:23:04 2021 from 192.168.0.91

[user@fenix ~]$ xterm
ssh: connect /tmp/.X11-unix/X0: No such file or directory
xterm: Xt error: Can't open display: localhost:10.0
-- 
С уважением,
Виталий Липатов,
ALT Linux Team

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Anton Farygin]

On 22.04.2021 20:41, Vitaly Lipatov wrote:
> Anton Farygin писал 22.4.21 19:40:
>> On 22.04.2021 18:38, Vitaly Lipatov wrote:
>>> Ах вот кто начал прятать /tmp от пользователя, так что не найти 
>>> Иксовый сокет.
>>
>> Так иксовый сокет уже давно абстрактный, зачем его искать ?
>
> Я вот так не подумал, когда ssh из-за другого /tmp не видит сокет:
> $ ssh -Y fenix
> Last login: Thu Mar  4 14:23:04 2021 from 192.168.0.91
>
> [user@fenix ~]$ xterm
> ssh: connect /tmp/.X11-unix/X0: No such file or directory
> xterm: Xt error: Can't open display: localhost:10.0

А как ты этого добился ?

Я каждый день использую такую связку и не сталкивался.

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Vitaly Lipatov]

Anton Farygin писал 22.4.21 20:43:
> On 22.04.2021 20:41, Vitaly Lipatov wrote:
>> Anton Farygin писал 22.4.21 19:40:
>>> On 22.04.2021 18:38, Vitaly Lipatov wrote:
>>>> Ах вот кто начал прятать /tmp от пользователя, так что не найти 
>>>> Иксовый сокет.
>>> 
>>> Так иксовый сокет уже давно абстрактный, зачем его искать ?
>> 
>> Я вот так не подумал, когда ssh из-за другого /tmp не видит сокет:
>> $ ssh -Y fenix
>> Last login: Thu Mar  4 14:23:04 2021 from 192.168.0.91
>> 
>> [user@fenix ~]$ xterm
>> ssh: connect /tmp/.X11-unix/X0: No such file or directory
>> xterm: Xt error: Can't open display: localhost:10.0
> 
> А как ты этого добился ?
Технически причина в том, что поверх /tmp, в котором сокет, 
смонтировался персональный tmp пользователя...

> 
> Я каждый день использую такую связку и не сталкивался.
Так мы это и выясняем. Где-то xfce4-panel при старте не может 
достучаться до Иксов и не запускается.
У Андрея вот подозрение на PrivateTmp=true

Как обычно, видимо появилось после очередного обновления.

-- 
С уважением,
Виталий Липатов,
ALT Linux Team

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Anton Farygin]

On 22.04.2021 21:05, Vitaly Lipatov wrote:
> Anton Farygin писал 22.4.21 20:43:
>> On 22.04.2021 20:41, Vitaly Lipatov wrote:
>>> Anton Farygin писал 22.4.21 19:40:
>>>> On 22.04.2021 18:38, Vitaly Lipatov wrote:
>>>>> Ах вот кто начал прятать /tmp от пользователя, так что не найти 
>>>>> Иксовый сокет.
>>>>
>>>> Так иксовый сокет уже давно абстрактный, зачем его искать ?
>>>
>>> Я вот так не подумал, когда ssh из-за другого /tmp не видит сокет:
>>> $ ssh -Y fenix
>>> Last login: Thu Mar  4 14:23:04 2021 from 192.168.0.91
>>>
>>> [user@fenix ~]$ xterm
>>> ssh: connect /tmp/.X11-unix/X0: No such file or directory
>>> xterm: Xt error: Can't open display: localhost:10.0
>>
>> А как ты этого добился ?
> Технически причина в том, что поверх /tmp, в котором сокет, 
> смонтировался персональный tmp пользователя...

да иксам уже сто лет как не нужен сокет. может быть ssh требуется ?

что у тебя на той системе говорит ss -l |grep tmp  ?

[devel] Абстрактный сокет (Was: PrivateTmp=true для сеанса обновлённого p9)

[Vladimir D. Seleznev]

On Thu, Apr 22, 2021 at 07:40:58PM +0300, Anton Farygin wrote:
> On 22.04.2021 18:38, Vitaly Lipatov wrote:
> > Ах вот кто начал прятать /tmp от пользователя, так что не найти 
> > Иксовый сокет.
> 
> Так иксовый сокет уже давно абстрактный, зачем его искать ?

Не у всех:

	-nolisten local

Не понимаю, как можно было додуматься до абстрактных сокетов.

-- 
   WBR,
   Vladimir D. Seleznev

Re: [devel] Абстрактный сокет (Was: PrivateTmp=true для сеанса обновлённого p9)

[Anton Farygin]

On 22.04.2021 23:55, Vladimir D. Seleznev wrote:
> On Thu, Apr 22, 2021 at 07:40:58PM +0300, Anton Farygin wrote:
>> On 22.04.2021 18:38, Vitaly Lipatov wrote:
>>> Ах вот кто начал прятать /tmp от пользователя, так что не найти
>>> Иксовый сокет.
>> Так иксовый сокет уже давно абстрактный, зачем его искать ?
> Не у всех:
>
> 	-nolisten local
>
> Не понимаю, как можно было додуматься до абстрактных сокетов.
>
Часто без них невозможно

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Andrey Cherepanov]

22 апреля 2021 г. 20:40:01 GMT+03:00, Anton Farygin <rider@basealt.ru> пишет:
>On 22.04.2021 19:20, Andrey Cherepanov wrote:
>>
>> 22 апреля 2021 г. 16:08:04 GMT+03:00, Alexey Shabalin
><a.shabalin@gmail.com> пишет:
>>> чт, 22 апр. 2021 г. в 14:19, Andrey Cherepanov <cas@altlinux.org>:
>>>> Кто-нибудь знает, как вычислить виновника, устанавливающего
>>> PrivateTmp=true для сеанса пользователя для обновлённой системы на
>p9?
>>>
>>> $ env| grep TMP
>>> TMP=/tmp/.private/shaba
>>> TMPDIR=/tmp/.private/shaba
>>>
>>> Тебя это смущает? или что-то еще? И что нужно?
>> В графическом сеансе после обновления при control pam_mktemp enabled
>каталога $TMP не существует (там свой namespace). Если есть ~/tmp, хотя
>бы он используется. Без него совсем плохо.
>>
>А что у тебя за система ? Я на К 9.1 такого не наблюдаю (на
>обновлённом) 
>- $TMP существует при включенном pam_mktemp
>
>
>
>_______________________________________________
>Devel mailing list
>Devel@lists.altlinux.org
>https://lists.altlinux.org/mailman/listinfo/devel

С форума: Вот он, вражина: selinux-policy-alt
Удаляешь его - TMP и TMPDIR одинаковые, все хорошо
Устанавливаешь его - TMP и TMPDIR разные, все плохо.

-- 
Andrey Cherepanov
cas@altlinux.org

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Denis Medvedev]

On Fri, 23 Apr 2021 10:05:19 +0300
Andrey Cherepanov <cas@altlinux.org> wrote:

> 22 апреля 2021 г. 20:40:01 GMT+03:00, Anton Farygin
> <rider@basealt.ru> пишет:
> >On 22.04.2021 19:20, Andrey Cherepanov wrote:  
> >>
> >> 22 апреля 2021 г. 16:08:04 GMT+03:00, Alexey Shabalin  
> ><a.shabalin@gmail.com> пишет:  
> >>> чт, 22 апр. 2021 г. в 14:19, Andrey Cherepanov
> >>> <cas@altlinux.org>:  
> >>>> Кто-нибудь знает, как вычислить виновника, устанавливающего  
> >>> PrivateTmp=true для сеанса пользователя для обновлённой системы
> >>> на  
> >p9?  
> >>>
> >>> $ env| grep TMP
> >>> TMP=/tmp/.private/shaba
> >>> TMPDIR=/tmp/.private/shaba
> >>>
> >>> Тебя это смущает? или что-то еще? И что нужно?  
> >> В графическом сеансе после обновления при control pam_mktemp
> >> enabled  
> >каталога $TMP не существует (там свой namespace). Если есть ~/tmp,
> >хотя бы он используется. Без него совсем плохо.  
> >>  
> >А что у тебя за система ? Я на К 9.1 такого не наблюдаю (на
> >обновлённом) 
> >- $TMP существует при включенном pam_mktemp
> >
> >
> >
> >_______________________________________________
> >Devel mailing list
> >Devel@lists.altlinux.org
> >https://lists.altlinux.org/mailman/listinfo/devel  
> 
> С форума: Вот он, вражина: selinux-policy-alt
> Удаляешь его - TMP и TMPDIR одинаковые, все хорошо
> Устанавливаешь его - TMP и TMPDIR разные, все плохо.
> 

Так кто же его по умолчанию в p0-то ставит?

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Alexey V. Vissarionov]

On 2021-04-23 10:07:02 +0300, Denis Medvedev wrote:

 >> С форума: Вот он, вражина: selinux-policy-alt
 >> Удаляешь его - TMP и TMPDIR одинаковые, все хорошо
 >> Устанавливаешь его - TMP и TMPDIR разные, все плохо.
 > Так кто же его по умолчанию в p0-то ставит?

Не удивлюсь, если оно приезжает в качестве зависимости.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Denis Medvedev]

On Fri, 23 Apr 2021 11:01:56 +0300
Andrey Cherepanov <cas@altlinux.org> wrote:

> 23.04.2021 10:35, Alexey V. Vissarionov пишет:
> > On 2021-04-23 10:07:02 +0300, Denis Medvedev wrote:
> >
> >   >> С форума: Вот он, вражина: selinux-policy-alt
> >   >> Удаляешь его - TMP и TMPDIR одинаковые, все хорошо
> >   >> Устанавливаешь его - TMP и TMPDIR разные, все плохо.
> >   > Так кто же его по умолчанию в p0-то ставит?
> >
> > Не удивлюсь, если оно приезжает в качестве зависимости.
> >
> >
> Очевидно, какой-то пакет его ранее (во времена 9.1) его хотел,
> поэтому этот пакет попал на диск. И обновлялся до поры до времени.
> Причём ранее он в таком непотребстве не был замечен. Полный тред от
> пострадавшего: https://forum.altlinux.org/index.php?topic=44868.0
> 

Тогда вам поможет
rm /etc/security/namespace.d/namespace-selinux.conf

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Anton Farygin]

On 23.04.2021 11:01, Andrey Cherepanov wrote:
> 23.04.2021 10:35, Alexey V. Vissarionov пишет:
>> On 2021-04-23 10:07:02 +0300, Denis Medvedev wrote:
>>
>>   >> С форума: Вот он, вражина: selinux-policy-alt
>>   >> Удаляешь его - TMP и TMPDIR одинаковые, все хорошо
>>   >> Устанавливаешь его - TMP и TMPDIR разные, все плохо.
>>   > Так кто же его по умолчанию в p0-то ставит?
>>
>> Не удивлюсь, если оно приезжает в качестве зависимости.
>>
>>
> Очевидно, какой-то пакет его ранее (во времена 9.1) его хотел, поэтому 
> этот пакет попал на диск. И обновлялся до поры до времени. Причём 
> ранее он в таком непотребстве не был замечен. Полный тред от 
> пострадавшего: https://forum.altlinux.org/index.php?topic=44868.0
>
Это довольно старая фича данного решения, без неё не работает. Но 
конкретно в этот пакет её добавил денис 14 января 2019 года - т.е. - два 
года назад в коммите с очень клёвым changelog:

commit 79b02f0935649b5b58fdd38580ab3139a83e4ed7
Author: Denis Medvedev <nbr@altlinux.org>
Date:   Mon Jan 14 13:11:06 2019 +0300

     0.0.47-alt0.M80C.1

     - to c8

Re: [devel] PrivateTmp=true для сеанса обновлённого p9

[Ivan A. Melnikov]

On Fri, Apr 23, 2021 at 11:01:56AM +0300, Andrey Cherepanov wrote:
> 23.04.2021 10:35, Alexey V. Vissarionov пишет:
> > On 2021-04-23 10:07:02 +0300, Denis Medvedev wrote:
> > 
> >   >> С форума: Вот он, вражина: selinux-policy-alt
> >   >> Удаляешь его - TMP и TMPDIR одинаковые, все хорошо
> >   >> Устанавливаешь его - TMP и TMPDIR разные, все плохо.
> >   > Так кто же его по умолчанию в p0-то ставит?
> > 
> > Не удивлюсь, если оно приезжает в качестве зависимости.
> > 
> > 
> Очевидно, какой-то пакет его ранее (во времена 9.1) его хотел, поэтому этот
> пакет попал на диск.

Например, https://bugzilla.altlinux.org/38788

-- 
  wbr,
    iv m.