[devel] default umask

[devel] default umask

[Stanislav Levin]

[-- Attachment #1.1: Type: text/plain, Size: 452 bytes --]

Здравствуйте.

В рамках https://www.openwall.com/lists/oss-security/2020/10/07/4 хочу
поинтересоваться почему у нас по умолчанию umask 0022 (/etc/profile)?
Какие-то исторические проблемы совместимости?

Спрашиваю, потому что как минимум один альтовый скрипт ставит UMASK 076
в login.defs.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 840 bytes --]

Re: [devel] default umask

[Vitaly Lipatov]

Stanislav Levin писал 8.12.20 16:02:
> Здравствуйте.
> 
> В рамках https://www.openwall.com/lists/oss-security/2020/10/07/4 хочу
> поинтересоваться почему у нас по умолчанию umask 0022 (/etc/profile)?
> Какие-то исторические проблемы совместимости?
> 
> Спрашиваю, потому что как минимум один альтовый скрипт ставит UMASK 076
> в login.defs.
См. также пакет umask-control, позволяющий управлять умолчанием для 
umask через control.


-- 
С уважением,
Виталий Липатов,
ALT Linux Team

Re: [devel] default umask

[Stanislav Levin]

08.12.2020 16:14, Vitaly Lipatov пишет:
> Stanislav Levin писал 8.12.20 16:02:
>> Здравствуйте.
>>
>> В рамках https://www.openwall.com/lists/oss-security/2020/10/07/4 хочу
>> поинтересоваться почему у нас по умолчанию umask 0022 (/etc/profile)?
>> Какие-то исторические проблемы совместимости?
>>
>> Спрашиваю, потому что как минимум один альтовый скрипт ставит UMASK 076
>> в login.defs.
> См. также пакет umask-control, позволяющий управлять умолчанием для
> umask через control.
> 
> 
Спасибо,
но вопрос не в том, как поменять, а про значение по умолчанию.

Re: [devel] default umask

[Mikhail Efremov]

On Tue, 8 Dec 2020 16:02:51 +0300 Stanislav Levin wrote:
> Здравствуйте.
> 
> В рамках https://www.openwall.com/lists/oss-security/2020/10/07/4 хочу
> поинтересоваться почему у нас по умолчанию umask 0022 (/etc/profile)?
> Какие-то исторические проблемы совместимости?

А что не так с таким umask? Хорошее умолчание для большинства файлов.
По ссылке же речь о правах на домашние каталоги, которые регулируются
как раз UMASK в login.defs.

> Спрашиваю, потому что как минимум один альтовый скрипт ставит UMASK
> 076 в login.defs.

По умолчанию у нас 077 и это хорошо.

-- 
WBR, Mikhail Efremov

Re: [devel] default umask

[Stanislav Levin]

[-- Attachment #1.1: Type: text/plain, Size: 1203 bytes --]



08.12.2020 16:54, Mikhail Efremov пишет:
> On Tue, 8 Dec 2020 16:02:51 +0300 Stanislav Levin wrote:
>> Здравствуйте.
>>
>> В рамках https://www.openwall.com/lists/oss-security/2020/10/07/4 хочу
>> поинтересоваться почему у нас по умолчанию umask 0022 (/etc/profile)?
>> Какие-то исторические проблемы совместимости?
> 
> А что не так с таким umask? Хорошее умолчание для большинства файлов.
> По ссылке же речь о правах на домашние каталоги, которые регулируются
> как раз UMASK в login.defs.
> 
По ссылке речь о пермишенах для хомяк и дефолтном umask.

1) проблема в том, что есть приложения, которые надеются на umask по
умолчанию и не выставляют должные пермишены или не меняют umask перед
созданием файлов/директорий, создавая возможность получить доступ к
информации третьих лиц.
2) пользователи могут и не догадываться, что их домашняя директория
доступна для перехода, при этом пользуясь дефолтным umask, подвергают
опасности свою информацию.

Поэтому и возник вопрос, а что мешает поставить 077.

>> Спрашиваю, потому что как минимум один альтовый скрипт ставит UMASK
>> 076 в login.defs.
> 
> По умолчанию у нас 077 и это хорошо.
> 
Тут вопросов-то и нет.



[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 840 bytes --]

Re: [devel] default umask

[Mikhail Efremov]

On Tue, 8 Dec 2020 17:38:32 +0300 Stanislav Levin wrote:
> 08.12.2020 16:54, Mikhail Efremov пишет:
> > On Tue, 8 Dec 2020 16:02:51 +0300 Stanislav Levin wrote:  
> >> Здравствуйте.
> >>
> >> В рамках https://www.openwall.com/lists/oss-security/2020/10/07/4
> >> хочу поинтересоваться почему у нас по умолчанию umask 0022
> >> (/etc/profile)? Какие-то исторические проблемы совместимости?  
> > 
> > А что не так с таким umask? Хорошее умолчание для большинства
> > файлов. По ссылке же речь о правах на домашние каталоги, которые
> > регулируются как раз UMASK в login.defs.
> >   
> По ссылке речь о пермишенах для хомяк и дефолтном umask.
> 
> 1) проблема в том, что есть приложения, которые надеются на umask по
> умолчанию и не выставляют должные пермишены или не меняют umask перед
> созданием файлов/директорий, создавая возможность получить доступ к
> информации третьих лиц.

Обычно те приложения, которым это важно, все-таки сами заботятся о
нужных правах, как тот же useradd.

> 2) пользователи могут и не догадываться, что их домашняя директория
> доступна для перехода, при этом пользуясь дефолтным umask, подвергают
> опасности свою информацию.

Еще раз: права на домашний каталог устанавливаются только с учетом
UMASK в login.defs, что при этом написано в /etc/profile не играет
совершенно никакой роли.
У апстрима же в UMASK действительно 022 по умолчанию, о чем и идет речь
по вашей ссылке.

> Поэтому и возник вопрос, а что мешает поставить 077.

Подозреваю, что где-то что-то обязательно сломается.

> >> Спрашиваю, потому что как минимум один альтовый скрипт ставит UMASK
> >> 076 в login.defs.  
> > 
> > По умолчанию у нас 077 и это хорошо.
> >   
> Тут вопросов-то и нет.
> 
> 


-- 
WBR, Mikhail Efremov

Re: [devel] default umask

[Alexey V. Vissarionov]

On 2020-12-08 17:38:32 +0300, Stanislav Levin wrote:

 >>> В рамках https://www.openwall.com/lists/oss-security/2020/10/07/4
 >>> хочу поинтересоваться почему у нас по умолчанию umask 0022
 >>> (/etc/profile)? Какие-то исторические проблемы совместимости?
 >> А что не так с таким umask? Хорошее умолчание для большинства
 >> файлов. По ссылке же речь о правах на домашние каталоги, которые
 >> регулируются как раз UMASK в login.defs.
 > По ссылке речь о пермишенах для хомяк и дефолтном umask.

Это (как, надеюсь, до сих пор говорят в Одессе) "две большие разницы".

 > 1) проблема в том, что есть приложения, которые надеются на
 > umask по умолчанию и не выставляют должные пермишены или не
 > меняют umask перед созданием файлов/директорий, создавая
 > возможность получить доступ к информации третьих лиц.

Эти приложения делают абсолютно правильно - они делегируют принятие
решения админу, а не пытаются думать за него. А в тех редчайших
случаях, когда права на каталог должны быть 0700, а на файл 0600,
вполне можно передать системному вызову open() третий параметр.

Я про int open(const char *pathname, int flags, mode_t mode);

 > 2) пользователи могут и не догадываться, что их домашняя
 > директория

Директории были у Наполеона, Петлюры и еще кого-то из малоуважаемых
персонажей. А в файловой системе все же каталоги.

 > доступна для перехода, при этом пользуясь дефолтным umask,
 > подвергают опасности свою информацию.

Это опять же забота админа. Например, на некоторых моих серверах
домашним каталогам пользователей выставлены права 0701 - угадаешь,
что это за серверы? :-)

 > Поэтому и возник вопрос, а что мешает поставить 077.

Ничего не мешает. И любой уважающий себя админ настраивает систему
под свои местные нужды.

Что касается значения по умолчанию - действительно, лучше выставить
077 и опять-таки спихнуть дальнейшую настройку на админа.

 >>> Спрашиваю, потому что как минимум один альтовый скрипт
 >>> ставит UMASK 076 в login.defs.
 >> По умолчанию у нас 077 и это хорошо.
 > Тут вопросов-то и нет.

И этого в общем-то достаточно.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] default umask

[Stanislav Levin]

[-- Attachment #1.1: Type: text/plain, Size: 394 bytes --]



09.12.2020 02:56, Alexey V. Vissarionov пишет:
> On 2020-12-08 17:38:32 +0300, Stanislav Levin wrote:
> 


Речь про умолчательные значения и их последствия(umask 077 в
/etc/profile). Я предлагаю поменять, но мне сложно оценить отрицательные
последствия, поэтому прошу совета как у опытных участников сообщества -
почему нет? Может быть, кто-то уже экспериментировал.

Спасибо.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 840 bytes --]

Re: [devel] default umask

[Alexey V. Vissarionov]

On 2020-12-09 10:59:38 +0300, Stanislav Levin wrote:

 > Речь про умолчательные значения и их последствия (umask 077
 > в /etc/profile). Я предлагаю поменять, но мне сложно оценить
 > отрицательные последствия, поэтому прошу совета как у опытных
 > участников сообщества - почему нет? Может быть, кто-то уже
 > экспериментировал.

gremlin@ws:~ > grep umask /etc/csh.cshrc
umask 077
gremlin@ws:~ > rpm -qif /etc/csh.cshrc | grep ^Install
Install Date: Чт 20 июл 2017 17:55:30

Это десктоп. А на серверах ничего кроме 077 и быть не должно -
если понадобится доступ, админ его настроит явно.

Да, у меня на всякий случай еще и

gremlin@ws:~ > grep umask ~/.tcshrc
umask 077

В общем, ничего не ломается :-)


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net