Re: [devel] [girar-acl] sisyphus

Re: [devel] [girar-acl] sisyphus

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 587 bytes --]

On Mon, Nov 23, 2009 at 12:32:02AM +0300, Girar ACL robot wrote:
> Dear Anton Farygin!
> 
> Result of your acl command(s) is listed below:
> 
> < libsemanage add @everybody
> > OK: libsemanage: rider shrek @everybody
> < audit add @everybody
> > OK: audit: rider inger @everybody
> 
> Summary: acl change transaction COMPLETE.

Taking into consideration that libpam.so.0, /bin/login, and /usr/sbin/sshd
are linked with libaudit.so.0, this ACL change effectively means that I
can freely grand @everybody now to build pam, SimplePAMApps and openssh
packages.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] [girar-acl] sisyphus

[Alexey Gladkov]

23.11.2009 01:00, Dmitry V. Levin wrote:
>>> OK: audit: rider inger @everybody
> Taking into consideration that libpam.so.0, /bin/login, and /usr/sbin/sshd
> are linked with libaudit.so.0, this ACL change effectively means that I
> can freely grand @everybody now to build pam, SimplePAMApps and openssh
> packages.

I take care about audit, if you do not mind.

-- 
Rgrds, legion

Re: [devel] [girar-acl] sisyphus

[Anton Farygin]

23.11.2009 01:00, Dmitry V. Levin пишет:
> On Mon, Nov 23, 2009 at 12:32:02AM +0300, Girar ACL robot wrote:
>> Dear Anton Farygin!
>>
>> Result of your acl command(s) is listed below:
>>
>> <  libsemanage add @everybody
>>> OK: libsemanage: rider shrek @everybody
>> <  audit add @everybody
>>> OK: audit: rider inger @everybody
>>
>> Summary: acl change transaction COMPLETE.
>
> Taking into consideration that libpam.so.0, /bin/login, and /usr/sbin/sshd
> are linked with libaudit.so.0, this ACL change effectively means that I
> can freely grand @everybody now to build pam, SimplePAMApps and openssh
> packages.

@everybody не означает, что все изменения в коде audit не будут 
отслеживаться.

Кстати, было бы неплохо информировать leader обо всех изменениях в его 
пакетах _отдельным_ письмом.

Re: [devel] [girar-acl] sisyphus

[Anton Farygin]

23.11.2009 01:25, Alexey Gladkov пишет:
> 23.11.2009 01:00, Dmitry V. Levin wrote:
>>>> OK: audit: rider inger @everybody
>> Taking into consideration that libpam.so.0, /bin/login, and /usr/sbin/sshd
>> are linked with libaudit.so.0, this ACL change effectively means that I
>> can freely grand @everybody now to build pam, SimplePAMApps and openssh
>> packages.
>
> I take care about audit, if you do not mind.

эээ... @everybody, это далеко не @nobody.

Re: [devel] [girar-acl] sisyphus

[Alexey Rusakov]

[-- Attachment #1: Type: text/plain, Size: 692 bytes --]

В Пнд, 23/11/2009 в 12:49 +0300, Anton Farygin пишет:
> 23.11.2009 01:25, Alexey Gladkov пишет:
> > 23.11.2009 01:00, Dmitry V. Levin wrote:
> >>>> OK: audit: rider inger @everybody
> >> Taking into consideration that libpam.so.0, /bin/login, and /usr/sbin/sshd
> >> are linked with libaudit.so.0, this ACL change effectively means that I
> >> can freely grand @everybody now to build pam, SimplePAMApps and openssh
> >> packages.
> >
> > I take care about audit, if you do not mind.
> 
> эээ... @everybody, это далеко не @nobody.
У семи нянек дитя без глаза.

-- 
  Alexey "Ktirf" Rusakov
  GNOME Project
  ALT Linux Team

[-- Attachment #2: Эта часть сообщения подписана цифровой подписью --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] [girar-acl] sisyphus

[Anton Farygin]

24.11.2009 13:24, Alexey Rusakov пишет:
> В Пнд, 23/11/2009 в 12:49 +0300, Anton Farygin пишет:
>> 23.11.2009 01:25, Alexey Gladkov пишет:
>>> 23.11.2009 01:00, Dmitry V. Levin wrote:
>>>>>> OK: audit: rider inger @everybody
>>>> Taking into consideration that libpam.so.0, /bin/login, and /usr/sbin/sshd
>>>> are linked with libaudit.so.0, this ACL change effectively means that I
>>>> can freely grand @everybody now to build pam, SimplePAMApps and openssh
>>>> packages.
>>>
>>> I take care about audit, if you do not mind.
>>
>> эээ... @everybody, это далеко не @nobody.
> У семи нянек дитя без глаза.

Эта пословица не применима в данном контексте.

Нянька один, остальные добровольные сиделки.

Re: [devel] [girar-acl] sisyphus

[Alexey Rusakov]

[-- Attachment #1: Type: text/plain, Size: 1474 bytes --]

В Втр, 24/11/2009 в 14:07 +0300, Anton Farygin пишет:
> 24.11.2009 13:24, Alexey Rusakov пишет:
> > В Пнд, 23/11/2009 в 12:49 +0300, Anton Farygin пишет:
> >> 23.11.2009 01:25, Alexey Gladkov пишет:
> >>> 23.11.2009 01:00, Dmitry V. Levin wrote:
> >>>>>> OK: audit: rider inger @everybody
> >>>> Taking into consideration that libpam.so.0, /bin/login, and /usr/sbin/sshd
> >>>> are linked with libaudit.so.0, this ACL change effectively means that I
> >>>> can freely grand @everybody now to build pam, SimplePAMApps and openssh
> >>>> packages.
> >>>
> >>> I take care about audit, if you do not mind.
> >>
> >> эээ... @everybody, это далеко не @nobody.
> > У семи нянек дитя без глаза.
> 
> Эта пословица не применима в данном контексте.
> 
> Нянька один, остальные добровольные сиделки.
Надеюсь, ты понимаешь, что теперь любой мейнтейнер (=человек,
научившийся собирать пакеты для Альта) теперь может взять библиотеку и
собрать специальным образом. И хорошо если ты успеешь отсмотреть
изменения до сборки пакета и публикации Сизифа.

-- 
  Alexey "Ktirf" Rusakov
  GNOME Project
  ALT Linux Team

[-- Attachment #2: Эта часть сообщения подписана цифровой подписью --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] [girar-acl] sisyphus

[REAL]

Anton Farygin пишет:
>> У семи нянек дитя без глаза.
> 
> Эта пословица не применима в данном контексте.
> 
> Нянька один, остальные добровольные сиделки.

offtop: да и вообще это больше поговорка, т.е. не "как правило", а по 
отношению к нерадивым ;)

-- 

REAL aka Евгений Ростовцев, программист ЦНИТ КемГУ

Re: [devel] [girar-acl] sisyphus

[Anton Farygin]

24.11.2009 14:25, Alexey Rusakov пишет:
> В Втр, 24/11/2009 в 14:07 +0300, Anton Farygin пишет:
>> 24.11.2009 13:24, Alexey Rusakov пишет:
>>> В Пнд, 23/11/2009 в 12:49 +0300, Anton Farygin пишет:
>>>> 23.11.2009 01:25, Alexey Gladkov пишет:
>>>>> 23.11.2009 01:00, Dmitry V. Levin wrote:
>>>>>>>> OK: audit: rider inger @everybody
>>>>>> Taking into consideration that libpam.so.0, /bin/login, and /usr/sbin/sshd
>>>>>> are linked with libaudit.so.0, this ACL change effectively means that I
>>>>>> can freely grand @everybody now to build pam, SimplePAMApps and openssh
>>>>>> packages.
>>>>>
>>>>> I take care about audit, if you do not mind.
>>>>
>>>> эээ... @everybody, это далеко не @nobody.
>>> У семи нянек дитя без глаза.
>>
>> Эта пословица не применима в данном контексте.
>>
>> Нянька один, остальные добровольные сиделки.
> Надеюсь, ты понимаешь, что теперь любой мейнтейнер (=человек,
> научившийся собирать пакеты для Альта) теперь может взять библиотеку и
> собрать специальным образом. И хорошо если ты успеешь отсмотреть
> изменения до сборки пакета и публикации Сизифа.

Понимаю. Собственно говоря, я уже не раз говорил - это вопрос доверия 
коллегам по цеху.

Ты кому-то из Team не доверяешь ?

Re: [devel] [girar-acl] sisyphus

[Alexey Rusakov]

[-- Attachment #1: Type: text/plain, Size: 1662 bytes --]

В Втр, 24/11/2009 в 14:28 +0300, Anton Farygin пишет:
> > Надеюсь, ты понимаешь, что теперь любой мейнтейнер (=человек,
> > научившийся собирать пакеты для Альта) теперь может взять библиотеку и
> > собрать специальным образом. И хорошо если ты успеешь отсмотреть
> > изменения до сборки пакета и публикации Сизифа.
> 
> Понимаю. Собственно говоря, я уже не раз говорил - это вопрос доверия 
> коллегам по цеху.
> 
> Ты кому-то из Team не доверяешь ?
В отношении конкретных пакетов (не своих, а что-нибудь вроде glibc или
того же PAM) - я доверяю очень узкому кругу людей, в который не включаю
себя (бо не специалист в вопросе). На самом деле проблема даже не в
текущих мейнтейнерах, а в целенаправленном прохождении join@ с целью
скомпрометировать тот или иной пакет. Вероятно, это паранойя и
кликушество, но тем не менее, @everybody резко упрощает получение
доступа к телу^Wbasesystem, и мне от этого не слишком комфортно.

-- 
  Alexey "Ktirf" Rusakov
  GNOME Project
  ALT Linux Team

[-- Attachment #2: Эта часть сообщения подписана цифровой подписью --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] [girar-acl] sisyphus

[Anton Farygin]

25.11.2009 01:17, Alexey Rusakov пишет:
> В Втр, 24/11/2009 в 14:28 +0300, Anton Farygin пишет:
>>> Надеюсь, ты понимаешь, что теперь любой мейнтейнер (=человек,
>>> научившийся собирать пакеты для Альта) теперь может взять библиотеку и
>>> собрать специальным образом. И хорошо если ты успеешь отсмотреть
>>> изменения до сборки пакета и публикации Сизифа.
>>
>> Понимаю. Собственно говоря, я уже не раз говорил - это вопрос доверия
>> коллегам по цеху.
>>
>> Ты кому-то из Team не доверяешь ?
> В отношении конкретных пакетов (не своих, а что-нибудь вроде glibc или
> того же PAM) - я доверяю очень узкому кругу людей, в который не включаю
> себя (бо не специалист в вопросе). На самом деле проблема даже не в
> текущих мейнтейнерах, а в целенаправленном прохождении join@ с целью
> скомпрометировать тот или иной пакет. Вероятно, это паранойя и
> кликушество, но тем не менее, @everybody резко упрощает получение
> доступа к телу^Wbasesystem, и мне от этого не слишком комфортно.

А я вот не парюсь. В любом случае, от целенаправленной атаки на 
репозиторий мы не застрахованы даже в случае наличия ACL.
И пакет к тебе влетит с очередным обновлением, и своё чёрное дело 
сделает когда надо..

Могу рассказать как, если сам не знаешь.

Re: [devel] [girar-acl] sisyphus

[Michael Shigorin]

On Mon, Nov 23, 2009 at 12:49:18PM +0300, Anton Farygin wrote:
> @everybody не означает, что все изменения в коде audit не будут
> отслеживаться.

А ты всё-таки подписался на коммиты в audit ото всех?

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/