From: Alexey Morozov <morozov@novosoft.ru> To: ALT Linux Sisyphus mailing list <sisyphus@altlinux.ru> Subject: Re: [sisyphus] По поводу /usr/sbin/control и su Date: Tue, 1 Apr 2003 08:35:24 +0700 Message-ID: <20030401013524.GC9203@bebi.novosoft.ru> (raw) In-Reply-To: <20030331210206.GD22484@basalt.office.altlinux.org> On Tue, Apr 01, 2003 at 01:02:06AM +0400, Dmitry V. Levin wrote: > 1. Имело место обновление со старого непод'control'ного su до нового > под'control'ного. На момент обновления ещё не было установлено правила > сохранения текущего состояния su, ввиду чего по окончании обновления > состояния su было выставлено в "restricted". > > 2. Поскольку обновление завершено, осталось запустить control и проверить, > все ли значения соответствуют ожидаемым. При дальнейших обновлениях su (и > др.) их нынешние состояния будут сохранены. Ну, это, в общем, уже более-менее понятно. > 3. Если кто-нибудь придумает способ решения проблемы обновления в п.1, > который бы не жертвовал безопасностью системы на момент обновления или по > окончании обновления, то это стоит обсудить. Гхм... (Шёпотом, чтоб не убили сразу): добавлять фазу интерактивной конфигурации в пэкедж-мэнеджер, как в... ой!.. молчу!.. Впрочем, если серьезно, то нынешняя ситуация чревата капитальным DoS'ом, особенно в условиях удаленного или автоматического пакетного обновления. Как ее решать? А точно не удастся подобрать каким-либо "автоматическим способом" конфигурацию control'а, которая бы более-менее соответствовала настройкам по состоянию до начала обновления? Ведь не секрет, что количество людей, правящих ПАМовские настройки сравнительно невелико, а людей, _серьезно_ правящих /etc/pam.d/* - и того меньше. То есть, довольно велики шансы попасть на дистрибутивную или около того конфигурацию некоторой службы. Ну, то есть, например, в случае su, я думаю, подавляющее большинство устроил бы public или wheel, в зависимости от того, была ли включена у них pam_wheel.so в /etc/pam.d/su до обновления или нет. То есть, понятно, что не серебряная пуля, но и не то <beep> с машиной, затерянной в какой-нибудь давно не открывавшейся серверной посреди глухой сибирской тайги (вариант: аризонской пустыни, южноафриканской саванны).
next prev parent reply other threads:[~2003-04-01 1:35 UTC|newest] Thread overview: 10+ messages / expand[flat|nested] mbox.gz Atom feed top 2003-03-31 21:14 Alexey Morozov 2003-03-31 21:02 ` Dmitry V. Levin 2003-04-01 1:35 ` Alexey Morozov [this message] 2003-04-01 15:02 ` Dmitry V. Levin 2003-04-02 9:41 ` Alexey Morozov 2003-04-02 9:24 ` Dmitry V. Levin 2003-04-02 13:03 ` Alexey Morozov 2003-04-01 16:52 ` [sisyphus] " Michael Shigorin 2003-04-02 7:42 ` Artem K. Jouravsky 2003-04-01 12:12 ` [sisyphus] " Vitaly Ostanin
Reply instructions: You may reply publicly to this message via plain-text email using any one of the following methods: * Save the following mbox file, import it into your mail client, and reply-to-all from there: mbox Avoid top-posting and favor interleaved quoting: https://en.wikipedia.org/wiki/Posting_style#Interleaved_style * Reply using the --to, --cc, and --in-reply-to switches of git-send-email(1): git send-email \ --in-reply-to=20030401013524.GC9203@bebi.novosoft.ru \ --to=morozov@novosoft.ru \ --cc=sisyphus@altlinux.ru \ /path/to/YOUR_REPLY https://kernel.org/pub/software/scm/git/docs/git-send-email.html * If your mail client supports setting the In-Reply-To header via mailto: links, try the mailto: link
ALT Linux Sisyphus discussions This inbox may be cloned and mirrored by anyone: git clone --mirror http://lore.altlinux.org/sisyphus/0 sisyphus/git/0.git # If you have public-inbox 1.1+ installed, you may # initialize and index your mirror using the following commands: public-inbox-init -V2 sisyphus sisyphus/ http://lore.altlinux.org/sisyphus \ sisyphus@altlinux.ru sisyphus@altlinux.org sisyphus@lists.altlinux.org sisyphus@lists.altlinux.ru sisyphus@lists.altlinux.com sisyphus@linuxteam.iplabs.ru sisyphus@list.linux-os.ru public-inbox-index sisyphus Example config snippet for mirrors. Newsgroup available over NNTP: nntp://lore.altlinux.org/org.altlinux.lists.sisyphus AGPL code for this site: git clone https://public-inbox.org/public-inbox.git