From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Date: Tue, 1 Apr 2003 08:35:24 +0700 From: Alexey Morozov To: ALT Linux Sisyphus mailing list Subject: Re: [sisyphus] =?koi8-r?B?8M8g0M/Xz8TV?= =?koi8-r?Q?_=2Fusr=2Fsbin=2Fcontrol_=C9?= su Message-ID: <20030401013524.GC9203@bebi.novosoft.ru> References: <20030331211452.GB9203@bebi.novosoft.ru> <20030331210206.GD22484@basalt.office.altlinux.org> Mime-Version: 1.0 Content-Type: text/plain; charset=koi8-r Content-Disposition: inline Content-Transfer-Encoding: 8bit In-Reply-To: <20030331210206.GD22484@basalt.office.altlinux.org> User-Agent: Mutt/1.4i Sender: sisyphus-admin@altlinux.ru Errors-To: sisyphus-admin@altlinux.ru X-BeenThere: sisyphus@altlinux.ru X-Mailman-Version: 2.0.9 Precedence: bulk Reply-To: sisyphus@altlinux.ru List-Unsubscribe: , List-Id: List-Post: List-Help: List-Subscribe: , List-Archive: Archived-At: List-Archive: On Tue, Apr 01, 2003 at 01:02:06AM +0400, Dmitry V. Levin wrote: > 1. Имело место обновление со старого непод'control'ного su до нового > под'control'ного. На момент обновления ещё не было установлено правила > сохранения текущего состояния su, ввиду чего по окончании обновления > состояния su было выставлено в "restricted". > > 2. Поскольку обновление завершено, осталось запустить control и проверить, > все ли значения соответствуют ожидаемым. При дальнейших обновлениях su (и > др.) их нынешние состояния будут сохранены. Ну, это, в общем, уже более-менее понятно. > 3. Если кто-нибудь придумает способ решения проблемы обновления в п.1, > который бы не жертвовал безопасностью системы на момент обновления или по > окончании обновления, то это стоит обсудить. Гхм... (Шёпотом, чтоб не убили сразу): добавлять фазу интерактивной конфигурации в пэкедж-мэнеджер, как в... ой!.. молчу!.. Впрочем, если серьезно, то нынешняя ситуация чревата капитальным DoS'ом, особенно в условиях удаленного или автоматического пакетного обновления. Как ее решать? А точно не удастся подобрать каким-либо "автоматическим способом" конфигурацию control'а, которая бы более-менее соответствовала настройкам по состоянию до начала обновления? Ведь не секрет, что количество людей, правящих ПАМовские настройки сравнительно невелико, а людей, _серьезно_ правящих /etc/pam.d/* - и того меньше. То есть, довольно велики шансы попасть на дистрибутивную или около того конфигурацию некоторой службы. Ну, то есть, например, в случае su, я думаю, подавляющее большинство устроил бы public или wheel, в зависимости от того, была ли включена у них pam_wheel.so в /etc/pam.d/su до обновления или нет. То есть, понятно, что не серебряная пуля, но и не то с машиной, затерянной в какой-нибудь давно не открывавшейся серверной посреди глухой сибирской тайги (вариант: аризонской пустыни, южноафриканской саванны).