On Sun, May 25, 2003 at 10:19:48PM +0300, Michael Shigorin wrote:
> On Sun, May 25, 2003 at 10:59:17PM +0400, Dmitry V. Levin wrote:
> > Ну вот, выводы делайте сами.
> 
> Ну так хоть /usr/bin/service "а-ля юзер" сделать можно?

Чего именно? service crond userstatus?

Проблема гораздо глубже, чем кажется на первый взгляд:
$ readlink -v /proc/3014/exe
readlink: /proc/3014/exe: Permission denied
# readlink -v /proc/3014/exe
/usr/sbin/crond

И это даже не ALT-specific.

> Мне вот что не нравится: вместе со всем (здравым) privsep'ом
> увеличивается количество ситуаций, когда для того, чтобы "это"
> все-таки работало, надо получить euid == 0.

Зачем это?

> Напомню касательно /boot и /lib/modules (там, кстати, может пойти
> вариант wheelonly в качестве штатного): действия, которые в
> большинстве дистрибутивов _не_ требуют привилегий root для
> консультативных действий, у нас их _требуют_.  Это не всегда
> оптимально.

Права на /boot и /lib/modules не на что не влияют, кроме того, что
некоторые программы постоянно забывают там файлы с неправильными правами,
и самый простой способ это исправить в рамках дистрибутива - закрыть
каталоги.

> Пускать sudo service вместо /sbin/service привыкнуть можно, как
> уже привык пускать sudo ls -l /boot -- но неправильно это.

:)


--
ldv