From: Michael Shigorin <mike@osdn.org.ua> To: ALT Linux Sisyphus mailing list <sisyphus@altlinux.ru> Subject: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon Date: Sun, 25 May 2003 22:44:28 +0300 Message-ID: <20030525194428.GC18884@osdn.org.ua> (raw) In-Reply-To: <20030525193235.GB30347@basalt.office.altlinux.org> [-- Attachment #1: Type: text/plain, Size: 2215 bytes --] On Sun, May 25, 2003 at 11:32:35PM +0400, Dmitry V. Levin wrote: > > > Ну вот, выводы делайте сами. > > Ну так хоть /usr/bin/service "а-ля юзер" сделать можно? > Чего именно? service crond userstatus? Или так, хотя IMO /u/b/s лучше. > Проблема гораздо глубже, чем кажется на первый взгляд: > $ readlink -v /proc/3014/exe > readlink: /proc/3014/exe: Permission denied > # readlink -v /proc/3014/exe > /usr/sbin/crond > > И это даже не ALT-specific. Пользователю-то от этого не легче. "Работало -- сломалось". Виноват тот, кто попался под руку, и лишь во вторую очередь -- дистрибутор. (то, что "проблема глубже" -- не волнует уже практически никого, и это правильно -- на то он и дистрибутор, чтобы _изолировать_ пользователя от этой проблемы) > > Мне вот что не нравится: вместе со всем (здравым) privsep'ом > > увеличивается количество ситуаций, когда для того, чтобы > > "это" все-таки работало, надо получить euid == 0. > Зачем это? Привести выдержку из своего menu.lst, скажем. Вне административного контекста применительно к системе, которая оказалась под руками в момент оказания помощи. > Права на /boot и /lib/modules не на что не влияют, кроме того, > что некоторые программы постоянно забывают там файлы с > неправильными правами, и самый простой способ это исправить в > рамках дистрибутива - закрыть каталоги. Так "самые простые пути" я помню года так с '96--'97 -- route9, что ли, рэкомендовал для юникс-систем нечто вроде chown -R root.root / chmod -R o-rwx / ...а дальше секьюрно работать рутом. Типа умный... Я понимаю, что это постоянный tradeoff, но в нем _надо_ (a must) знать меру -- где мизерный выигрыш в безопасности или "простоте для дистрибутора" оборачивается постоянными неудобствами при (гм) поддержке пользователей дистрибутива. (здесь я еще добрый -- мне не приходилось (пока) выковыривать нужные данные по телефону в тех местах, где пользователи -- _пользователи_ и административных прав им не положено, а ехать непродуктивно) > > Пускать sudo service вместо /sbin/service привыкнуть можно, как > > уже привык пускать sudo ls -l /boot -- но неправильно это. > :) :-/ -- ---- WBR, Michael Shigorin <mike@altlinux.ru> ------ Linux.Kiev http://www.linux.kiev.ua/ [-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
next prev parent reply other threads:[~2003-05-25 19:44 UTC|newest] Thread overview: 24+ messages / expand[flat|nested] mbox.gz Atom feed top 2003-05-25 17:37 [sisyphus] " Fred 2003-05-25 18:59 ` Dmitry V. Levin 2003-05-25 19:19 ` [sisyphus] " Michael Shigorin 2003-05-25 19:32 ` Dmitry V. Levin 2003-05-25 19:44 ` Michael Shigorin [this message] 2003-05-25 20:13 ` Dmitry V. Levin 2003-05-25 22:05 ` Fred 2003-05-25 22:49 ` Dmitry V. Levin 2003-05-26 7:28 ` Michael Shigorin 2003-05-26 9:00 ` Dmitry V. Levin 2003-05-26 9:30 ` Serhiy Brytskyy 2003-05-26 10:05 ` Igor Homyakov 2003-05-26 11:24 ` [sisyphus] fstab Dmitry V. Levin 2003-05-26 11:51 ` Igor Homyakov 2003-05-26 11:42 ` [sisyphus] [JT] start-stop-daemon Alexey Morozov 2003-05-26 11:12 ` Igor Homyakov 2003-05-26 12:09 ` Dmitry V. Levin 2003-05-26 12:41 ` Igor Homyakov 2003-05-26 10:24 ` [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon Ildar Mulyukov 2003-05-26 15:49 ` Michael Shigorin 2003-05-27 0:55 ` Alexey Tourbin 2003-05-27 6:22 ` Igor Homyakov 2003-05-27 11:58 ` Борис Ревякин 2003-05-27 9:29 ` Michael Shigorin
Reply instructions: You may reply publicly to this message via plain-text email using any one of the following methods: * Save the following mbox file, import it into your mail client, and reply-to-all from there: mbox Avoid top-posting and favor interleaved quoting: https://en.wikipedia.org/wiki/Posting_style#Interleaved_style * Reply using the --to, --cc, and --in-reply-to switches of git-send-email(1): git send-email \ --in-reply-to=20030525194428.GC18884@osdn.org.ua \ --to=mike@osdn.org.ua \ --cc=sisyphus@altlinux.ru \ /path/to/YOUR_REPLY https://kernel.org/pub/software/scm/git/docs/git-send-email.html * If your mail client supports setting the In-Reply-To header via mailto: links, try the mailto: link
ALT Linux Sisyphus discussions This inbox may be cloned and mirrored by anyone: git clone --mirror http://lore.altlinux.org/sisyphus/0 sisyphus/git/0.git # If you have public-inbox 1.1+ installed, you may # initialize and index your mirror using the following commands: public-inbox-init -V2 sisyphus sisyphus/ http://lore.altlinux.org/sisyphus \ sisyphus@altlinux.ru sisyphus@altlinux.org sisyphus@lists.altlinux.org sisyphus@lists.altlinux.ru sisyphus@lists.altlinux.com sisyphus@linuxteam.iplabs.ru sisyphus@list.linux-os.ru public-inbox-index sisyphus Example config snippet for mirrors. Newsgroup available over NNTP: nntp://lore.altlinux.org/org.altlinux.lists.sisyphus AGPL code for this site: git clone https://public-inbox.org/public-inbox.git