From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Date: Mon, 26 May 2003 00:13:20 +0400 From: "Dmitry V. Levin" To: ALT Linux Sisyphus mailing list Subject: Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon Message-ID: <20030525201320.GA30529@basalt.office.altlinux.org> Mail-Followup-To: ALT Linux Sisyphus mailing list References: <200305252137.24472.fred@inion.ru> <20030525185917.GA30249@basalt.office.altlinux.org> <20030525191948.GB18884@osdn.org.ua> <20030525193235.GB30347@basalt.office.altlinux.org> <20030525194428.GC18884@osdn.org.ua> Mime-Version: 1.0 Content-Type: multipart/signed; micalg=pgp-sha1; protocol="application/pgp-signature"; boundary="SUOF0GtieIMvvwua" Content-Disposition: inline In-Reply-To: <20030525194428.GC18884@osdn.org.ua> X-fingerprint: 9658 398D 181B 1200 8FC5 26B8 F6F8 846B C1E2 3429 Sender: sisyphus-admin@altlinux.ru Errors-To: sisyphus-admin@altlinux.ru X-BeenThere: sisyphus@altlinux.ru X-Mailman-Version: 2.0.9 Precedence: bulk Reply-To: sisyphus@altlinux.ru List-Unsubscribe: , List-Id: List-Post: List-Help: List-Subscribe: , List-Archive: Archived-At: List-Archive: --SUOF0GtieIMvvwua Content-Type: text/plain; charset=koi8-r Content-Disposition: inline Content-Transfer-Encoding: 8bit On Sun, May 25, 2003 at 10:44:28PM +0300, Michael Shigorin wrote: > On Sun, May 25, 2003 at 11:32:35PM +0400, Dmitry V. Levin wrote: > > > > Ну вот, выводы делайте сами. > > > Ну так хоть /usr/bin/service "а-ля юзер" сделать можно? > > Чего именно? service crond userstatus? > > Или так, хотя IMO /u/b/s лучше. Можно сделать, чтобы оно запускало service crond userstatus Другое дело, что пользователю проверять статус системных сервисов не к лицу. > > Проблема гораздо глубже, чем кажется на первый взгляд: > > $ readlink -v /proc/3014/exe > > readlink: /proc/3014/exe: Permission denied > > # readlink -v /proc/3014/exe > > /usr/sbin/crond > > > > И это даже не ALT-specific. > > Пользователю-то от этого не легче. "Работало -- сломалось". > Виноват тот, кто попался под руку, и лишь во вторую очередь -- > дистрибутор. (то, что "проблема глубже" -- не волнует уже > практически никого, и это правильно -- на то он и дистрибутор, > чтобы _изолировать_ пользователя от этой проблемы) Если пользователь хочет выполнять системые привилегированные задачи, то это почти так же плохо, как и выполнение рутом пользовательских задач. Надо менять привычки. А pidof smbd nmbd никто и не отменял. Разумеется, и гарантий, что будет найдено то, что нужно, тоже никто не даст. > > > Мне вот что не нравится: вместе со всем (здравым) privsep'ом > > > увеличивается количество ситуаций, когда для того, чтобы > > > "это" все-таки работало, надо получить euid == 0. > > Зачем это? > > Привести выдержку из своего menu.lst, скажем. Вне > административного контекста применительно к системе, которая > оказалась под руками в момент оказания помощи. Это не довод, чтобы рушить систему. > > Права на /boot и /lib/modules не на что не влияют, кроме того, > > что некоторые программы постоянно забывают там файлы с > > неправильными правами, и самый простой способ это исправить в > > рамках дистрибутива - закрыть каталоги. > > Так "самые простые пути" я помню года так с '96--'97 -- route9, > что ли, рэкомендовал для юникс-систем нечто вроде > > chown -R root.root / > chmod -R o-rwx / > > ...а дальше секьюрно работать рутом. Типа умный... > > Я понимаю, что это постоянный tradeoff, но в нем _надо_ (a must) > знать меру -- где мизерный выигрыш в безопасности или "простоте > для дистрибутора" оборачивается постоянными неудобствами при (гм) > поддержке пользователей дистрибутива. На то он и tradeoff. P.S. хватит философии в sisyphus@ -- ldv --SUOF0GtieIMvvwua Content-Type: application/pgp-signature Content-Disposition: inline -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.2 (GNU/Linux) iD8DBQE+0SPg9viEa8HiNCkRAptUAJ4xf0WNBCocwLXSC1fu3hf7hbLLwACeP051 IObbxMClIg01PtoN44gunFI= =JEID -----END PGP SIGNATURE----- --SUOF0GtieIMvvwua--