[sisyphus] Fwd: Re: [Comm] start-stop-daemon

[sisyphus] Fwd: Re: [Comm] start-stop-daemon

[Fred]

[-- Attachment #1: Type: text/plain, Size: 718 bytes --]

Приветствую,

вот пересылаю в Сизифус по рекомендации  Дмитрия Левина.

Заранее спасибо :)

----------  Пересланное письмо  ----------


> от Самого:
> root]# service smb status
> smbd is running
> nmbd is running
>
> от себя, любимого:
> fred]$ service smb status
> smbd is stopped
> nmbd is stopped
>
> Лихо!
> Я опять чего-то не прочитал о каких-нибудь изменениях? :)
> Укажите, плз.
> А то у меня мониторящий скриптик крутится, там на  service smb status
> кой-чего завязано. Не от рута ж его теперь пускать...

Да, есть такой момент.
Пишите в sisyphus@, в этом списке рассылки я вам на этот в целом
неплохой вопрос не отвечу - policy запрещает.


--
ldv

-------------------------------------------------------



[-- Attachment #2:   --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (GNU/Linux)

iD8DBQE+0O1M9viEa8HiNCkRArZ8AJ9tt6ICOP7w2jBc2mSUzT/0xF/avACfRReI
JLQ01JJHecIm88QUQ/fyrBk=
=s6oF
-----END PGP SIGNATURE-----

Re: [sisyphus] Fwd: Re: [Comm] start-stop-daemon

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2113 bytes --]

On Sun, May 25, 2003 at 09:37:24PM +0400, Fred wrote:
> > от Самого:
> > root]# service smb status
> > smbd is running
> > nmbd is running
> >
> > от себя, любимого:
> > fred]$ service smb status
> > smbd is stopped
> > nmbd is stopped
> >
> > Лихо!
> > Я опять чего-то не прочитал о каких-нибудь изменениях? :)
> > Укажите, плз.
> > А то у меня мониторящий скриптик крутится, там на  service smb status
> > кой-чего завязано. Не от рута ж его теперь пускать...
> 
> Да, есть такой момент.
> Пишите в sisyphus@, в этом списке рассылки я вам на этот в целом
> неплохой вопрос не отвечу - policy запрещает.

Начиная с того момента, как эта часть initscripts переехала в пакет
service, в реализации произошли существенные изменения, см. моё
развёрнутое письмо на эту тему в архиве devel@.

В частности, status вычисляется более аккуратно, ввиду чего пользователь
не может достоверно установить, запущен ли рутом тот или иной сервис.
Впрочем, с меньшей степенью достоверности (а именно, с той же, что и
раньше) найти процесс можно.

Рассмотрим вкратце эту ситуацию на примере crond, который, в отличие от
smb, запущен практически у всех:
# /etc/init.d/crond status
crond is running
$ /etc/init.d/crond status
crond is dead, but stale PID file exists
$ sh -x /etc/init.d/crond status 2>&1 |grep '^+ start-stop-daemon'
+ start-stop-daemon --stop --test --exec /usr/sbin/crond --pidfile /var/run/crond.pid --user root
$ /sbin/start-stop-daemon --stop --test --exec /usr/sbin/crond --pidfile /var/run/crond.pid --user root
No /usr/sbin/crond found running; none killed.
# /sbin/start-stop-daemon --stop --test --exec /usr/sbin/crond --pidfile /var/run/crond.pid --user root
Would send signal 15 to 3014.

Из приведённого примера видно, что start-stop-daemon(8) не нашёл процесс /usr/sbin/crond.
То же самое говорит и pidof(8):
$ echo "pid=$(pidof /usr/sbin/crond)"
pid=
# echo "pid=$(pidof /usr/sbin/crond)"
pid=3014

В то же самое время:
$ pidof crond
3014
$ /sbin/start-stop-daemon --stop --test --name crond --pidfile /var/run/crond.pid --user root
Would send signal 15 to 3014.

Ну вот, выводы делайте сами.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 803 bytes --]

On Sun, May 25, 2003 at 10:59:17PM +0400, Dmitry V. Levin wrote:
> Ну вот, выводы делайте сами.

Ну так хоть /usr/bin/service "а-ля юзер" сделать можно?

Мне вот что не нравится: вместе со всем (здравым) privsep'ом
увеличивается количество ситуаций, когда для того, чтобы "это"
все-таки работало, надо получить euid == 0.

Напомню касательно /boot и /lib/modules (там, кстати, может пойти
вариант wheelonly в качестве штатного): действия, которые в
большинстве дистрибутивов _не_ требуют привилегий root для
консультативных действий, у нас их _требуют_.  Это не всегда
оптимально.

Пускать sudo service вместо /sbin/service привыкнуть можно, как
уже привык пускать sudo ls -l /boot -- но неправильно это.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1288 bytes --]

On Sun, May 25, 2003 at 10:19:48PM +0300, Michael Shigorin wrote:
> On Sun, May 25, 2003 at 10:59:17PM +0400, Dmitry V. Levin wrote:
> > Ну вот, выводы делайте сами.
> 
> Ну так хоть /usr/bin/service "а-ля юзер" сделать можно?

Чего именно? service crond userstatus?

Проблема гораздо глубже, чем кажется на первый взгляд:
$ readlink -v /proc/3014/exe
readlink: /proc/3014/exe: Permission denied
# readlink -v /proc/3014/exe
/usr/sbin/crond

И это даже не ALT-specific.

> Мне вот что не нравится: вместе со всем (здравым) privsep'ом
> увеличивается количество ситуаций, когда для того, чтобы "это"
> все-таки работало, надо получить euid == 0.

Зачем это?

> Напомню касательно /boot и /lib/modules (там, кстати, может пойти
> вариант wheelonly в качестве штатного): действия, которые в
> большинстве дистрибутивов _не_ требуют привилегий root для
> консультативных действий, у нас их _требуют_.  Это не всегда
> оптимально.

Права на /boot и /lib/modules не на что не влияют, кроме того, что
некоторые программы постоянно забывают там файлы с неправильными правами,
и самый простой способ это исправить в рамках дистрибутива - закрыть
каталоги.

> Пускать sudo service вместо /sbin/service привыкнуть можно, как
> уже привык пускать sudo ls -l /boot -- но неправильно это.

:)


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 2215 bytes --]

On Sun, May 25, 2003 at 11:32:35PM +0400, Dmitry V. Levin wrote:
> > > Ну вот, выводы делайте сами.
> > Ну так хоть /usr/bin/service "а-ля юзер" сделать можно?
> Чего именно? service crond userstatus?

Или так, хотя IMO /u/b/s лучше.

> Проблема гораздо глубже, чем кажется на первый взгляд:
> $ readlink -v /proc/3014/exe
> readlink: /proc/3014/exe: Permission denied
> # readlink -v /proc/3014/exe
> /usr/sbin/crond
> 
> И это даже не ALT-specific.

Пользователю-то от этого не легче.  "Работало -- сломалось".
Виноват тот, кто попался под руку, и лишь во вторую очередь --
дистрибутор.  (то, что "проблема глубже" -- не волнует уже
практически никого, и это правильно -- на то он и дистрибутор,
чтобы _изолировать_ пользователя от этой проблемы)

> > Мне вот что не нравится: вместе со всем (здравым) privsep'ом
> > увеличивается количество ситуаций, когда для того, чтобы
> > "это" все-таки работало, надо получить euid == 0.
> Зачем это?

Привести выдержку из своего menu.lst, скажем.  Вне
административного контекста применительно к системе, которая
оказалась под руками в момент оказания помощи.

> Права на /boot и /lib/modules не на что не влияют, кроме того,
> что некоторые программы постоянно забывают там файлы с
> неправильными правами, и самый простой способ это исправить в
> рамках дистрибутива - закрыть каталоги.

Так "самые простые пути" я помню года так с '96--'97 -- route9,
что ли, рэкомендовал для юникс-систем нечто вроде 

chown -R root.root /
chmod -R o-rwx /

...а дальше секьюрно работать рутом.  Типа умный...

Я понимаю, что это постоянный tradeoff, но в нем _надо_ (a must)
знать меру -- где мизерный выигрыш в безопасности или "простоте
для дистрибутора" оборачивается постоянными неудобствами при (гм)
поддержке пользователей дистрибутива.

(здесь я еще добрый -- мне не приходилось (пока) выковыривать
нужные данные по телефону в тех местах, где пользователи --
_пользователи_ и административных прав им не положено, а ехать
непродуктивно)

> > Пускать sudo service вместо /sbin/service привыкнуть можно, как
> > уже привык пускать sudo ls -l /boot -- но неправильно это.
> :)

:-/

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-25 20:13 UTC (permalink / raw)]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-25 22:05 UTC (permalink / raw)]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-25 22:49 UTC (permalink / raw)]

[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-26 7:28 UTC (permalink / raw)]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-26 9:00 UTC (permalink / raw)]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-26 9:30 UTC (permalink / raw)]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-26 10:05 UTC (permalink / raw)]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-26 10:24 UTC (permalink / raw)]

Re: [sisyphus] [JT] start-stop-daemon

[@ 2003-05-26 11:12 UTC (permalink / raw)]

Re: [sisyphus] fstab

[@ 2003-05-26 11:24 UTC (permalink / raw)]

Re: [sisyphus] [JT] start-stop-daemon

[@ 2003-05-26 11:42 UTC (permalink / raw)]

Re: [sisyphus] fstab

[@ 2003-05-26 11:51 UTC (permalink / raw)]

Re: [sisyphus] [JT] start-stop-daemon

[@ 2003-05-26 12:09 UTC (permalink / raw)]

Re: [sisyphus] [JT] start-stop-daemon

[@ 2003-05-26 12:41 UTC (permalink / raw)]

[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-26 15:49 UTC (permalink / raw)]

[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-27 0:55 UTC (permalink / raw)]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-27 6:22 UTC (permalink / raw)]

[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-27 9:29 UTC (permalink / raw)]

Re: [sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[@ 2003-05-27 11:58 UTC (permalink / raw)]