[sisyphus] Права на дискету и не только

[sisyphus] Права на дискету и не только

[Yura Zotov]

Сегодня выяснил, что дискета монтируется по простому принципу: с
опцией user могут все, без опции только root. На разрешения на
/dev/fd0 никто внимания не обращает.

Поправьте меня, если я ошибаюсь.

Если не ошибаюсь, то с этим надо что-то делать. В
многопользовательской среде так быть не должно. Насколько я
помню, раньше работали разрешения на /dev/fd0, выдаваемые при
логине.

В продолжение темы. Хорошо бы научить hotplug раздавать права на
/dev/sd* к которым цепляются флэшки по тому же принципу, что и
для дискеты.


--
Юрий А. Зотов

Re: [sisyphus] Права на дискету и не только

[Mike Lykov]

В сообщении от Пятница 05 Ноябрь 2004 03:20 Yura Zotov написал:
> Сегодня выяснил, что дискета монтируется по простому принципу: с
> опцией user могут все, без опции только root. На разрешения на
> /dev/fd0 никто внимания не обращает.

а как насчет опций user и users ?

-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

Re: [sisyphus] Права на дискету и не только

[Yura Zotov]

On Fri, Nov 05, 2004 at 08:40:46AM +0400, Mike Lykov wrote:
> В сообщении от Пятница 05 Ноябрь 2004 03:20 Yura Zotov написал:
> > Сегодня выяснил, что дискета монтируется по простому принципу: с
> > опцией user могут все, без опции только root. На разрешения на
> > /dev/fd0 никто внимания не обращает.
> 
> а как насчет опций user и users ?
>

С опцией user разрешено монтировать все пользователям. Кто первый
смонтировал, тот и пользуется. С опцией users любой пользователь
может ещё и размонтировать, а не только тот, кто примонтировал. К
разграничению прав доступа это имеет мало отношения.

--
Юрий А. Зотов

[sisyphus] Re: Права на дискету и не только

[Michael Shigorin]

On Fri, Nov 05, 2004 at 02:20:51AM +0300, Yura Zotov wrote:
> Сегодня выяснил, что дискета монтируется по простому принципу:
> с опцией user могут все, без опции только root. На разрешения
> на /dev/fd0 никто внимания не обращает.

Или umask; см. тж. devel@.

гм...

~> grep sub /etc/fstab
/dev/zip /mnt/zip subfs
fs=floppyfss,iocharset=koi8-r,umask=0,exec,codepage=866,ro,noauto 0 0
/dev/cdrom /mnt/cdrom subfs fs=iso9660:udf,user,iocharset=koi8-r,ro 0 0
/dev/floppy /mnt/floppy subfs fs=floppyfss,user,iocharset=koi8-r,quiet,sync,codepage=866,umask=0,exec 0 0
/dev/sda1 /mnt/camera subfs fs=vfat,user,showexec,nodev,nosuid,iocharset=koi8-u,quiet,sync,codepage=866 0 0

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Re: Права на дискету и не только

[Yura Zotov]

On Fri, Nov 05, 2004 at 09:12:40PM +0200, Michael Shigorin wrote:
> On Fri, Nov 05, 2004 at 02:20:51AM +0300, Yura Zotov wrote:
> > Сегодня выяснил, что дискета монтируется по простому принципу:
> > с опцией user могут все, без опции только root. На разрешения
> > на /dev/fd0 никто внимания не обращает.
> 
> Или umask; см. тж. devel@.
> 
> гм...
> 
> ~> grep sub /etc/fstab
> /dev/zip /mnt/zip subfs
> fs=floppyfss,iocharset=koi8-r,umask=0,exec,codepage=866,ro,noauto 0 0
> /dev/cdrom /mnt/cdrom subfs fs=iso9660:udf,user,iocharset=koi8-r,ro 0 0
> /dev/floppy /mnt/floppy subfs fs=floppyfss,user,iocharset=koi8-r,quiet,sync,codepage=866,umask=0,exec 0 0
> /dev/sda1 /mnt/camera subfs fs=vfat,user,showexec,nodev,nosuid,iocharset=koi8-u,quiet,sync,codepage=866 0 0
>

По-моему, кто-то из нас чего-то не понимает. Я бы хотел оказаться
этим "кто-то"...

Опция монтирования umask управляет правами на _примонтированную_
дискету. С ней мне всё понятно. Опция user просто разрешает
любому пользователю монтировать и всё. Я же прошу обратить
внимание на то, что права на сам процесс монтирования практически
никак не регулируются.

Представьте себе ситуацию. Один пользователь залогинился с
консоли и вставил дискету. В то же время другой пользователь,
работающий удалённо, монтирует дискету первого пользователя и
спокойно читает с неё информацию. У меня в системе сейчас такое
вполне возможно.

Зачем же тогда нужны всякие /etc/security/console.perms и как
можно в этом случае говорить о "security"? Я не исключаю, что у
меня в системе проблемы с настройками и хотел бы, чтобы так оно и
оказалось. Помогите мне разобраться в этом вопросе.

--
Юрий А. Зотов

[sisyphus] Re: Права на дискету и не только

[Michael Shigorin]

On Sat, Nov 06, 2004 at 01:24:22AM +0300, Yura Zotov wrote:
> По-моему, кто-то из нас чего-то не понимает. Я бы хотел
> оказаться этим "кто-то"...

А, ну это был band aid, а вовсе не proper solution.  Вчера между
допиливанием кода попытался сообразить, как же это правильно и
как у нас взаимодействуют права на устройство (которые задаются
при помощи pam_console) и на ФС (fstab), но здоровья на
переключение контекста в дискетки не хватило уже.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Re: Права на дискету и не только

[Stanislav Ievlev]

On Sat, Nov 06, 2004 at 01:24:22AM +0300, Yura Zotov wrote:
> On Fri, Nov 05, 2004 at 09:12:40PM +0200, Michael Shigorin wrote:
> > On Fri, Nov 05, 2004 at 02:20:51AM +0300, Yura Zotov wrote:
> > > Сегодня выяснил, что дискета монтируется по простому принципу:
> > > с опцией user могут все, без опции только root. На разрешения
> > > на /dev/fd0 никто внимания не обращает.
> > 
> > Или umask; см. тж. devel@.
> > 
> > гм...
> > 
> > ~> grep sub /etc/fstab
> > /dev/zip /mnt/zip subfs
> > fs=floppyfss,iocharset=koi8-r,umask=0,exec,codepage=866,ro,noauto 0 0
> > /dev/cdrom /mnt/cdrom subfs fs=iso9660:udf,user,iocharset=koi8-r,ro 0 0
> > /dev/floppy /mnt/floppy subfs fs=floppyfss,user,iocharset=koi8-r,quiet,sync,codepage=866,umask=0,exec 0 0
> > /dev/sda1 /mnt/camera subfs fs=vfat,user,showexec,nodev,nosuid,iocharset=koi8-u,quiet,sync,codepage=866 0 0
> >
> 
> По-моему, кто-то из нас чего-то не понимает. Я бы хотел оказаться
> этим "кто-то"...
> 
> Опция монтирования umask управляет правами на _примонтированную_
> дискету. С ней мне всё понятно. Опция user просто разрешает
> любому пользователю монтировать и всё. Я же прошу обратить
> внимание на то, что права на сам процесс монтирования практически
> никак не регулируются.
> 
> Представьте себе ситуацию. Один пользователь залогинился с
> консоли и вставил дискету. В то же время другой пользователь,
> работающий удалённо, монтирует дискету первого пользователя и
> спокойно читает с неё информацию. У меня в системе сейчас такое
> вполне возможно.
> 
> Зачем же тогда нужны всякие /etc/security/console.perms и как
> можно в этом случае говорить о "security"? Я не исключаю, что у
> меня в системе проблемы с настройками и хотел бы, чтобы так оно и
> оказалось. Помогите мне разобраться в этом вопросе.
> 
Что если один пользователь смонтировал дискетку, разлогинился и убежал
,скажем, в магазин, в это время другому надо срочно вставить дискетку, но
он не сможет корректно размонтировать уже имеющуюся?

Если же ему дать такое право, то он с таким же успехом может и прочитать
содержимое дискеты.

Администратор системы, если он например будет
работать удалённо, при любом раскладе прав сможет прочитать содержимое дискеты.

А можно вообще украсть со стола дискетку, прочитать её содержимое на
другой машине, а потом незаметно вернуть её на место.

Тут проблема в том что дискета - "однопользовательская", а дискета
"многопользовательская". Из за подобного смешения и возникают несостыковки.
В каждом конкретном случае надо понять задачи рабочей станции и настроить
её соответствующим образом, но вряд ли после подобной настройки будет
удобно работать иным образом чем задумано.

Re: [sisyphus] Re: Права на дискету и не только

[Stanislav Ievlev]

On Tue, Nov 09, 2004 at 10:13:50AM +0300, Stanislav Ievlev wrote:
> On Sat, Nov 06, 2004 at 01:24:22AM +0300, Yura Zotov wrote:
> > On Fri, Nov 05, 2004 at 09:12:40PM +0200, Michael Shigorin wrote:
> > > On Fri, Nov 05, 2004 at 02:20:51AM +0300, Yura Zotov wrote:
> > > > Сегодня выяснил, что дискета монтируется по простому принципу:
> > > > с опцией user могут все, без опции только root. На разрешения
> > > > на /dev/fd0 никто внимания не обращает.
> > > 
> > > Или umask; см. тж. devel@.
> > > 
> > > гм...
> > > 
> > > ~> grep sub /etc/fstab
> > > /dev/zip /mnt/zip subfs
> > > fs=floppyfss,iocharset=koi8-r,umask=0,exec,codepage=866,ro,noauto 0 0
> > > /dev/cdrom /mnt/cdrom subfs fs=iso9660:udf,user,iocharset=koi8-r,ro 0 0
> > > /dev/floppy /mnt/floppy subfs fs=floppyfss,user,iocharset=koi8-r,quiet,sync,codepage=866,umask=0,exec 0 0
> > > /dev/sda1 /mnt/camera subfs fs=vfat,user,showexec,nodev,nosuid,iocharset=koi8-u,quiet,sync,codepage=866 0 0
> > >
> > 
> > По-моему, кто-то из нас чего-то не понимает. Я бы хотел оказаться
> > этим "кто-то"...
> > 
> > Опция монтирования umask управляет правами на _примонтированную_
> > дискету. С ней мне всё понятно. Опция user просто разрешает
> > любому пользователю монтировать и всё. Я же прошу обратить
> > внимание на то, что права на сам процесс монтирования практически
> > никак не регулируются.
> > 
> > Представьте себе ситуацию. Один пользователь залогинился с
> > консоли и вставил дискету. В то же время другой пользователь,
> > работающий удалённо, монтирует дискету первого пользователя и
> > спокойно читает с неё информацию. У меня в системе сейчас такое
> > вполне возможно.
> > 
> > Зачем же тогда нужны всякие /etc/security/console.perms и как
> > можно в этом случае говорить о "security"? Я не исключаю, что у
> > меня в системе проблемы с настройками и хотел бы, чтобы так оно и
> > оказалось. Помогите мне разобраться в этом вопросе.
> > 
> Что если один пользователь смонтировал дискетку, разлогинился и убежал
> ,скажем, в магазин, в это время другому надо срочно вставить дискетку, но
> он не сможет корректно размонтировать уже имеющуюся?
> 
> Если же ему дать такое право, то он с таким же успехом может и прочитать
> содержимое дискеты.
> 
> Администратор системы, если он например будет
> работать удалённо, при любом раскладе прав сможет прочитать содержимое дискеты.
> 
> А можно вообще украсть со стола дискетку, прочитать её содержимое на
> другой машине, а потом незаметно вернуть её на место.
> 
> Тут проблема в том что дискета - "однопользовательская", а дискета
> "многопользовательская". Из за подобного смешения и возникают несостыковки.
Ух, я хотел сказать, что _система_ "многопользовательская" ;)

> В каждом конкретном случае надо понять задачи рабочей станции и настроить
> её соответствующим образом, но вряд ли после подобной настройки будет
> удобно работать иным образом чем задумано.
> 
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@altlinux.ru
> https://lists.altlinux.ru/mailman/listinfo/sisyphus

Re: [sisyphus] Re: Права на дискету и не только

[Denis Ovsienko]

> > Тут проблема в том что дискета - "однопользовательская", а дискета
> > "многопользовательская". Из за подобного смешения и возникают несостыковки.
> Ух, я хотел сказать, что _система_ "многопользовательская" ;)
Так может, делать на дискете ФС не vfat и назначать права как захочется?

-- 
    DO4-UANIC

[sisyphus] Re: Права на дискету и не только

[Michael Shigorin]

On Tue, Nov 09, 2004 at 09:42:18AM +0200, Denis Ovsienko wrote:
> > > Тут проблема в том что дискета - "однопользовательская", а
> > > дискета "многопользовательская". Из за подобного смешения и
> > > возникают несостыковки.
> > Ух, я хотел сказать, что _система_ "многопользовательская" ;)
> Так может, делать на дискете ФС не vfat и назначать права как
> захочется?

Знаешь, практичнее забить на дискеты.  И вопросов меньше будет.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Re: Права на дискету и не только

[Andrei Bulava]

Michael Shigorin пишет:

<skip/>

> Знаешь, практичнее забить на дискеты.  И вопросов меньше будет.

Или я что-то пропустил, или тред начался в том числе и с мысли "Хорошо 
бы научить hotplug раздавать права на /dev/sd* к которым цепляются 
флэшки по тому же принципу, что и для дискеты."

Т.е. user,umask=0 - это, конечно, хорошо, но и console.perms никто не 
отменял. Я немного под впечатлением от только что прочитанных "Release 
Notes" к FC3, где, в частности, в районе udev ( 
http://fedora.redhat.com/docs/udev/ ) /etc/security/console.perms 
учитываются.

-- 
// AB1002-UANIC

[sisyphus] Re: Права на дискету и не только

[Michael Shigorin]

On Tue, Nov 09, 2004 at 10:39:36AM +0200, Andrei Bulava wrote:
> >Знаешь, практичнее забить на дискеты.  И вопросов меньше будет.

(это типа злобная шутка была)

> Или я что-то пропустил, или тред начался в том числе и с мысли
> "Хорошо бы научить hotplug раздавать права на /dev/sd* к
> которым цепляются флэшки по тому же принципу, что и для
> дискеты."

Нет.  Тред начинался в community@ как жалобы на незаписываемость
дискет (и рядом -- ещё пару проблем).

Здесь проблема _не_ в правах на устройство, а в правах на
результирующей смонтированной файловой системе.

> Т.е. user,umask=0 - это, конечно, хорошо, но и console.perms
> никто не отменял.

А оно не относится к.

Точнее, user и console.perms относятся к block device
(возможность монтирования пользователем и права в зависимости от
(не)консольного пользователя), а вот umask -- именно к ФС.
Но недостаточно.

> Я немного под впечатлением от только что прочитанных "Release
> Notes" к FC3, где, в частности, в районе udev (
> http://fedora.redhat.com/docs/udev/ )
> /etc/security/console.perms учитываются.

Это 2.6.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[sisyphus] udev and kernel 2.4 (was Re: Права на дискету и не только)

[Mikhail Zabaluev]

В Втр, 09/11/2004 в 11:35 +0200, Michael Shigorin пишет:
> > Я немного под впечатлением от только что прочитанных "Release
> > Notes" к FC3, где, в частности, в районе udev (
> > http://fedora.redhat.com/docs/udev/ )
> > /etc/security/console.perms учитываются.
> 
> Это 2.6.

Кстати, вопрос: можно ли так докрутить udev или скрипты его
инициализации, чтобы на ядре 2.4 в /dev просто создавались все
устройства как сейчас, а на 2.6 разворачивался udev?

[sisyphus] Re: udev and kernel 2.4 (was Re: Права на дискету и не только)

[Michael Shigorin]

On Wed, Nov 10, 2004 at 01:09:43PM +0300, Mikhail Zabaluev wrote:
> Кстати, вопрос: можно ли так докрутить udev или скрипты его
> инициализации, чтобы на ядре 2.4 в /dev просто создавались все
> устройства как сейчас, а на 2.6 разворачивался udev?

Эээ... давно читал, а разве оно не перекрывает имеющиеся записи в
/dev?  Тогда создаются они в любом случае, а вот что именно
работает -- уже зависит.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Re: Права на дискету и не только

[Vitaly Lipatov]

On Tuesday 09 November 2004 12:35, Michael Shigorin wrote:
> Точнее, user и console.perms относятся к block device
> (возможность монтирования пользователем и права в зависимости
> от (не)консольного пользователя), а вот umask -- именно к ФС.
> Но недостаточно.
>
> > Я немного под впечатлением от только что прочитанных
> > "Release Notes" к FC3, где, в частности, в районе udev (
> > http://fedora.redhat.com/docs/udev/ )
> > /etc/security/console.perms учитываются.
>
> Это 2.6.
Объясните мне непонятливому - вот у нас стоит 2.6.9,
дискета монтируется, права на неё получаются 777,
открывается спокойно, а записать пользователь не может.
Так и у всех? Параметр user стоит.

-- 
Lav
Виталий Липатов
Санкт-Петербург
GNU! ALT Linux Team! LaTeX! LyX!

Re: [sisyphus] Re: Права на дискету и не только

[Anton Farygin]

Vitaly Lipatov wrote:
> On Tuesday 09 November 2004 12:35, Michael Shigorin wrote:
> 
>>Точнее, user и console.perms относятся к block device
>>(возможность монтирования пользователем и права в зависимости
>>от (не)консольного пользователя), а вот umask -- именно к ФС.
>>Но недостаточно.
>>
>>
>>>Я немного под впечатлением от только что прочитанных
>>>"Release Notes" к FC3, где, в частности, в районе udev (
>>>http://fedora.redhat.com/docs/udev/ )
>>>/etc/security/console.perms учитываются.
>>
>>Это 2.6.
> 
> Объясните мне непонятливому - вот у нас стоит 2.6.9,
> дискета монтируется, права на неё получаются 777,
> открывается спокойно, а записать пользователь не может.
> Так и у всех? Параметр user стоит.
> 

А с flash'ками - тоже самое ?

Монтируете через subfs ?

Rgds,
Rider

Re: [sisyphus] Re: Права на дискету и не только

[Stanislav Ievlev]

On Tue, Nov 09, 2004 at 09:42:18AM +0200, Denis Ovsienko wrote:
> 
> > > Тут проблема в том что дискета - "однопользовательская", а дискета
> > > "многопользовательская". Из за подобного смешения и возникают несостыковки.
> > Ух, я хотел сказать, что _система_ "многопользовательская" ;)
> Так может, делать на дискете ФС не vfat и назначать права как захочется?
Тогда придётся следить чтобы номера uid/gid были на всех системах где
используется дискетка одинаковыми.
> 
> -- 
>     DO4-UANIC
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@altlinux.ru
> https://lists.altlinux.ru/mailman/listinfo/sisyphus