[Sysadmins] права на /proc

[Sysadmins] права на /proc

[Olvin]

В ALM24 было такое, что пользователь имел доступ только к информации о 
своих процессах, полный доступ (по крайней мере, на чтение) имели только 
пользователи из группы proc.

Очень хотелось бы сделать такое же поведение и у AL[D|S]40. Что для 
этого нужно? Ядро используется 2.6.18-ovz-smp-alt17.

Re: [Sysadmins] права на /proc

[Konstantin A. Lepikhov]

Hi Olvin!

Thursday 24, at 12:19:29 PM you wrote:

> В ALM24 было такое, что пользователь имел доступ только к информации о 
> своих процессах, полный доступ (по крайней мере, на чтение) имели только 
> пользователи из группы proc.
> 
> Очень хотелось бы сделать такое же поведение и у AL[D|S]40. Что для 
> этого нужно? Ядро используется 2.6.18-ovz-smp-alt17.
Нужно обновлять (а точнее переписывать) altsec патч, пока у меня на это не
хватает времени, но в TODO записано :)

-- 
WBR et al.

Re: [Sysadmins] права на /proc

[Olvin]

Konstantin A. Lepikhov пишет:
>> В ALM24 было такое, что пользователь имел доступ только к информации о 
>> своих процессах, полный доступ (по крайней мере, на чтение) имели только 
>> пользователи из группы proc.
>> Очень хотелось бы сделать такое же поведение и у AL[D|S]40. Что для 
>> этого нужно? Ядро используется 2.6.18-ovz-smp-alt17.
> Нужно обновлять (а точнее переписывать) altsec патч, пока у меня на это не
> хватает времени, но в TODO записано :)

Но хотя бы в ближайшем мастере будет? :)

Re: [Sysadmins] права на /proc

[Konstantin A. Lepikhov]

Hi Olvin!

Thursday 24, at 09:56:42 PM you wrote:

> Konstantin A. Lepikhov пишет:
> >> В ALM24 было такое, что пользователь имел доступ только к информации о 
> >> своих процессах, полный доступ (по крайней мере, на чтение) имели только 
> >> пользователи из группы proc.
> >> Очень хотелось бы сделать такое же поведение и у AL[D|S]40. Что для 
> >> этого нужно? Ядро используется 2.6.18-ovz-smp-alt17.
> > Нужно обновлять (а точнее переписывать) altsec патч, пока у меня на это не
> > хватает времени, но в TODO записано :)
> 
> Но хотя бы в ближайшем мастере будет? :)
Я пока не знаю сроков выхода ближайшего мастера ;)

-- 
WBR et al.

Re: [Sysadmins] права на /proc

[Olvin]

Peter Volkov пишет:
>>> В ALM24 было такое, что пользователь имел доступ только к информации о 
>>> своих процессах, полный доступ (по крайней мере, на чтение) имели только 
>>> пользователи из группы proc.
>>> Очень хотелось бы сделать такое же поведение и у AL[D|S]40. Что для 
>>> этого нужно? Ядро используется 2.6.18-ovz-smp-alt17.
>> Нужно обновлять (а точнее переписывать) altsec патч, пока у меня на это не
>> хватает времени, но в TODO записано :)
> http://grsecurity.org/ умеет что-то похожее. Может вам подойдёт.

Увы, я не спец в kernel-hacking и не смогу оценить прилаживаемость этих 
патчей на альтовское ядро.

В общем-то, поэтому и спрашиваю, нет ли готового ядра с такой 
функциональностью...

Re: [Sysadmins] права на /proc

[Led]

Thursday, 24 January 2008 12:19:29 Olvin написав:
> В ALM24 было такое, что пользователь имел доступ только к информации о
> своих процессах, полный доступ (по крайней мере, на чтение) имели только
> пользователи из группы proc.
>
> Очень хотелось бы сделать такое же поведение и у AL[D|S]40. Что для
> этого нужно? Ядро используется 2.6.18-ovz-smp-alt17.

У нас несколько загадочный /proc:)
В частности, я так и не понял каким образом klogd (запускаемый от имени klogd) 
читает
-r-------- 1 root root 0 Jan 26 23:12 /proc/kmsg
?
Это не притензия, просто я недостаточно квалифицирован, чтобы понять сий 
глубокий смысл:)

-- 
Led

Re: [Sysadmins] права на /proc

[Konstantin A. Lepikhov]

Hi Peter!

Sunday 27, at 07:52:05 PM you wrote:

> 
> В Чтв, 24/01/2008 в 22:09 +0300, Konstantin A. Lepikhov пишет:
> > Thursday 24, at 12:19:29 PM you wrote:
> > 
> > > В ALM24 было такое, что пользователь имел доступ только к информации о 
> > > своих процессах, полный доступ (по крайней мере, на чтение) имели только 
> > > пользователи из группы proc.
> > > 
> > > Очень хотелось бы сделать такое же поведение и у AL[D|S]40. Что для 
> > > этого нужно? Ядро используется 2.6.18-ovz-smp-alt17.
> > Нужно обновлять (а точнее переписывать) altsec патч, пока у меня на это не
> > хватает времени, но в TODO записано :)
> 
> http://grsecurity.org/ умеет что-то похожее. Может вам подойдёт.
это ужасный bloat - взять хотя бы собственную реализацию базовых системных
вызовов, которая дублируется в ядре. Как раз altsec и был написан
по-причине отсутствия вменяемых аналогов owl патча для 2.6.

-- 
WBR et al.

Re: [Sysadmins] права на /proc

[Konstantin A. Lepikhov]

Hi Led!

Saturday 26, at 11:15:35 PM you wrote:

> Thursday, 24 January 2008 12:19:29 Olvin написав:
> > В ALM24 было такое, что пользователь имел доступ только к информации о
> > своих процессах, полный доступ (по крайней мере, на чтение) имели только
> > пользователи из группы proc.
> >
> > Очень хотелось бы сделать такое же поведение и у AL[D|S]40. Что для
> > этого нужно? Ядро используется 2.6.18-ovz-smp-alt17.
> 
> У нас несколько загадочный /proc:)
> В частности, я так и не понял каким образом klogd (запускаемый от имени klogd) 
> читает
> -r-------- 1 root root 0 Jan 26 23:12 /proc/kmsg
> ?
> Это не притензия, просто я недостаточно квалифицирован, чтобы понять сий 
> глубокий смысл:)
откройте для себя fix-core--syslog ;)

-- 
WBR et al.

Re: [Sysadmins] права на /proc

[Led]

Saturday, 26 January 2008 23:43:36 ви написали:
> Hi Led!
>
> Saturday 26, at 11:15:35 PM you wrote:
> > Thursday, 24 January 2008 12:19:29 Olvin написав:
> > > В ALM24 было такое, что пользователь имел доступ только к информации о
> > > своих процессах, полный доступ (по крайней мере, на чтение) имели
> > > только пользователи из группы proc.
> > >
> > > Очень хотелось бы сделать такое же поведение и у AL[D|S]40. Что для
> > > этого нужно? Ядро используется 2.6.18-ovz-smp-alt17.
> >
> > У нас несколько загадочный /proc:)
> > В частности, я так и не понял каким образом klogd (запускаемый от имени
> > klogd) читает
> > -r-------- 1 root root 0 Jan 26 23:12 /proc/kmsg
> > ?
> > Это не притензия, просто я недостаточно квалифицирован, чтобы понять сий
> > глубокий смысл:)
>
> откройте для себя fix-core--syslog ;)

Спасибо, посмотрю

-- 
Led

Re: [Sysadmins] /proc/kmsg

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1035 bytes --]

On Sat, Jan 26, 2008 at 11:15:35PM +0200, Led wrote:
[...]
> У нас несколько загадочный /proc:)
> В частности, я так и не понял каким образом klogd (запускаемый от имени klogd) 
> читает
> -r-------- 1 root root 0 Jan 26 23:12 /proc/kmsg
> ?

Это обычные права на /proc/kmsg, klogd открывает этот файл будучи рутом.
Потом он чрутится и переключается в псевдопользователя.
Аналогичным образом поступают многие демоны.

> Это не притензия, просто я недостаточно квалифицирован, чтобы понять сий 
> глубокий смысл:)

Впрочем, именно с /proc/kmsg история не такая как с обычными файлами.
С появлением LSM в ядре проверка прав доступа к /proc/kmsg изменилась, и
права доступа проверяются не только в момент открытия файла, но и при
работе с дескриптором.  В результате процесс, открывший файл /proc/kmsg,
после переключения в псевдопользователя теряет возможность работать с этим
файлом.  Так происходит в ванильных ядрах, ALT'овые ядра пропатчены для того,
чтобы традиционная схема продолжала работать.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] /proc/kmsg

[Anton Gorlov]

Dmitry V. Levin пишет:

> файлом.  Так происходит в ванильных ядрах, ALT'овые ядра пропатчены для того,
> чтобы традиционная схема продолжала работать.

Это который fix-syslog?

-- 
   np: Alestorm - Of Treasure

Re: [Sysadmins] /proc/kmsg

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 401 bytes --]

On Sun, Jan 27, 2008 at 01:18:56PM +0300, Anton Gorlov wrote:
> Dmitry V. Levin пишет:
> 
> > файлом.  Так происходит в ванильных ядрах, ALT'овые ядра пропатчены для того,
> > чтобы традиционная схема продолжала работать.
> 
> Это который fix-syslog?

Бранч fix-core--syslog:
http://git.altlinux.org/people/vsu/packages/?p=kernel-image-2.6.18.git;a=shortlog;h=fix-core--syslog


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] права на /proc

[Peter Volkov]

[-- Attachment #1: Type: text/plain, Size: 967 bytes --]


В Чтв, 24/01/2008 в 22:09 +0300, Konstantin A. Lepikhov пишет:
> Thursday 24, at 12:19:29 PM you wrote:
> 
> > В ALM24 было такое, что пользователь имел доступ только к информации о 
> > своих процессах, полный доступ (по крайней мере, на чтение) имели только 
> > пользователи из группы proc.
> > 
> > Очень хотелось бы сделать такое же поведение и у AL[D|S]40. Что для 
> > этого нужно? Ядро используется 2.6.18-ovz-smp-alt17.
> Нужно обновлять (а точнее переписывать) altsec патч, пока у меня на это не
> хватает времени, но в TODO записано :)

http://grsecurity.org/ умеет что-то похожее. Может вам подойдёт.

-- 
Peter.

[-- Attachment #2: Эта часть сообщения подписана цифровой подписью --]
[-- Type: application/pgp-signature, Size: 189 bytes --]