UID 0 a bohove [was Re: Wanted: konference o bezpecnosti Linuxu]

[bravenec na optimit.cz]

Zdenek Kabelac wrote:
> 
> Ale napada me proste a jednoduche reseni. Proste system je naistalovan
> a bezi v nem nejaci demoni  - ty maji CRC, aby root nemohl hazet nejake
> sve trojske kone do hry. Pri praci s databazi pak mohou bezet pouze
> tyto povolene aplikace, ktere se pred spustenim databaze overi a
> uzivatele, kteri maji pristup k opravneni root-a se proste v systemu
> nesmi vyskytovat - pokud je nutna nejaka rootovska administrativa proste
> se musi databaze docasne uzavrit.

Zkuste ps -xa a kouknete, kolik procesu bezi s pravy roota. Ktery z
techto
procesu co dela? Jak to zjistite? Jak se ubranite diram typu 
rsh pocitac /bin/sh -i
Takto se do systemu neprihlasujete - last, who apod. vas neregistruje!
Tohle je pouze jedna z moznosti, ktera me ted hned napadla a ktera by
mohla ted hned vas system krasne oblafnout.

Druha namitka - pokud je nutna nejaka rootovska administrativa...
   ta je nutna i k zastaveni tiskarny :-(
...proste se musi databaze docasne uzavrit. Hmmm. Bez urazky, nejste
spravce nekde ve skole? Tohle je nejvetsi rozdil v uvazovani, na ktery
v rozhovorech s akademickymi pracovniky neustale narazim. Ja nemuzu
zastavit databazi, na ktere jsou prave tento moment rozpracovane
milionove obchody. To bych si mohl hledat jinou praci. 

Petr Bravenec