Zniceni Boha :-) [was Re: Utajena modifikace souboru]

Michal Weinfurtner weinfurt na securities.cz
Pátek Leden 7 12:03:05 CET 2000


> Bezpecnost?

Neni mi zcela jasne kolik uzivatelu spravcu by muselo byt aby to bylo opravdu
bezpecne ? Dva, deset ?
Ktery bude smet co ? Jak to vyvazit aby se dalo rict ze je to bezpecne ? Musela by
byt asi nejaka vazba mezi temito uzivateli ?

>
> Nebylo by treba nutne startovat i programy kde to neni nezbytne nutne pod
> superuzivatelem? Moznost delegovat spravu na vic osob?

Delegovat spravu jednoho systemu na vice osob ????? Ja se pohybuji v pomerne malem
informacnim
systemu, takze si nedovedu az tak do detailu predstavit, jaky by to melo prinos pro
nejaky rozsahly system,
( asi nejaky ano, zdrejme i bezpecnostni ) ale pro informacni systemy mensich firem
je nemyslitelne mit na spravu systemu nekolik osob. Ba naopak, takove firmy maji
obvykle jednoho cloveka na nekolik systemu. Kdyby takovy clovek mel na kazdem z
nich nekolik pristupovych uctu a musel se mezi nimy pri praci neustale prepinat ???
Nevim nevim jak by takova "bezpecna" prace vypadala ! Asi by to mohlo byt reseno
jako uprava pro velke informacni systemy se stovkami uzivatu ale ne jako obecna
vlastnost UNIXU.

>
> > podobnych ? Pak by se UNIX takto nastaveny dostal do situace, kdy by bylo
> > treba rebootovat pokazde, kdyz se dostane nejaky proces do stavu k odstreleni
> > ( nebo reinicializaci - napr. named, inetd a pod. ). Nebo by se to resilo jako
> To zalezi na tom jak by se to udelalo.
>
> > na NT, kde systemove procesy ma user system, ale neni jaksi mozne se na neho
> > prihlasit a tak neni ani mozne pracovat se systemovymi procesy.
> NT je uzavreny system. Konecne pokud jste prihlasen jako uzivatel X
> tak spustit program pod uzivatelen Y ve standardni distribuci nelze
> (nerikam, ze tako SW neni k dispozici jinde)
>

Jo, ale lze spustit akci pomoci at muzete a potom uz na ni nemate pravo, presto ze
jste to definoval vy jako uzivatel X ! a kdyz najkym zpusobem ta akce zhavaruje tak
je jedno, ze jste treba administratorem
zastavit proste nejde a klidne sezere vsechny systemove prostredky dokud
nerestartujete pocitac. Tim chci rict to co jsem napsal predtim, ze NT vyvojari
chteli udelat neco podobneho o cem se tady bavime, ale jaksi se jim to nepovedlo.
Muselo by se to asi opravdu velice peclive promyslet a zvazit vsechny moznosti,
ktere mohou nastat.

> > Nekolikrat jsem se dostal prave na NT serveru s timto principem do problemu.
> To je ale proto, ze NT predpokladaji, ze uzivatel je natolik "hloupy", ze
> nevi co dela a nenchaji ho tam sahnout. To ale neznamena, ze nelze
> vytvorit nekolik urovni podle odborne zpusobilosti spravce :-)
>
> Priklad:
>
> 1)  vytvareni uzivatelu v GUI aplikaci nebo prostredi KDE-like
> 2)  vytvareni uzivatelu na command line
> 3)  editace /etc/passwd
>
> Kazdy da prednost necemu jinemu a pro kazdeho se neco jineho muze hodit.
> Nekdo nezna adduser :), nekomu pada adduser jelikoz se mu do /etc/passwd
> dostal jeden radek, ktery tam nemel byt atd.
>
> To jsou veci, kde kdyby jste to posuzoval podle NT tak to nebude platit v Unixu
> uz dnes.

Nechtel bych tady srovnavat NT a UNIX !! Jen jsem to uvedl jako priklad podobne
myslenky se spatnym koncem.

>
> > Root uzivatel by mel byt na systemu dobre strezen, jeho heslo by melo byt
> > casto meneno a mel by se pouzivat z konzole a jen k uloham udrzby systemu.
> IMHO snad korome instalace kernelu,boot manageru a snad nekolika
> malo dalsich veci je zbytecne pod nim delat cokoliv.

Souhlasim.

> > Toto je doufam dostatecne paranoidni pristup a jake koli ruseni root
> > uzivatele, by dle meho nazoru prineslo jeste vetsi komplikace nez jeho
> > existence.
> Znicenim boha by mohlo byt pouhe odsunuti jeho ulohy na veci
> opravdu nezbytne.  Uplne zniceni by asi opravdu vedlo k podobne situaci jako
> ve Windows NT (takova nejaka bezrukost)

Souhlasim, neco takoveho jsem mel na mysli.

Michal


--
Michal Weinfurtner
Systems Administrator
Internet Securities, Prague
A Euromoney Institutional Investor Company
Vinohradska 37 , 120 00 Praha 2, Czech republic
Voice: (+420 2) 22 25 43 45; Fax: (+420 2) 22 25 43 44

http://www.securities.cz





Další informace o konferenci Linux