Zniceni Boha :-) [was Re: Utajena modifikace souboru]

[Mikulas Patocka]

Ahoj!

>> > Neni mi zcela jasne kolik uzivatelu spravcu by muselo byt aby to bylo opravdu
>> > bezpecne ? Dva, deset ?
>>
>> Myslim, ze to nebude dane poctem administratoru :-)
>> Zkuste se podivat kolik aplikaci ve vasem systemu bezi jako root
>> a kolik jich to opravdu potrebuje a zejmena proc.
>
>Na mirne zmenseni mnoziny setuid programu se daji jednoduse pouzit
>elfove capability, viz
>http://atrey.karlin.mff.cuni.cz/~pavel/elfcap.html.

Mne pripada, ze nektere capability nemaji vubec zadny smysl:

Kdyz cracker ziska SYS_RAWIO, tak bude moct pristoupit na port disku a
zapisovat, kam bude chtit.
Pomoci SYS_ADMIN si muze namountovat pres loopback nebo nfs
filesystem, na kterem jsou suid programy.
Pomoci SYS_KILL a NET_BIND_SERVICE muze zabit inetd, tvarit se jako on
a pockat, az se naloguje root.
SYS_PTRACE umozni hrabat do procesu login a dozvedet se heslo.
NET_RAW umozni nejen videt, ale i modifikovat veskery tcp/ip provoz -
moznost menit downloadovane soubory apod.
SYS_MODULE umoznuje nacpat libovolny kod do kernelu.
Pri SYS_CHROOT staci udelat hardlink na nejaky suid program, pote
udelat chroot a program pustit tak, ze se slinkuje s uzivatelem
pripravenou knihovnou.
atd..

Je tam par capabilit, co jsou uzitecne (treba SYS_NICE nebo SYS_TIME),
ale spousta jich zadne zvyseni bezpecnosti neprinese.

Mikulas