/home/... vs. prava (dlhe..)

Tibor Pittich Tibor.Pittich na phuture.sk
Středa Únor 25 02:11:16 CET 2004


25. februára 2004 o 01:07, Pavel Kankovsky píše:

> (predpokladejme obycejneho uzivatele, ktery neni admin, a tudiz necte logy
> a ani to nema v popisu prace, a z nejakeho duvodu nebude svuj problem
> resit promptne s adminem)
> 
> Den 1: uzivatel zmeni pristupova prava nekde, kde se to msecu nelibi

pri takto zadefinovanom pouzivatelovi a za predpokladu ze takyto
pouzivatel previedol instalaciu tak ako mu to poskytoval instalator,
t.j. metodou "klikaj na 'next' -> nic necitaj -> hura, to je ten linux"
je msec absolutne neskodny. len pre priklad uvadzam niektore zaujimave
adresare v tzv. ""bezpecnostnej"" urovni 2 ktora je ako predvolena:

/root/		root.root	700
/tmp/		root.root	1777
/home/		root.root	755
/home/*		current		755
/bin/		root.root	755
/bin/ping	root.root	4755
atd...
ako vidime, napriklad tak oblubene podadresare v /home su v kazdom
priade pouzivatelom apache citatelne a prechadzatelne, takze nie je sa
coho obavat.

v pripade ze takyto franta pouzivatel sa v zmysle tejto definicie chce
stat "adminem", alebo sa mu do popisu prace zaradi citanie logov, v tom
pripade velmi rychlo zisti, ze akukolvek zmenu msec _aj_ v nastaveni prav
k suborom/adresarom zapise slusne do systemovych logov, konkretne
v ""bezpecnostnej"" urovni 2 predvolene, co sa da tiez vypnut
samozrejme.

> Takze nakonec nemame zadne vynuceni lokalni politiky a navic mame
> uzivatele, ktery je pomerne opravnene presvedcen o tom, ze v systemu
> strasi, misto toho, aby byl radne poucen, ze to, co dela, je treba blby
> napad (a ze to ma treba delat jinak).

standardne sa ziadna politika nevynucuje, iba sa genericky kontroluju
prava aby boli nastavene tak "ako sa na slusny system patri". tu msec
plni viacmenej funkciu "dobreho dohladu" a moze dost vela veci
zachranit po nestastnych zasahoch.
v pripade vyssich ""bezpecnostnych"" levelov to uz nie je len o kontrole
adresarov, ale aj o celkom zaujimavych nastaveniach z hladiska v sieti
pouzivaneho pocitaca, napriklad.

okrem toho pri instalacii je zmysel jednotlivych ""bezpecnostnych""
urovni dost dobre popisany, ak sa niekomu pri kliknuti na 4x next
v dialogu o nastaveni bezpecnostnej urovne najviac paci slovo
"paranoidny", a po tyzdni zisti ze mu v systeme "strasi", tak je
shnileho nieco uplne ine...

> > Korekce prav je asi to jedine, co msec nereportuje adminovi. Dost se
> > nedivim, kdyz vidim rozdily v nastaveni prav treba u logu mezi msecem a
> > systemem bez msecu, tak by admin skoro nic jineho necetl.
> 
> Nevim, nevim, ale v takovem systemu je imho neco shnileho, kdyz musi msec 
> porad prenastavovat pristupova prava...

neviem aky specialny reporting na systeme pre frantu by mal existovat,
ak nestaci:
set_security_conf SYSLOG_WARN yes
uz aj pre spomenutu druhu uroven. takze neviem o com je rec, ked sa
hovori o dakom "nereportovani".

ako uz teda bolo vyssie napisane, pri najbeznejsej instalacii sa aj msec
sprava tak, aby pristupove prava boli nastavene ako na najbeznejsom
unixovom systeme je zvykom. nic extra, ziaden dovod na paniku. dovod na
paniku vznikne az vtedy, ked bezny franta chce nahodou spravit nieco co
by tazko napadlo programatora, alebo testera, alebo ani bezny franta
nevie zdovodnit preco konal tak ako konal. potom mozu nastat rozne
situacie, ako to uz byva zvykom. obycajne to potom konci placlivym
mailom do mailinglistu kde to uz je otravne, pripadne dakou "kvalitnou"
recenziou do niektoreho linuxoveho platku... kiez by toto tak koncilo pri
crone ktory meni kazdych 10 minut prava..

-- 
professional home page                  -> http://tibor.pittich.sk
personal home page                      -> http://c0re.phuture.sk
------------- další část ---------------
A non-text attachment was scrubbed...
Name: [žádný popis není k dispozici]
Type: application/pgp-signature
Size: 189 bytes
Desc: [žádný popis není k dispozici]
URL: <http://www.linux.cz/pipermail/linux/attachments/20040225/c134fe7b/attachment.sig>


Další informace o konferenci Linux