/home/... vs. prava

[Pavel Kankovsky]

On Wed, 25 Feb 2004, Tibor Pittich wrote:

> pri takto zadefinovanom pouzivatelovi a za predpokladu ze takyto
> pouzivatel previedol instalaciu tak ako mu to poskytoval instalator,

Existuji i systemy, ktere "pouzivatelia" sami neinstaluji. (Ostatne si
myslim, ze kdyz nekdo system nainstaluje, tak je jaksi z principu nutno
takovou osobu povazovat za prvotniho admina.)

(Jsem rad, ze nejsem jediny, kdo reaguje na nejaky text, aniz by si ho
poradne precetl a porozumel mu. <g>)

> standardne sa ziadna politika nevynucuje,

To je hodne rafinovane, kdyz se z jedne strany strili jak argumenty
("politika se vynucuje"), tak jejich negacemi ("zadna politika se
nevynucuje"). Z takovych predpokladu lze dokazat uplne cokoli. (Pravda,
jeste lepsi je, kdyz to dela jedina osoba, coz uz jsem taky zazil <g>.)

> iba sa genericky kontroluju prava aby boli nastavene tak "ako sa na
> slusny system patri". tu msec plni viacmenej funkciu "dobreho dohladu"
> a moze dost vela veci zachranit po nestastnych zasahoch.

Mezi (pasivni) kontrolou stavu a (aktivni) napravou nedostatku je dost
zasadni rozdil. To je jako kdyby prisel na ucetnictvi auditor a pak
prohlasil "tak mate to vicemene v poradku, tech par chyb, co jsem nasel,
jsem vam opravil".


On Wed, 25 Feb 2004, Zdenek Mazanec wrote:

> Uzivatel, ktery ma pristup ke cronu muze ze systemu udelat kulnicku na 
> drivi i jinymi (bezdecnymi) zpusoby.

Slovo "cron" muzeme nahradit slovem "system", protoze zpusobu, jak
napachat "bezdecne" nejakou skodu, je hodne. Jenze leckdy je lepsi to
riziko akceptovat, nez se mu snazit slozite predchazet. (Coz samozrejme
neplati obecne.)

> Uzivatel, ktery tusi co je cron neni takovy <pip> aby veril na duchy. 
> Takovy uzivatel se obrati na admina nebo se podiva systemu vic na zoubky. 
> A pak se obrati na admina s pozadavkem na zmenu (nebo oloupe system a 
> udela si ji sam)

Uzivatelu, co umi pouzivat cron (pripadne kombinaci cron+ssh apod.), je
podstatne vic, nez tech co 1. umi si domyslet nasledky svych cinu (napr.
si bez explicitniho upozorneni uvedomit, ze nektera nastaveni pristupovych
prav nejsou dobry napad), 2. umi racionalne analyzovat problem a "podivat
se systemu na zoubky". Primichame-li do toho nejakou stresovou situaci,
kdyz uzivatel potrebuje (rozumej: domniva se, ze potrebuje) neco vyresit
strasne rychle, coz jeste vic potlacuje schopnost racionalne uvazovat, a
nedostupnost admina (typu jsou tri rano 25. 12. a admin se odjel ozrat
nekam mimo civilizaci (a mimo dosah telekomunikacnich siti), aby mel
konecne chvili pokoj), pak je temer jiste, ze se uzivatel pokusi msec
nejak obejit a nakonec z toho byl jeste vetsi problem.

> > Nevim, nevim, ale v takovem systemu je imho neco shnileho, kdyz musi msec 
> > porad prenastavovat pristupova prava...
> 
> Treba chmod 777 /home/$HOME kvuli predani nejakych dat a pak plac nad 
> smazanymi daty? 

Primo: Nechapu ten argument. Pokud je v systemu takovy "inteligent", ze
tohle dela pravidelne, pak je treba to resit predevsim s tim uzivatelem a
ne strkat hlavu do pisku a delat, ze se nic nedeje.

Secundo: Ten, kdo provede chmod 777 na $HOME (na /home/$HOME asi ne <g>),
ten riskuje daleko vic, nez jen smazana data, protoze v domovskem adresari
se obvykle nachazi spousta konfiguraku, co jsou "shell equivalent" a u
kterych se nikdo ani nesnazi kontrolovat, zda nejsou podvrzene (tedy ono
je pravda, ze snahy to resit v unixovskem ramci jsou stejne jen takove
polovicate, protoze lze maximalne testovat vlastnika a skupinu a
pristupova prava (ehm...ktera treba snazivy msec mezitim "opravil") na
souborech a nadrazenych adresarich, coz ale o skutecnem hodnoceni
integrity daneho souboru zas az tolik nerika).


On Wed, 25 Feb 2004, Zdenek Mazanec wrote:

> Tusim ano. Ale anim ma k dispozici i logy. Doufam, ze to dostatecne hlasite
> kriceni, stejnym zpusobem krici vetsina sluzeb ;-)

Admin ma logy. A rozumny admin (i kdyz zkusenosti mi rikaji, ze je to
vzacny az ohrozeny druh) je i cte. Fajn.

Ale kdyz se z nejakeho duvodu zmeni neco v oblasti, ktera patri urcitemu
"zivemu" uzivateli, pak nechapu, proc to take, ci spis v prvni rade,
nevynada primo tomu uzivateli? Pro mu neposle treba email "Nazdar
uzivateli! Jsi pekna trubka, protoze davat ostatnim zapisova prava do
sveho domovskeho adresare je jako hrat si s odjistenym granatem. Radsi
jsem to opravil. Pokud mas nejake dotazy, obrat se na spravce systemu."?
Uzivatel by se hned dozvedel, ze dela neco blbe.

(Navic pak usetri praci adminovi, ktery vi, ze system buzeruje uzivatele
automaticky, muze zasahovat pouze v situacich, kdy se uzivatel jevi
nepoucitelnym.)


--Pavel Kankovsky aka Peak  [ Boycott Microsoft--http://www.vcnet.com/bms ]
"Resistance is futile. Open your source code and prepare for assimilation."