[sisyphus] chroot

[Dmitry V. Levin]

On Mon, Sep 23, 2002 at 02:56:48PM +0400, Dmitry E. Oboukhov wrote:
> >тем что приложение проламывается, получает права рута и поехали
> >веселится в системе. а когда оно в окружении оно тока в окружении и
> >навеселится..
> 
> Если приложение получает права рута в чруте,
> то спокойно может из под него вылезти... (почитай тред выше)
> 
> а если оно в чруте не работает от рута, то имхо достаточно юниксовой
> системы разграничения прав - тоже не понятно зачем чрут ?
> 
> я предложил обоснование: закрытие _возможно уязвимых мест_, которые
> имеют уязвимости по причине того, что где-то что-то недосмотренно
> (аналог - фаерволы), однако тут есть и недостаток - расслабляющее
> действие на людей: "У нас это работает под чрутом, значит тут все ок" -
> а на самом деле мб не ок ?

Это не что иное, как воплощение "the least privilege principle" -
помещая процесс в chroot jail, мы можем минимизировать доступ к файлам в
гораздо большей степени, чем без использования этой технологии.
В частности, помимо обычных файлов, которые порой бывает нелегко "спрятать"
одними лишь средствами разграничения прав доступа к файловым объектам,
существуют еще и такие обекты как /proc и dev/devfs.

При минимизации прав доступа не следует отказываться от использования уже
реализованных в системе механизмов.

Конечно, это не снимает требований к качеству исходного кода самих
сервисов. Но это уже совсем другая история, которая тянет на offtopic для
этого списка рассылки.


--
ldv
----------- следующая часть -----------
Было удалено вложение не в текстовом формате...
Имя     : =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Тип     : application/pgp-signature
Размер  : 189 байтов
Описание: =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Url     : <http://lists.altlinux.org/pipermail/sisyphus/attachments/20020923/493083d0/attachment-0011.bin>