[sisyphus] Re: Fwd: Re: [Comm] start-stop-daemon

[Dmitry V. Levin]

On Sun, May 25, 2003 at 10:44:28PM +0300, Michael Shigorin wrote:
> On Sun, May 25, 2003 at 11:32:35PM +0400, Dmitry V. Levin wrote:
> > > > Ну вот, выводы делайте сами.
> > > Ну так хоть /usr/bin/service "а-ля юзер" сделать можно?
> > Чего именно? service crond userstatus?
> 
> Или так, хотя IMO /u/b/s лучше.

Можно сделать, чтобы оно запускало
service crond userstatus

Другое дело, что пользователю проверять статус системных сервисов не к
лицу.

> > Проблема гораздо глубже, чем кажется на первый взгляд:
> > $ readlink -v /proc/3014/exe
> > readlink: /proc/3014/exe: Permission denied
> > # readlink -v /proc/3014/exe
> > /usr/sbin/crond
> > 
> > И это даже не ALT-specific.
> 
> Пользователю-то от этого не легче.  "Работало -- сломалось".
> Виноват тот, кто попался под руку, и лишь во вторую очередь --
> дистрибутор.  (то, что "проблема глубже" -- не волнует уже
> практически никого, и это правильно -- на то он и дистрибутор,
> чтобы _изолировать_ пользователя от этой проблемы)

Если пользователь хочет выполнять системые привилегированные задачи, то
это почти так же плохо, как и выполнение рутом пользовательских задач.

Надо менять привычки.

А pidof smbd nmbd никто и не отменял.  Разумеется, и гарантий, что будет
найдено то, что нужно, тоже никто не даст.

> > > Мне вот что не нравится: вместе со всем (здравым) privsep'ом
> > > увеличивается количество ситуаций, когда для того, чтобы
> > > "это" все-таки работало, надо получить euid == 0.
> > Зачем это?
> 
> Привести выдержку из своего menu.lst, скажем.  Вне
> административного контекста применительно к системе, которая
> оказалась под руками в момент оказания помощи.

Это не довод, чтобы рушить систему.

> > Права на /boot и /lib/modules не на что не влияют, кроме того,
> > что некоторые программы постоянно забывают там файлы с
> > неправильными правами, и самый простой способ это исправить в
> > рамках дистрибутива - закрыть каталоги.
> 
> Так "самые простые пути" я помню года так с '96--'97 -- route9,
> что ли, рэкомендовал для юникс-систем нечто вроде 
> 
> chown -R root.root /
> chmod -R o-rwx /
> 
> ...а дальше секьюрно работать рутом.  Типа умный...
> 
> Я понимаю, что это постоянный tradeoff, но в нем _надо_ (a must)
> знать меру -- где мизерный выигрыш в безопасности или "простоте
> для дистрибутора" оборачивается постоянными неудобствами при (гм)
> поддержке пользователей дистрибутива.

На то он и tradeoff.

P.S. хватит философии в sisyphus@


--
ldv
----------- следующая часть -----------
Было удалено вложение не в текстовом формате...
Имя     : =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Тип     : application/pgp-signature
Размер  : 189 байтов
Описание: =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Url     : <http://lists.altlinux.org/pipermail/sisyphus/attachments/20030526/07c0760b/attachment-0010.bin>