The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Основатель CyanogenMod предложил избавиться от root-полномоч..., opennews (?), 29-Июл-13, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


17. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  –1 +/
Сообщение от бедный буратино (ok), 29-Июл-13, 12:30 
А если я захочу chroot сделать, а мне "не дадутъ, потому что не учтено".

Чем пользователь root конкретно мешает?

Ответить | Правка | Наверх | Cообщить модератору

19. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от ананим (?), 29-Июл-13, 12:40 
Вообще-то chroot меняет не пользователя root, а root'овую фс для запускаемой команды.
А это как бы разные сущности.

зыж
Очевидно, прописываешь политики selinux и работаешь.
Вот например — How to setup openssh chrooted sftp and SELinux in Fedora 16 http://bachradsusi.livejournal.com/2239.html
Так же очевидно что будут пользователь(ли), которые смогут менять/создавать эти политики.

Ответить | Правка | Наверх | Cообщить модератору

23. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +1 +/
Сообщение от Okarin (ok), 29-Июл-13, 12:55 
>прописываешь политики

Да так мы и до уровня Active Directory дорастем!

Ответить | Правка | Наверх | Cообщить модератору

27. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +3 +/
Сообщение от ананим (?), 29-Июл-13, 13:26 
Политики в АД деклоративные (типа, я не буду шпионить за вами в АНБ) и находятся в файле, который подключается как ветка реестра при логине пользователя через обычную шару по сети по протоколу cifs/smb.

Политики selinux хранятся как атрибут самого файла где бы он не валялся и влияют на аспекты работы запущенного(!!!) приложения даже если "видит" это приложение впервые.
А не только на возможность его запуска и хранение его же настроек.

Зыж
Ну, в общем думаю без удаления зонда тяжело разобраться вот так сразу.

Ответить | Правка | Наверх | Cообщить модератору

32. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от Okarin (ok), 29-Июл-13, 13:53 
Честно, не ожидал серьезных ответов.
Ответить | Правка | Наверх | Cообщить модератору

45. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от ананим (?), 29-Июл-13, 14:49 
Хм,… интересно знать почему.
Ответить | Правка | Наверх | Cообщить модератору

86. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от Okarin (ok), 29-Июл-13, 17:31 
Потому что закладывалась опередленная жирнота в пост)))
Ответить | Правка | Наверх | Cообщить модератору

92. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от ананим (?), 29-Июл-13, 18:22 
А-а-а!!!
Ну и ладно, может кому интересно будет.
Ответить | Правка | Наверх | Cообщить модератору

107. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +1 +/
Сообщение от Okarin (ok), 29-Июл-13, 21:16 
Мне было интересно, спасибо.
Ответить | Правка | Наверх | Cообщить модератору

25. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  –1 +/
Сообщение от бедный буратино (ok), 29-Июл-13, 13:08 
Вопрос был не совсем об этом. И даже в случае chroot там не всё так однозначно, и даже не двузначно.
Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

28. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от ананим (?), 29-Июл-13, 13:30 
Так спрашивайте точнее.

Зыж
chroot НЕ отличается ничем от остальных программ.
Просто меняет root (фс, не пользователя) для приложения, которое запускает.

Ответить | Правка | Наверх | Cообщить модератору

75. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от vitalifemail (ok), 29-Июл-13, 16:31 
> Так спрашивайте точнее.
> Зыж
> chroot НЕ отличается ничем от остальных программ.
> Просто меняет root (фс, не пользователя) для приложения, которое запускает.

Отличается тем, что только root может сделать chroot.

Ответить | Правка | Наверх | Cообщить модератору

80. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от ананим (?), 29-Июл-13, 17:03 
что является только проблемой конкретной реализации chroot:
http://www.linuxquestions.org/questions/linux-newbie-8/chroo...
вкратце:
#cat call-script.c

#include <stdio.h>
#include <stdlib.h>
#include <sys/types.h>
#include <unistd.h>
int main()
{
   setuid( 0 );
   system( "/root/chrt.sh" );
   return 0;
}
и не составит особого труда это адаптировать для сабжа в том виде, в каком он появится

Ответить | Правка | Наверх | Cообщить модератору

112. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от angra (ok), 29-Июл-13, 23:31 
Ты хоть сам прочитал свою ссылку? Сделать при помощи suid программы это и есть "может только рут".
Ответить | Правка | Наверх | Cообщить модератору

119. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от ананим (?), 30-Июл-13, 01:26 
это как пример, что всё можно обернуть во что угодно.
но если вам невтерпёжь, то юзайте fakechroot (и fakeroot).
# eix fakechroot
* sys-apps/fakechroot
     Available versions:  2.9^t 2.11^t ~2.12^t ~2.14^t ~2.15^t ~2.16^t
     Homepage:            http://fakechroot.alioth.debian.org/
     Description:         Provide a faked chroot environment without requiring root privileges
Ответить | Правка | Наверх | Cообщить модератору

122. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от angra (ok), 30-Июл-13, 02:27 
Про fakechroot я само собой в курсе, сколько виртуалок и пакетов собрал с его помощью. Заменой вызовов libc для базирующихся на C программ еще и не такие трюки делать можно. А можно вообще виртуалки в дело подключить и тоже получить результат. Но все это суррогаты и их наличие не отменяет того, что chroot как системный вызов остается root-only, ну или через capabilities в линуксе.
Ответить | Правка | Наверх | Cообщить модератору

127. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от ананим (?), 30-Июл-13, 02:47 
>ну или через capabilities в линуксе. 

Которые в сабже упомянуты.
Вот и вопрос из начала ветки — а вчем проблемы?

Ответить | Правка | Наверх | Cообщить модератору

130. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от vitalifemail (ok), 30-Июл-13, 03:17 
>>ну или через capabilities в линуксе. 
> Которые в сабже упомянуты.
> Вот и вопрос из начала ветки — а вчем проблемы?

А в том, что отпилит тебе потом производитель капабилити какое-нибудь и загрузчик закроет, и будешь как дурак - ни рекламу отключить, ни прошивку поменять.

Дело в идеологии - если бы считалось изначально: "рут нужен всем", то была бы хоть какая-то гарантия того, что его не отрежут. А гугел считает рут изначально криминалом, нужным очень мало кому (трём с половиной гикам-разработчикам).

Ответить | Правка | Наверх | Cообщить модератору

139. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от ананим (?), 30-Июл-13, 15:47 
>А в том, что отпилит тебе потом производитель капабилити какое-нибудь и загрузчик закроет, и будешь как дурак - ни рекламу отключить, ни прошивку поменять.

То есть всё как и сейчас может, только "капабилити" надо заменить на "рут"?
При этом проги типа скайпа используют недекларированные полномочия и там где есть ведер-лок, и там где его нет.

Ответить | Правка | Наверх | Cообщить модератору

74. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от vitalifemail (ok), 29-Июл-13, 16:30 
Что-то смотрел я пару раз на этот селинукс - открывал и закрывал.

Геморрой один, по-моему, с нулевым выхлопом.

Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

76. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от vitalifemail (ok), 29-Июл-13, 16:34 
Кстати имхо - всё, под что можно запилить специальное АПИ для выдачи селинукс-полномочий, можно завернуть в сервис и проверять доступ на уровне этого сервиса.

И это будет проще, т.к. эти монструозные селинукс-политики очень уж похожи на карточный домик - ткни, развалится.

Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

97. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от Khariton (?), 29-Июл-13, 18:31 

> Очевидно, прописываешь политики selinux и работаешь.

Ага и компилим ядро ибо политики вкомпилены в ядро...)))
менять соответствие файлов домену безопасности или портов - это можно и в юзерспесе.
А вото создать политику - надо ядро менять да и думаю далеко не каждый админ локалхоста сие сможет сделать...)))


Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

103. "Основатель CyanogenMod предложил избавиться от root-полномоч..."  +/
Сообщение от ананим (?), 29-Июл-13, 19:16 
откуда травка? это тогда что:
># eix selinux|head -20
>* app-vim/selinux-syntax
>…
>* sec-policy/selinux-abrt
>…
>* sec-policy/selinux-acct
>…
>* sec-policy/selinux-ada
>…

и вообще:
># eix selinux|wc
>   1196    4762   78768

зыж
>SELinux borrowed the concept of modules from the Linux kernel and implemented a similar approach for its policies. Just like how you can dynamically add in (and remove) driver support in the Linux kernel through kernel modules, you can add in (and remove) policies using SELinux modules.
>The list of SELinux modules that are currently loaded on a system can be obtained with semodule -l.
>root # semodule -l
>alsa    1.11.4
>apache  2.6.10
>apm     1.11.4
>application     1.2.0
>...

подробности тут https://wiki.gentoo.org/wiki/SELinux/Tutorials/How_is_the_po...
И не путайте модули linux-ядра и модули selinux!!! Это модули для модуля! :D

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру