Исходное сообщение
"Итоги встречи разработчиков OpenBSD в Словении: nginx займет..." Отправлено vle, 28-Сен-11 13:05
>>Ну, не совсем все. Например о том, что NetBSD - единственная система, где >>залатаны дыры в chroot-е (для непривилегированного пользователя, конечно) >>там ничего не сказано. Об этом в [f]chroot(2), fchdir(2), ptrace(2) и др. >>В OpenBSD chroot дырявый, как и у всех прочих. > Вот не поленился, прочитал их man - единственное упомянутое отличие от прочих > систем интегрированный chdir(). На мой взгляд сомнительная ценность... а уж к > безопасности не имеет никакого отношения. fchdir(2):      fchdir() will fail and the current working directory will be unchanged if      one or more of the following are true:      ...      [EPERM]            The argument fd references a directory which is not at                         or below the current process's root directory. Из chroot-а этим способом нельзя. В OpenBSD, Linux, FreeBSD... можно. ptrace смотри сам. > Единственное, что можно сделать с chroot() в плане безопасности это разрешить его > использовать 1 раз, но в манах NetBSD про это не слова. chroot(2) разрешен только для root-а. А если у тебя root, у тебя 1000+1 способ сделать все, чего тебе захочется. См. handened chroot у grsecurity или по ссылке, что я давал, на аналогичный securechroot для NetBSD.