[es] - Zavera Micro$ofta da unisti pingvina?

salac
Aleksandar Stankovic
System & Network Administrator
Beograd

Član broj: 3316
Poruke: 68
109.93.2.*

ICQ: 57528744
Sajt: www.bit011.co.rs

Profil

Re: Zavera Micro$ofta da unisti pingvina?

^{20.11.2009. u 21:35 - pre 175 meseci}

Ne razumem se preterano u packagekit koji koristi fedora (a i mrzi me da sada gledam), verovatno se pozivaju suid skripte/binovi za instalaciju rpmova tj. obrni-okreni opet to odradi root :)

Arrrrrrrrrrrrrrrrrrrrrrggggggggghhhhhhhhhhh

Odgovor na temu

maksvel

Član broj: 107376
Poruke: 2417

Jabber: maksvel
Sajt: maksvel.in.rs

+161 Profil

Re: Zavera Micro$ofta da unisti pingvina?

^{20.11.2009. u 21:41 - pre 175 meseci}

Hm, to sam se i ja zapitao. Otprilike sam PackageKit (preko PolicyKit-a, a ovaj radi preko dbusa) daje prava, slično sudo, za određene akcije.

Odgovor na temu

Ivan Dimkovic

Administrator
Član broj: 13
Poruke: 16687
*.dip.t-dialin.net.

+7176 Profil

Re: Zavera Micro$ofta da unisti pingvina?

^{20.11.2009. u 21:44 - pre 175 meseci}

Citat:

Ne razumem se preterano u packagekit koji koristi fedora (a i mrzi me da sada gledam), verovatno se pozivaju suid skripte/binovi za instalaciju rpmova tj. obrni-okreni opet to odradi root :)

Cek cek stani

Znaci ako se radi suid, opet mora neko da ispostavi root privilegije... sto znaci da mora da se ukuca root password.

Ako su oni to zaobisli i nekako omogucili obicnom korisniku da inicira akcije kao root bez kucanja sifre, onda je to potencijalna ogromna sigurnosna rupetina.

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Odgovor na temu

salac
Aleksandar Stankovic
System & Network Administrator
Beograd

Član broj: 3316
Poruke: 68
109.93.2.*

ICQ: 57528744
Sajt: www.bit011.co.rs

Profil

Re: Zavera Micro$ofta da unisti pingvina?

^{20.11.2009. u 21:47 - pre 175 meseci}

Evo maksvel se potrudio da procita o cemu se tu zapravo radi.

Inace, suid <> sudo.

Citat:

That means in case I have an application whose owner is ' root ' and it has its SUID bit set, then when I run this application as a normal user, that application would still run as root.

Generalno na *nixoidnim sistemima uvek postoje programcici sa setovanim root suid bitom (recimo 'passwd' - za promenu passworda), i da, svaki se smatra potencijalnim sigurnosnim propustom.

Arrrrrrrrrrrrrrrrrrrrrrggggggggghhhhhhhhhhh

Odgovor na temu

Ivan Dimkovic

Administrator
Član broj: 13
Poruke: 16687
*.dip.t-dialin.net.

+7176 Profil

Re: Zavera Micro$ofta da unisti pingvina?

^{20.11.2009. u 21:49 - pre 175 meseci}

HAHAHHAAHHA pa to je idiotizam grande

Znaci da obican korisnik moze da uradi nesto sto root ne bi dozvolio.

Odakle im ovako suluda ideja da mi je znati?

I zasto ljudi misle da su ljudi teletabisi i da ovakve idiotarije znace "laksi rad" ? ??!

Odgovor na temu

maksvel

Član broj: 107376
Poruke: 2417

Jabber: maksvel
Sajt: maksvel.in.rs

+161 Profil

Re: Zavera Micro$ofta da unisti pingvina?

^{20.11.2009. u 21:54 - pre 175 meseci}

Pa, ne bih bio baš toliko izričit. Kontam da se svakako radi o potencijalnom problemu, ali zavisno od toga kako se polise postave od strane administratora.

Citat:

PolicyKit is an attempt to centralize these kinds of decisions into a single policy file that the administrator can use to set the kinds of access regular users should be allowed. Previous solutions required changing each utility to handle policy, each in its own unique format and file(s). PolicyKit is meant to avoid all of that, creating a single place, with a consistent syntax (the now ubiquitous XML), that details the policy rules for that system.

Krajnji slučaj:

Citat:

Suppose the group wheel contains the users on a system who are allowed to carry out administrative tasks (ie. tasks that would usually require the root password) on a system where the root account is disabled. Then
<define_admin_auth group="wheel"/>
can be used to specify that users in said group can authenticate using their own password in instances where the system would normally prompt for the root password.

Izvor: http://lwn.net/Articles/258592/
Na Fedori (issue iz naslova teme) su npr. postavljene tako da regular korisnik može da instalira potpisani softver bez potpitanja. (Meni se ovo ne sviđa.) Ali, može biti i drugačija akcija u pitanju.

E, sad ostaje i pitanje interne bezbednosti pratećih daemona..

Odgovor na temu

salac
Aleksandar Stankovic
System & Network Administrator
Beograd

Član broj: 3316
Poruke: 68
109.93.2.*

ICQ: 57528744
Sajt: www.bit011.co.rs

Profil

Re: Zavera Micro$ofta da unisti pingvina?

^{20.11.2009. u 22:17 - pre 175 meseci}

Realno postoje neke akcije koje obican *nix (ili linux) user ne bi mogao da obavlja ukoliko sistemu ne 'izgleda' kao root. Evo da citiram bas jednog od dvojice nesrecnika:

Citat:

* Grant high priority scheduling to a user process
* Connection sharing via a protected WiFi network
* Suspend the system
* Inhibit media detection
* Mount a device
* Restart the system
* Get information about system services
* Install debuginfos using abrt
* Enroll new fingerprints

Kao sto se vidi neke od njih su veoma bitne desktop useru i logicno je da mogu da se obavljaju (media detect & automount/mount, shutdown, suspend zapadaju za oko), ali dozvola svim userima da mogu do mile volje da instaliraju programe iz 'sigurnih' repozitorijuma je van svake pameti; da su napravili neku admin grupu ili poweruser grupu moglo je da im se progleda kroz prste, ovako ne :)

Arrrrrrrrrrrrrrrrrrrrrrggggggggghhhhhhhhhhh

Odgovor na temu

bestragamuglava

Član broj: 184188
Poruke: 128
*.com
Via: [es] mailing liste

+1 Profil

Re: Zavera Micro$ofta da unisti pingvina?

^{21.11.2009. u 08:30 - pre 175 meseci}

Citat:

On 11/20/09, Ivan Dimkovic <[email protected]> wrote:
> bestragamuglava,
>
> Na single-user sistemu to nema puno smisla.
>
> Medjutim na deljenim sistemima i te kako ima smisla - ako korisnici nisu
> "trusted" vec su klijenti, njima neces dati mogucnost
> instalacije/kompajliranja/kreiranja binarnih fajlova koji se mogu izvrsiti
> na deljenim direktorijumima, vec ce svako imati svoj "sandbox" za svoje
> projekte, i sl.. u /home.
>
> Recimo ako imas HPC server, gde gomila klijenata moze da koristi CPU resurse
> ali ti kljenti ne smeju da dodju u mogucnost da kompromituju sistem -

> Danas se to daleko lakse resava virtuelnim masinama, ali one nisu podobne za
> sve.
>

Ivane,

Definitivno primecujem da u razgovoru sa Micro$oft korisnicima vrlo
lako dolazim u nesporazum, jer podrazumevamo razlicite stvari.

Ono o cemu ti pricas je ili virtualizacija, ili drugo izolovano
okruzenje - chroot / jail, u kome grupa izolovanih korisnika u svom
direktorijumu ima potrebne alate, od kojih je OS ogradjen u najvecoj
mogucoj meri, razlicitim tehnikama, npr. kopiranjem potrebnih
biblioteka u chrooted direktorijum svakog korisnika.

Ono o cemu je ovde bilo reci je instaliacija programa u normalan
/home, koji nesmetano komuniciraju sa svim delovima OS.

Ni jedno ni drugo nije i ne moze biti apsolutno sigurno, jer apsolutna
sigurnost ne postoji. Sisadminu ce poslednja linija odbrane biti
evidencija o promenama na sistemu.

Odgovor na temu

bestragamuglava

Član broj: 184188
Poruke: 128
*.com
Via: [es] mailing liste

+1 Profil

Re: Zavera Micro$ofta da unisti pingvina?

^{21.11.2009. u 08:41 - pre 175 meseci}

Citat:

On 11/20/09, salac <[email protected]> wrote:
ali dozvola svim userima da mogu do mile volje da
> instaliraju programe iz 'sigurnih' repozitorijuma je van svake pameti; da su
> napravili neku admin grupu ili poweruser grupu moglo je da im se progleda
> kroz prste, ovako ne :)

To nije sve sto su uradili.

- dozvolili su obicnom useru da instalira software iz "sigurnih"
repozitorijuma bez password prompt-a; (dakle, ne sudo, nego regular
user ne unosi ni sopstveni password)
- ovo je dozvoljeno samo u jednom od tri package management programa
koji koriste (sto je glupost sama po sebi od koje boluje vecina linux
distribucija koje sam ja video);
-ova promena u default settings nije oglasena u release notes, ili bar
nije dovoljno istaknuta;
-uputstvo za promenu ovog setovanja nije dato; ispostavilo se da se
konfiguracija menja u /var - pa onda u nekom cetvrtom
direktorijumu ispod; a svaki obuceni pingvin ce prvo traziti u /etc;
dakle narusavaju logiku, standard, kako hoces, od logicnog sistema
prave budalastinu;
-nedostatak uputstva za promenu idiotskog default obrazlozen je time
sto nije gotov njegov GUI, pa paket jos "nije zavrsen", a bice u f12
(???)
-kada su ozlojedjeni korisnici otvorili bug, maintainer je isti
pokusao da zatvori; na primedbu da je uneo resenje koje je u
suprotnosti sa nacinom na koji je UNIX uvek funkcionisao, izjavio je
da on "don't particularly care how UNIX always worked".

Bice skoro propast sveta, nek' propadne nije steta.

Odgovor na temu

combuster
Ivan Bulatovic
Kraljevo

Član broj: 151351
Poruke: 4563
93.86.111.*

Sajt: www.linuxsrbija.org

+104 Profil

Re: Zavera Micro$ofta da unisti pingvina?

^{21.11.2009. u 09:46 - pre 175 meseci}

Citat:

"don't particularly care how UNIX always worked".

E tih napucanih developera mi je zaista preko glave. Ubuntu sam zabatalio ne samo zbog njihovog patch-ovanja svega zivog zarad mog lakseg/lepseg iskustva sa ovim os-om nego su i developeri jedna lenja stoka kojima ukazes na problem pa ga ignorisu dok im se ne javi 100 korisnika sa istim problemom nakon release-a. Pa cekaj sto im ja uopste i testiram alphu?
Sa druge strane ovaj Fedorijanac je izgleda mi neka kretencina teska - ako vidis da ti niko zivi ne podrzava tu idiotsku ideju - a ti guras svoju politiku bez obzira na feedback koji si dobio od user-a koji sigurno imaju razloga zasto misle da je Fedora bolji distro od gomile njih koji su dostupni - e to je bezobrazluk. I dovoljan razlog da potrazis novi distro.

Jbt secam se kada sam definitivno presao na arch, nije proslo ni dva dana od kako sam ga instalirao i u repo je usao intelov drajver koji je imao bug sa tiling-om sa trenutnom verzijom xserver-a koji je bio takodje u repo-u. Na bbs-u oglasim to i lik koji je repo maintainer za manje od 10 minuta je taj problematicni intelov drajver vratio na staru verziju. Meni nije bio problem, dovoljna je jedna linija u xorg.conf-u ali vecina korisnika nije i ne mora da bude upoznata sa trenutnim hickup-ovima intelovih drajvera, zamisli da je lik rek'o: "Ma sta me briga za n00b-ove, f*** 'em".

make love - !war

Odgovor na temu