security, informacyjnie

[Jacek Konieczny]

On Thu, Aug 01, 2002 at 12:42:50PM +0200, Marcin Bohosiewicz wrote:
> On Thu, 1 Aug 2002, Jacek Konieczny wrote:
> > Przecież wszyscy i tak znają wyniki takiego autdytu: bezpieczeństwa 
> > u nas to praktycznie nie ma. A pewnie niewielu chciałoby zmienić obecny
> > styl pracy.
> A czemu zakladasz ze nie ma?
> Podaj 3 przyklady :>

1. hasło do CVS można wysniffować i wten sposób dostać dostęp rw do CVS
2. każdy kto ma dostęp rw może podmieniać skrypty w module CVSROOT,
które wykonują się np. przy każdym commicie. W ten sposób można uzyskać
dostęp przynajmniej do konta "cvs" na serwerzez z repo. Mam nadzieję, że
przynajmniej makelog.sh (który podobno wymaga roota do działania) nie
jest uruchammiany wprost z repo.
3. zmieniając pliki *.spec lub sam skrypt builder można spowodować
wykonanie dowolnego kodu na builderach. To akurat jest mało
prawdopodobne, gdyż osoby które wysyłają zlecenia na buildery zwykle
wcześniej zaglądają do speców. Ale raczej nie robi teog każdy, kto
kompiluje sobie pakiety w domu
4. Zmieniając zasoby WWW i przestawiając tag CURRENT można uzyskać
dostęp do PHP (a więc zarazem do konta "http") na naszym serwerze WWW

Oczywiście zaraz będzie mowa, że w CVS widać co kto robi i zawsze można
zmiany cofnąć, ale:
- czy rzeczywiście każdy commit jest dokładnie sprawdzany? Założe się,
że przynajmniej *.tar.gz wrzucane do SOURCES nie są przez nikogo
sprawdzane.
- zmiany można cofnąć, ale o ile nie jest już zapóźno. Jeżeli ktoś
  zrobił już "rm -rf ~cvs", to odtwarzanie, mimo że możliwe, może być
  conajmniej uciążliwe.

Z innych które pamiętam:
5. Podpisywanie pakietów jest tylko teorią, bo rpmowi nie przeszkadza,
że klucz PGP którym podpisany jest pakiet nie jest zaufany.

Pewnie znalazło by się dużo więcej. 

Pozdrowienia,
	Jacek