security, informacyjnie

[Tomasz Kłoczko]

On Thu, 1 Aug 2002, Jacek Konieczny wrote:

> On Thu, Aug 01, 2002 at 12:42:50PM +0200, Marcin Bohosiewicz wrote:
> > On Thu, 1 Aug 2002, Jacek Konieczny wrote:
> > > Przecież wszyscy i tak znają wyniki takiego autdytu: bezpieczeństwa 
> > > u nas to praktycznie nie ma. A pewnie niewielu chciałoby zmienić obecny
> > > styl pracy.
> > A czemu zakladasz ze nie ma?
> > Podaj 3 przyklady :>
> 
> 1. hasło do CVS można wysniffować i wten sposób dostać dostęp rw do CVS

Spróbuj zrobić zmiane która przejdzie neizauwążona. Przejać konto można 
choćby medodą "gumowej pały".
Pzrejęcie konta nie oznacza że cs jest nie tak z bezpieczeństwem serwisu 
jako takiego.

> 2. każdy kto ma dostęp rw może podmieniać skrypty w module CVSROOT,
> które wykonują się np. przy każdym commicie. W ten sposób można uzyskać
> dostęp przynajmniej do konta "cvs" na serwerzez z repo. Mam nadzieję, że
> przynajmniej makelog.sh (który podobno wymaga roota do działania) nie
> jest uruchammiany wprost z repo.

Nie każdy ma RW. Każdy kto to zrobi jezlei zostanei to wykryte liczyć się 
musi z konsekwencjami tego co zrobił. KOnsekwencje benad daleko dalsze 
poza zabranie mu RW. Mozan tu mówić o swego rodzaju "samobójstwie 
zawodowym" (administratorom się ufa i ufać tzreba .. po czymś takim 
komukolwiek kto to zrobi zauwafą już nikt nie będzię mógł).

> 3. zmieniając pliki *.spec lub sam skrypt builder można spowodować
> wykonanie dowolnego kodu na builderach.

Spróbuj zrobić modyfikacje która pzrejdzie niezauwążona.
Zapominasz że do commit logów z SPECS są ołaczne diffy i sporo ludzi to 
pzreglada.
Mamy jeszcze jedno "zabezpieczenie". Jest nim dość stanadardowa postać 
speca która utrudnai zaszywanie zmian które będą zawierać takei haki. 

> To akurat jest mało
> prawdopodobne, gdyż osoby które wysyłają zlecenia na buildery zwykle
> wcześniej zaglądają do speców. Ale raczej nie robi teog każdy, kto
> kompiluje sobie pakiety w domu

> 4. Zmieniając zasoby WWW i przestawiając tag CURRENT można uzyskać
> dostęp do PHP (a więc zarazem do konta "http") na naszym serwerze WWW

Kontrargumenty do tego są dokałdnie takei samo jak powyżej.

[..]
> Z innych które pamiętam:
> 5. Podpisywanie pakietów jest tylko teorią, bo rpmowi nie przeszkadza,
> że klucz PGP którym podpisany jest pakiet nie jest zaufany.

Możesz spokojnie akceprować tylko pakirty które są podpisne i to nie 
dowlnym kluczem z keyringa ale konkretnym (konkretne rozwiazanie było 
niedawno na rpm-list).

kloczek
-- 
-----------------------------------------------------------
*Ludzie nie mają problemów, tylko sobie sami je stwarzają*
-----------------------------------------------------------
Tomasz Kłoczko, sys adm @zie.pg.gda.pl|*e-mail: kloczek w rudy.mif.pg.gda.pl*