Suid wrapper [bylo: Re: Historia pewnego suid root ...]

[Michal 'Orr' Daszkowski]

Dnia Thu, Feb 25, 1999 at 07:16:02PM +0100, "Krzysztof G. Baranowski" <kgb w manjak.knm.org.pl> napisal(a):
> On Thu, 25 Feb 1999, Andrzej Nakonieczny wrote:
> > jakiegoś pliku ... W tym momencie odpada możliwość zabawy z routingiem ...
> > Nie wiem, być może jest przed tym jakieś zabezpiczenie (nie sprawdzałem) i
> > być może się mylę ... ale tak czy inaczej warto o tym pomyśleć.
> Heh, juz kiedys pisalem, zeby zaprzac do obslugi wiekszosci '+s'
> jakiegos 'generic' wrappera (nawet podawalem Wojtkowi namiary), 
> ale wowczas Szanowne Towarzystwo calkowicie olalo te sprawe 
> i nadal zdejmowalo '+s' na leb na szyje.

Tak sobie czytam właśnie zaległości z pld-list i parę postów wcześniej
właśnie mi to przyszło do głowy i aż się zaniepokoiłem, że skoro jest
to tak proste i ja na to tak szybko wpadłem, to musi w tym tkwić jakiś
,,haczyk''! :-)

Ale skoro Krzysiek też o tym napisał, to nabrałem śmiałości i się
wysłowię w tej sprawie. Nadal mam jakieś głębokie podejrzenie, że coś
jeszcze musi w tym siedzieć, bo inaczej to by już ktoś wprowadził, ale...

Jakby w systemie był *jeden* program z suidem - właśnie taki ,,suid
wrapper'' - czyli coś w rodzaju sudo, przez którego wykonywałoby się 
*wszystkie* programy wymagające suida?

Myślę, że *radykalnie* zwiększyłoby to bezpieczeństwo systemu!

Po chwilowym namyśle doszedłem do wniosku, że na upartego, to można by
zrobić nawet za pomocą sudo właśnie [i odpowiednio napisanego 
/etc/sudoers], ale oczywiście to jest rozwiązanie niepraktyczne,
niepewne i w ogóle be. Wiem.

Ale taki elegancko napisany 'wrapper'???

Ja jeszcze mało wiem i głupiutki jestem, jeżeli chodzi o programowanie, 
więc na mój mały rozumek to widzę tylko jedno 'ale' - potencjalne 
narzuty w przypadku programów, których się wiele odpala - przypuszczam, 
że taki wrapper to jednak troszkę zeżre zasobów. Ale jakiego rzędu to
będzie wzrost?

Zapewne są też jeszcze inne trudności i może ktoś na ten temat coś
napisze, ale w każdym razie IMHO przynajmniej zastanowić się nad tym
warto!

Chyba, że jest jakaś bardzo poważna przeszkoda i ,,to se ne da'', ale
w takim wypadku niech ktoś napisze co i dlaczego!

Mam nadzieję, że te moje wypociny kogoś zainteresowały - przecież to
by oszczędziło kolosalną ilość pracy i nerwów! :-)))

Pozdrawiam
Orr

PS1. Mam jeszcze parę przemyśleń co do praw własności do plików oraz
systemu autoryzacji, ale to dopiero jak sobie to jeszcze przemyślę. :-)

PS2. Napisałem to tutaj, choć to pewnie bardziej na pld-security 
powinno iść, ale tam nikt nie pisze... :-(

-- 
 /~~\  __  __   ____________________________________________________ 
| () |||))||)) | Michal 'Orr' Daszkowski <orr w irc.pl> PGP: DB36A1F1 |
 \__/ ||\\||\\ | Student, Linux user, http://ufik.idn.org.pl/~midas |