Drop unneeded capabilities (było: Re: bind 8.2.2_P3)

[Tomasz Kłoczko]

On Fri, 12 Nov 1999, Piotr Majka wrote:
[..]
Tak jeszcze apropo bind (trochę) ponieważ właśnie z Pawłem popisaliśmy
sobie czy by nie dodać osobnego użytkownika i grupy na to żeby uruchamiać
binda. W piwerwszej chwili pomyślałem że nie zaszkodzi. W dugiekj
pomyślałem sobie o jakieś modyfikacji w kernelu która uniemozliwiałaby
procesom o konkretnym uid/gid wykonywanie operacji plikowych, a potem
Artur mnie poprawił, że wystarczyłoby żeby np. bind po starcie pozbywał
sie odpowiednich CAP* .. w takiej sytuacji bind mógłby chodzić zdaje się
nawet na uid/gid=0.

Niech mnie ktoś w razie czego poprawi jeżeli coś pomieszałem ale jeżeli
dobrze koncypuję to tego typu poprawek może potrzebować jeszcze całkiem
spora ilośc innych programów (chodzi o procesy usług żeby po starcie
pozbywały się capabilities które nie są im potrzebne). Do tej grupy
kwalifikowałyby sie zapewne rózne inet serwisy, a także same inet serwery
(po co im możliwość operowania na plikach czy mozliowść wykonywanai chroot
czy kilka innych).
Ciekawe czy dałoby się jakoś logować używanie capabilities kttórcych
program juz nie posiada (mogłoby być to przydatne w diagnostyce błedów
jakie jeszcze są w programach).

kloczek
-- 
-----------------------------------------------------------
*Ludzie nie mają problemów, tylko sobie sami je stwarzają*
-----------------------------------------------------------
Tomasz Kłoczko, sys adm @zie.pg.gda.pl|*e-mail: kloczek w rudy.mif.pg.gda.pl*