security, informacyjnie

[Blues]

On Thu, 1 Aug 2002, Jacek Konieczny wrote:
> > > Przecież wszyscy i tak znają wyniki takiego autdytu: bezpieczeństwa 
> > > u nas to praktycznie nie ma. A pewnie niewielu chciałoby zmienić obecny
> > > styl pracy.
> > A czemu zakladasz ze nie ma?
> > Podaj 3 przyklady :>
> 1. hasło do CVS można wysniffować i wten sposób dostać dostęp rw do CVS
> 2. każdy kto ma dostęp rw może podmieniać skrypty w module CVSROOT,
> które wykonują się np. przy każdym commicie. W ten sposób można uzyskać
> dostęp przynajmniej do konta "cvs" na serwerzez z repo. Mam nadzieję, że
> przynajmniej makelog.sh (który podobno wymaga roota do działania) nie
> jest uruchammiany wprost z repo.
> 3. zmieniając pliki *.spec lub sam skrypt builder można spowodować
> wykonanie dowolnego kodu na builderach. To akurat jest mało
> prawdopodobne, gdyż osoby które wysyłają zlecenia na buildery zwykle
> wcześniej zaglądają do speców. Ale raczej nie robi teog każdy, kto
> kompiluje sobie pakiety w domu
> 4. Zmieniając zasoby WWW i przestawiając tag CURRENT można uzyskać
> dostęp do PHP (a więc zarazem do konta "http") na naszym serwerze WWW
> 
> Oczywiście zaraz będzie mowa, że w CVS widać co kto robi i zawsze można
> zmiany cofnąć, ale:

Niekoniecznie widoczne - wystarczy mieć refleks i w odpowiednim momencie 
nacisnąć Ctrl-C  - mail nie pójdzie...

> Z innych które pamiętam:
> 5. Podpisywanie pakietów jest tylko teorią, bo rpmowi nie przeszkadza,
> że klucz PGP którym podpisany jest pakiet nie jest zaufany.

To jest wada aktualnego rpm-a. nestowy AFAIK nie ma już tego problemu.

-- 
---------------------------------
pozdr.  Paweł Gołaszewski        
---------------------------------
CPU not found - software emulation...