Uprawnienia na /srv

[Andrzej Krzysztofowicz]

Tomasz Pala wrote:
> 
> On Thu, Nov 13, 2008 at 18:55:02 +0100, Andrzej Krzysztofowicz wrote:
> 
> > Dlatego jeszcze raz zapytam: podasz przyklad ilustrujacy dziure w
> > bezpieczenstwie wynikajaca z a+r /srv ?
> 
> Halo! Słychać mnie? Puk puk! Haaaalooooo!
> 
> Naruszeniem zasad bezpieczeństwa będzie to, że ktoś w ogóle zobaczy
> jakie wirtualki hostuję.
> Osobiście mam jedną wirtualkę, która nie ma nawet wpisów w DNS-ach i
> trzeba sobie samemu do hosts dopisać jej nazwę i adres IP. Nie będzie mi
> się podobało, jak ktoś zobaczy jej nazwę, a nadawanie losowych nazw
> podkatalogom /srv też niezbyt mi odpowiada.

Dlaczego uwazasz, ze twoja polityka informacyjna/informacja handlowa to
bezpieczenstwo?
Informacje, ze to hostujesz ktos(TM) moze uzyskac np. z pozasystemowego
zrodla.

> 
> > Problem jest, ze ktos moze chciec, zeby inni mieli do niego pelny dostep.
> > A skoro nalezy do FHS, to uprawnieniami do niego powinien zarzadzac rpm a
> > nie admin. Jak chcesz ukryc dane, to umiesc je w go=x /srv/tajne i nikomu to
> > nie bedzie przeszkadzac.
> > Security by obscurity tak naprawde wcale nie zwieksza bezpieczenstwa a
> > jedynie ukrywa jego brak. I bylo to juz w wielu miejscach wielokrotnie
> > walkowane.
> 
> A chwalisz się na lewo i prawo ile zarabiasz i ile masz na koncie?
> Przecież bank masz bezpieczny, nikt nie ukradnie mając wiedzę jedynie o
> kwotach.
> Jakieś wypasione konfiguracje też ot-tak udostępnisz każdemu userowi
> systemu? Bo dla mnie bezpieczeństwo nie znaczy tylko 'nikt nie narobi
> bagna', ale również 'nikt mi nie podbierze klienta/wiedzy'.

I tu uwazam, ze tego pojecia naduzywasz.
Jest to ochrona tajemnicy handlowej/siakiej innej, a nie bezpieczenstwo
systemu. I w tej sytuacji cie zapytam: dlaczego musi to byc robione na
poziomie /srv, a nie np. pietro wyzej? Tam kazdy moze sobie ustawic
uprawnienia jakie chce. /srv powinno miec takie, zeby wszystkim pasowalo.

A ja akurat jestem z innej branzy i moja rola to udostepnienie userom
maksimum informacji o systemie. Byle bezpiecznie.

PS. Nie mialbym nic przeciwko zmianie uprawnien /srv, gdyby bylo w PLD
    narzedzie pilnujace takich roznic w stosunku do bazy rpm-a. Ale x lat
    temu propozycja stworzenia czegos takiego spotkala sie z dosc powszechna
    krytyka. Bedzie deja vu?
-- 
=======================================================================
  Andrzej M. Krzysztofowicz                  ankry w mif.pg.gda.pl