Как запретить пользователю делать смену пользователя?

Никак кроме диверсии назвать ЭТО язык не поворачивается. Мне хочется верить, что это не злой умысел, а просто человеческая глупость.

Какая там глупость, не будте наивными.

systemd, dbus, polkitd+JS, BPF в ядре – все это классическая диверсия против GNU/Linux.

Навредил и сбежал к хозяйвам: https://www.opennet.ru/opennews/art.shtml?num=57464

А зачем? У большинства - они единственные пользователи системы. У меня только подо мной можно войти (логин под рут залочен) и только я могу sudo выполнять

Будто Red Hat чем-то лучше Microsoft или Google

чтоб отказаться от паролей и одновременно защититься от опасных программ (браузер, wine — будут работать от другого пользователя).

Это не в dbus, а udev правила надо писать

да, точно. что-то я перепутал dbus и udev.

https://wiki.gentoo.org/wiki/Allow_only_known_usb_devices

на сколько понимаю, это не то. мне нужно чтобы если в компьютере уже есть одна клавиатура, подключение второй было бы невозможно.

лучше в таком случае и от systemd избавиться

в моей системе нет ни systemd, ни polkit, ни sudo, ни PAM (лишняя прослойка, всё равно мне от неё ничего не надо).

Если запущен X11 то он может перехватывать все нажатия на клавиатуру, зависит от настроек конкретного X11.

да, запущен. Как в иксах настроить, чтобы при нажатии кнопки питания и ctrl+alt+del посылались соответствующие сигналы иниту?

Просто через флутпак поставь. Вот тебе и песочница

А у вас какой дистр?

просто смысл в том, что я не хочу вводить пароли, в том числе и для рута. также в системе обычные пользователи никак не должны повышать привелегии, т.е. обычный пользователь не должен иметь возможность стать рутом или каким-то другим пользователем.

CRUX

да напиши ты в Ирку пацанам про свою хотелку, подскажут. https://crux.nu/Main/IrcChannels

https://wiki.gentoo.org/wiki/Allow_only_known_usb_devices

на сколько понимаю, это не то. мне нужно чтобы если в компьютере уже есть одна клавиатура, подключение второй было бы невозможно.

Это именно то, даст гарантию что к твоему компьютеру подключена именно твоя клавиатура, и никакая чужая клава не подключится.

ЗЫ: лично PAM и tcpd считаю очень полезными и нужными.

Одна авторизация с плюшками, например в PAM есть поддержка CAP и не надо каждому приложению поддерживать свою авторизацию, можно слинковатся с libpam.

По уаналогии использование tcpd даст дополнительную фильтрацию и не надо каждому приложению писать поддержку сети, можно слинковатся с библиотеками tcpd.

Это именно то, даст гарантию что к твоему компьютеру подключена именно твоя клавиатура, и никакая чужая клава не подключится.

просмотрел ещё раз статью, так и не понял, как там распознаётся своя/чужая? по серийному номеру?

Не только по серийному, можно фильтровать по всем параметрам с вывода:

``udevadm info -a -p /sys/bus/usb/devices/3-1`

Например предлагаю: производителя, модель, серийник, название продукта, класс. Можно добавлять и удалять свои параметры фильтрации подключаемых устройств.

#include <stdio.h>
#include <string.h>
#include <errno.h>
#include <unistd.h>
extern char **environ;
int main(int argc, char **argv) {
  argv[0] = "/usr/local/sbin/wrapped_script.sh";
  execve("/usr/local/sbin/wrapped_script.sh", argv, environ);
  fprintf(stderr, "execve(/usr/local/sbin/wrapped_script.sh) error %d (%s)\n", errno, strerror(errno));
  return -1;
}

то ли я что-то делаю не так...
скопировал содержимое в a.c, заменил путь к скрипту. сделал make a. сделал права

-rwsr-sr-x 1 root root 16256 May 19 04:56 "a"

Шелл оказывается в целях защиты от случайных ошибок откатывает setuid если обнаруживает его. В скрипте первую строку сделай #!/bin/sh -p чтоб он этого не делал.

спасибо.

А, ещё забыл. Если из этого скрипта будешь вызывать другие - они себе так же откатят setuid если у них не указано -p. Это поведение в целом можно убрать, если в программе-обёртке в начало вставить setuid(0);. Но тогда будет другая проблема: поскольку информацию про сделанный setuid мы затёрли, узнать из скрипта какой юзер его на самом деле запустил уже не получится. В итоге есть разные варианты с тем, прятать ли setuid и если прятать, то когда, а так же с тем. кто и когда будет проверять права юзера-запускателя на выполнение действия. Главное - что проверить надо раньше чем затирать инфу о юзере.

Не нужно.