LINUX.ORG.RU
Форум — Security  

ограничение wine


0

1

Хочу сделать так, чтобы приложения в wine не имели доступа к основной файловой системе, в смысле ~ (home) и /media Если в winecfg удалить ссылку диска Z на /, а также перенаправить все домашние директории куда-нибудь в отдельную папку, то этого будет достаточно? или win приложения таки смогут попасть в фс?

← Защищенность свежесобранной Gentoo в сравнении с другими дистрибутивами
[Боян][LUKS] Two-factor auth →

Насчет /media не знаю, насчет home может их запускать от другого пользователя?

Tark ★★★
()

Запускай от другого пользователя.

GotF ★★★★★
()

Для параноиков man chroot.

PS: из параноиков порой получаются очень хорошие специалисты по безопасности.

soomrack ★★★★★
()

да, нихрена эти диски не значат.
в любом диалоге можно выбрать / (см. картинку), при этом путь в винде отображается \\?\unix\.... и всё туда может писаться с правами пользователя
http://img35.imageshack.us/i/34449517.png/

TheAnonymous ★★★★★
() автор топика

wine ни от чего не защищает. Даже после того, как Вы отключите все виртуальные диски (winetricks sandbox), запускаемые в нём приложения смогут творить всякие непотребства, включая rm -rf ~.

AITap ★★★★★
()
Ответ на: комментарий от TheAnonymous

Если таки chroot, то что нужно? как установить эту изолированную среду? Да ещё, чтоб иксовые приложения работали.

TheAnonymous ★★★★★
() автор топика
Ответ на: комментарий от AITap

да с ~ то хрен с ним (он будет отдельного пользователя). Главное - огородить примонтированные диски

TheAnonymous ★★★★★
() автор топика

Удаление ссылки ничего не изменяет - это нововведение Wine ~1.3.12

Безопасным на 100% будет только VM.

Chroot на 95% (Wine приложения могут вызывать любые unix команды).

juk4windows ★
()
Ответ на: комментарий от juk4windows

VM - слишком тормознуто
А с chroot почему на 95%? Оно же не сможет выйти из среды без прав рута (внутри чрута)

TheAnonymous ★★★★★
() автор топика
Ответ на: комментарий от TheAnonymous

В теории — не может. На практике вполне может найтись эксплуатируемая дырка в ядре или suid-ПО.

Deleted
()
Ответ на: комментарий от Deleted

На практике в VM тоже может найтись дырка «переполнение чего-нибудь нужного при такой-то последовательности асмовых команд».

ChALkeR ★★★★★
()
Ответ на: комментарий от ChALkeR

> На практике в VM тоже может найтись дырка «переполнение чего-нибудь нужного при такой-то последовательности асмовых команд».

1) Такие дырки находят крайне редко. 2) Никто против вас конкретно такую атаку проводить не будет - подобные разработки - это не хакеры, а security experts проводят.

juk4windows ★
()

На самом деле, wine — это дополнительный слой для библиотек+загрузчик MZ/NE/PE файлов, эти приложения, даже если ты уберешь все виртуальные диски, могут вызывать int 80h, и получать доступ ко всем системным вызовам Linux, то есть удаление диска Z: защитит тебя только от вредоносных программ, которые писались чисто для Windows, но не от тех, создатели которых знали про wine.

Xenius ★★★★★
()

Создание отдельного юзера.

Для коннекта локальных юзеров к икс серверу нужна команда 

xhost +local:

Изменить права к папкам /mnt, /media.

anonymous
()
Ответ на: комментарий от anonymous

Я именно такой совет выше и дал ссылкой :). Там подробная инструкция.

ChALkeR ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Защищенность свежесобранной Gentoo в сравнении с другими дистрибутивами
Security
[Боян][LUKS] Two-factor auth →