Блокирование доступа к Linux на промышленном уровне. Часть1: Удаление оболочки.

Эта фраза обязательно должна быть в начале новости.

Саныч, доброе утро, открой для себя увлекательный мир виртуальных машин.

Конечно, легче выковырять драйвера для CD-ROM из ядра, чем проставить нужные права на файл в /dev :)

Конечно, все шелл скрипты надо переписать на C, там же можно допустить столько красивых багов и дыр! :)

Конечно, шеллом никто не пользуется, его надо выдрать нах из системы... Только вот никто почему-то не задумывается, что потом нихрена работать не станет.

Я вот зачастую оптимизирую свою работу с помощью небольших скриптиков, которые мне сильно облегчают жизнь. Так нет, у меня отберут это право, чтобы я как виндовый лемминг только и делал, что тыкал мышкой в менюшки!

Кстати, они ещё забыли выдрать из системы perl, tcl, python, ruby и другие скриптовые языки.

В общем, моё предложение: прописать автору статьи препарат "апстенка" в дозировке по 2 кирпича 3 раза в день после еды

Людям, работающим с линАксом нужен логопед.

Я не знаток винды(и se(x)linux-а тоже). Но можно попробовать посмотреть, как конкретные виндовые возможности реализовать в *nix.

А в венде разве есть групповые политики типа как в линупсе?

в винде ещё переключалка раскладок неудобная :)

так он же лечится словом restrict в /etc/lilo.conf. uлавное при этом - поменять строчку "password=tatercounter2000" на что-нибудь другое :)

всё равно придётся, как минимум для установки/обновления софта. Вы же не хотите сказать, что у всех юзеров будет одинаковый его набор и одинаковые версии? или же для каждой говнопрограммки админ будет лично заходить по ssh и доустанавливать?

Хотя парень как-будто вменяемый

пусть ставит себе в хомяк, в установке по ssh не вижу проблем, ходить никуда ненадо

> пусть ставит себе в хомяк,

зачем устраивать срань в хомяке? а если мне для девелопмента нужен более новый gcc, мне тоже новую версию в хомяк ставить?

> в установке по ssh не вижу проблем, ходить никуда ненадо

проблем нет, а вот админа это зае^Wмучает

Очень сложно эмулировать все дыры, вытекающие из того, что групповые политики не являются частью ядра. Групповые политики в Винде - это просто read-only ключи реестра, которые проверяются приложениями. Соответственно, их можно запросто обойти любым из следующих способов:

1) Найти программу, которая на эти политики плюет и делает, что надо.

2) Скопировать бинарник, заменить в копии проверяемые пути в реестре на несуществующие.

3) Написать DLL-ку, которая подменяет функции работы с реестром и прописать ее в HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (или воспользоваться любым другим способом инъекции DLL).

С SELinux такие фокусы не проходят.

ну apt-get install сильно не мучает, а вот make && make install для каждого пользователя делать это кащунство, лучше уж в одном месте весь софт держать и по nfs шарить

конечно, можно /usr расшарить по сети. а как будет в плане тормозов? да и повтррюсь - не у всех набор софта будет одинаков

статью не читал :), а как там предлагается решать данную проблему?

Если смотреть с точки хрения админа-параноика, то нельзя его открывать. Потому что во-первых, у sudo частенько появляются проблемы с безопастностью, во-вторых, пользователь сможет поставить дырявую прогу и через неё повысить свои привилегии.

Я не знаю, как правильно разделить полномочия на установку программ, потому и интересуюсь

> статью не читал :), а как там предлагается решать данную проблему?

я б не стал действовать согласно тому, что написано в той статье, мне автор не кажется человеком с адекватным восприятием реальности. да там и не написано на эту тему :)

С другой стороны, ты мне скажи, где нужно что-то поменять, чтобы обойти Software Restriction Policy, заданную на контроллере домена? Где тот ключ реестра и кто имеет право его меняь? Где тот бинарник? Кто имеет право писать HKLM?

вот поэтому нужно установку программ брать в свои руки, или пользовать nfs, если производительности не хватит то смотреть в сторону гигабита. Это не руководство к действию, а так, мысли в слух.

хотя если разрешить пользователю через sudo пользовать apt, то левый пакет он уже не поставит, только тот - который есть в репозиториях прописанных в sources.list.

или их тоже на Си переписать?

на "промышленном" уровне все нужно переписывать на Си

Я когда-то делал такое с помощью rsync. т.е. просто на юзерских машинах тупо sync'ал /usr раз в месяц (cron).

и что. даже в официальном репозитории выплывают глючные проги. Вон дебовцы даже в stable нередко проблемы с безопасностью правят(правда, только их и ничего более). Всего-то делов - не поставить версию с пофиксанным багом и воспользоваться эксплоитом для глючной версии

> Я когда-то делал такое с помощью rsync. т.е. просто на юзерских машинах тупо sync'ал /usr раз в месяц (cron).

а если при установке нового софта производилось нечто большее, чем тупое копирование файлов в /usr? В общем, Вам повезло, что эта система у Вас не грохнулась

баги то находят, я не спорю, но выпускаются также апдейты. В любом случае елси пользователь сильно хитрый и сумел завладеть системой, то есть еще административные меры - дать по шапке.

> баги то находят, я не спорю, но выпускаются также апдейты.

Прочитайте ту строчку, на которую Вы ответили и поймите, что это не спасёт.

> В любом случае елси пользователь сильно хитрый и сумел завладеть системой, то есть еще административные меры - дать по шапке.

Это ещё надо обнаружить. А если я тихо-мирно через дырку в защите сливаю конфиденциальные данные, то поймать сложно

Простите, но это когда у sudo частенько(!) появлялись проблемы с безопасностью? Что-то прямо новость для меня.

> на "промышленном" уровне все нужно переписывать на Си

интересно, как будет проходить апдейт системы на "промышленном" уровне? ;)

> Простите, но это когда у sudo частенько(!) появлялись проблемы с безопасностью? Что-то прямо новость для меня.

Корявенько выразился. sudo _повышает_ уровень опасности уязвимостей. Но проблем находили немало(см гугель: http://www.google.ru/search?q=sudo+exploit&ie=utf-8&oe=utf-8&aq=t...)

пользователь, который создает групповую политику, должен обладать правами на чтение и запись в системный том контроллеров домена, кроме того, он должен иметь право модификации выбранного контейнера Active Directory.

на контроллерах доменов период применения политик равен 5-ти минутам. при работе компьютера в сети групповые политики могут измениться, поэтому они применяются периодически (по умолчанию каждые 90 минут, можно поставить каждые 7 секунд).

Что существет глобальная ассоциация объектов GPO - с такими контейнерами Active Directory, как сайты, домены и подразделения, т.е админы нижней ступени в иерархии не могут изменять политику высшей иерархии.

И эти люди говорят мне, что линакс - типа реальный энтерпрайз.

Эти люди говорят "К логопеду!"

А еще кошернее будет на жабе или моно. ;-)

Нифига, на java. Вообще ынтырпрайз будет.

речь шла не про то, как работают политики, а то как их обойти

Уважаемые г-да IBMеры! Нужно немного заботиться об имидже собственного ресурса и стараться не размещать статьи столь откровенно низкого технического уровня.

Повторю:

Групповые политики Windows это не средство обеспечения безопасности, это просто удобное средство администрирования. Безопасность обеспечивается другими средсвами, в частности - правами пользователя.

С другой стороны, ты мне скажи, где нужно что-то поменять, чтобы обойти Software Restriction Policy, заданную на контроллере домена? Где тот ключ реестра и кто имеет право его меняь? Где тот бинарник? Кто имеет право писать HKLM?