Храните ли вы настройки (dotfiles) в системе контроля версий?

Или файлы прям из хомяка из репы запускаются?

Ага.

Нет, делаю бэкап, переношу вручную.

Ппц. Это очень небезопасно. Хомяк вообще с noexec должен быть примонтирован.

Это очень небезопасно.

Почему?

Хомяк вообще с noexec должен быть примонтирован.

Это тут причём?

храню только конфиги емакса. все остальное настраивается за полчаса.

same

храню только конфиги емакса. все остальное настраивается за полчаса.

same

вы из тех, у кого плеер/ФМ/IDE/etc в емаксе?

Это очень небезопасно.

Почему?

присоединяюсь к вопросу.

Нет, бэкап вручную.

Все дотфайлы не храню, только самые важные, в которых много кастомных настроек, собираемых годами. Заливаю на битбакет, там бесплатные приватные репы.

Потому что пользователь не должен иметь права запускать файлы, который он сам создал. Это предотвратит возможность подгрузки некоторых эксплойтов и перехвата через них пароля рута вводимого юзером.

вы из тех, у кого плеер/ФМ/IDE/etc в емаксе?

Там есть еще и плеер? o_O

Зачем вы мне это сказали!

Потому что пользователь не должен иметь права запускать файлы, который он сам создал.

такая политика не реализуется в рамках Linux-DAC.

Это предотвратит возможность подгрузки некоторых эксплойтов и перехвата через них пароля рута вводимого юзером.

достаточно не ставить зонды, и всё будет хорошо.

Там есть еще и плеер?

там всё есть.

Проголосовал что в ручную, а потом вспомнил что на гите храню некоторую часть, значит использую контроль версий.

Хотя бОльшую часть просто сливаю на внешний hdd.

github

у меня все вообще в емаксе, за исключением фаерфокса. АПВС?

Нет, делаю бекап/переношу между машинами «вручную»

Как-то не было пока нужды переносить конфиги.

там всё есть.

Ужас какой, emacs зло.

у меня все вообще в емаксе, за исключением фаерфокса.

ясно.

АПВС?

для статистики.

такая политика не реализуется в рамках Linux-DAC.

Такая политика реализуется в рамкам noexec на хомяк и tmp. Логично, что больше никуда юзер на запись не должен иметь доступ => не сможет создать и запустить файл.
Нормально реализуемо через SELinux.

ну ты админ, тебе решать.

ну ты админ, тебе решать.

Разве что локалнетворка.

я не очень понимаю, зачем нужно запрещать юзеру выполнение бинарников? У него всё равно остаются /usr/bin и прочие инструменты. И код он всё равно может выполнить через дырявый скайп или дырявый флеш. Ситуация осложняется ещё и тем, что при твоей политике твой юзер не в силах обновить свой дырявый скайп или дырявый флеш. Если-же этот ваш флеш лежит в каталоге юзера, то сам юзер может его обновить. Дело в том, что юзер ведь сам не хочет себе вред принести, а может принести вред лишь случайно.

Вывод: флеш и скайп юзать не надо. И зачем юзеру (если у него нет рута) что-то обновлять? Обычно юзер либо рут, либо всё сломает. :)

Вывод: флеш и скайп юзать не надо.

К сожалению, решения ты принимаешь _только_ на своём локалхосте.

И зачем юзеру (если у него нет рута) что-то обновлять? Обычно юзер либо рут, либо всё сломает. :)

принцип минимизации вреда. Нужно быть мужиком, и признать, что 100% гарантии не бывает. А раз так, то необходимо анально огородить того юзера, который юзает флеш/скайп, и пусть он там сам с ним играется.

К сожалению, решения ты принимаешь _только_ на своём локалхосте.

Это на правах троллинга, или в чём смысл предложения?

принцип минимизации вреда. Нужно быть мужиком, и признать, что 100% гарантии не бывает. А раз так, то необходимо анально огородить того юзера, который юзает флеш/скайп, и пусть он там сам с ним играется.

А какая разница, если на машине только юзер и суперюзер? Или у тебя скайп с флешом от отдельного юзера запускаются?

ЛОР в emacs-w3m нормально работает :)

А какая разница, если на машине только юзер и суперюзер? Или у тебя скайп с флешом от отдельного юзера запускаются?

ВНЕЗАПНО: от отдельного.

К сожалению, решения ты принимаешь _только_ на своём локалхосте.

Это на правах троллинга, или в чём смысл предложения?

вот конкретный пример: я могу обойтись без флеша, но жена сказала, что ей НАДО. Предлагаешь искать другую жену, или искать другое решение? И это всего _второй_ локалхост.

вот конкретный пример: я могу обойтись без флеша, но жена сказала, что ей НАДО. Предлагаешь искать другую жену, или искать другое решение? И это всего _второй_ локалхост.

Изолировать хост, считать изначально зараженным. Что касаемо корпоративного варианта, то тут админы могут прятаться за политиками безопасности (исключая некоторые технически необходимые моменты).

ВНЕЗАПНО: от отдельного.

Как реализовано? В смысле, как браузер запускает от отдельного пользователя флеш?