On 26 Aug 2002 at 10:48, Thomas Hertweck wrote:
Henning Hucke wrote:
Wo ist das Sicherheitsloch, wenn others die Programme jetzt überhaupt nichtmehr ausführen können!? Es ist sicherlich eines, alle Mitglieder der Gruppe "users" einen Binary mit suid-Bit ausführen zu lassen.
Unter SuSE ist die Standardgruppe fuer neu angelegte Benutzer "users". Warum sollte man allen dieser Gruppe das Recht geben, den Rechner runterzufahren? Das halte ich fuer ein Sicherheitsloch, ja!
Moment, Hennings Vorschlag war ja das Einrichten einer speziellen "shutdown" Gruppe. Ihr seid beide der gleichen Meinung, das man das _nicht_ der Gruppe users erlauben sollte.
Bei sudo erlaubst Du auch usern, etwas als "root" auszuführen. IMHO kommt aber sogar noch die Gefahr der Fehlkonfiguration dazu.
Ich kann es genau einem User erlauben, das ist der grosse Unterschied.
Nö, das geht mit der Zuweisung zu einer Gruppe genauso
Und je nach Konfiguration muss dieser User sich auch mit Passwort identifizieren.
Das ist natürlich ein Vorteil der sudo-Lösung. Ein gesetztes S-Bit führt den Befehl gnadenlos aus.
Also, eine Fehlkonfiguration moechte ich da nun mal ausschliessen, das kann man ja auch testen. Halte es jedenfalls fuer sicherer als einer gesamten Grup- pe oder sogar allen durch Aendern der Rechte an shut- down ein Runterfahren zu ermoeglichen.
Da kann ich wiederum keinen Vorteil erkennen. Hennings Vorschlag ist einfach und elegant. Und für diesen Zweck ausreichend. Wenn man sowieso noch mehr Rechtemanipulationen mit sudo macht, dann bietet sich IMHO an, auch hier sudo zu verwenden. Aber wenn das das einzige ist: Warum dann noch ein Tool (Es bietet keine zusätzliche Sicherheit)
Ebenso halte ich es fuer nicht so gut, die Gruppe von shutdown zu aendern etc. - da kann beim Anlegen neuer User ein- fach mit der Gruppenzugehoerigkeit zu viel schief gehen (Ich zitiere: "IMHO kommt aber sogar noch die Gefahr der Fehlkonfiguration dazu." ;-)
Nö, aber das ist hier nur meine Meinung.
Es hat schon einen Sinn, warum es Programme wie sudo gibt.
Ja, aber wie immer unter Linux/Unix gibt es mehrere und hier meiner Meinung nach auch gleichwertige Lösungen, die zum Ziel führen. Andreas